← 一覧へ戻る

米 Integris Health、データ窃取後に患者を直接恐喝・239万人漏えい

発生日2023-11-28
国・地域US アメリカ
医療機関Integris Health(米オクラホマ州最大級の医療システム)(民間)
原因不正アクセス
アクターその他サイバー犯罪者
深刻度
信頼度確認済み
被害 情報漏えい恐喝・二重恐喝
被害メモファイルは暗号化せずデータのみ窃取し恐喝。患者に直接メールで脅迫(3ドルで閲覧/50ドルで削除)。攻撃者は467万人分を窃取と主張、確認は239万人。後に3,000万ドルで集団訴訟和解。
漏えい件数約2,390,000件
被害額約3,000万米ドル(約45億円) /集団訴訟の和解金(被害復旧費・被害総額ではない)。円換算は1ドル≈150円(2024年)で約45億円。

タイムライン(経緯)

公表・確認済みの日付のみ。未公表の経緯は省略している。

  1. 発生
    攻撃者がネットワークに侵入し患者データを窃取
  2. その他
    患者が攻撃者から直接の恐喝メールを受け取る

実施した再発防止策

公表・確認済みの対策のみ。未公表の対策は省略している。

米オクラホマ州最大級の医療システム Integris Health は、2023年11月28日に攻撃者がネットワークへ侵入し、患者データを含むファイルを窃取された。攻撃者はファイルを暗号化せず、盗み出したデータの公開を防ぐ見返りに金銭を要求する手口を取った。確認された漏えいは239万人分の保護対象保健情報(PHI)に上る。

2023年12月24日、Integris は一部の患者が攻撃者を名乗るグループから直接連絡を受けていることを把握した。攻撃グループは467万人超の個人・医療情報(氏名・社会保障番号・生年月日・受診サービス内容など)を窃取したと主張し、患者に対して「3ドルで盗まれたデータを閲覧」「50ドルでデータを削除」と持ちかけ、1月5日までに支払わなければ公開すると脅した。病院本体ではなく患者個人を直接恐喝する手口が注目された事例で、Integris は後に複数の集団訴訟を計3,000万ドルで和解した。

出典