米医療流通大手マッケソン（McKesson）が、サイバー攻撃による情報流出を公表しました。ハッカー集団「シャイニーハンターズ」が、2億8,400万件の患者関連データを盗んだと主張しています。氏名や住所に加え、社会保障番号（SSN）などの機微な情報が含まれるとされ、医療分野を狙った大型攻撃として警戒が広がっています。
8月25日に侵入を検知
マッケソンが米証券取引委員会（SEC）に提出した書類によると、不正侵入が検知されたのは8月25日でした。攻撃者のシャイニーハンターズは、8月21日から25日にかけて約1テラバイトのデータを持ち出したと主張しています。同集団はマッケソンに対し、約5,523万ドルの身代金を要求し、72時間以内の回答を迫ったものの、企業側は応じなかったとされます。
攻撃の手口は「ビッシング（音声を使ったフィッシング詐欺）」でした。従業員をだましてシングルサインオン（一つのIDで複数サービスにログインする仕組み）の認証情報を奪い、そこから業務用のクラウド環境に侵入したとみられます。窃取されたとされる情報には、氏名・住所・生年月日・電話番号・メールアドレス・社会保障番号のほか、患者IDや医療記録番号などが含まれると主張されています。
「2.8億件」は行数ベース
ただし「2億8,400万件」という数字は、個々の患者数ではなくデータベースの行数を反映したものである点に注意が必要です。マッケソンは調査が「初期段階にある」とし、この件が経営や財務に重大な影響を与えると判断する段階にはないとしています。
日本への影響
今回の事件は海外の出来事ですが、日本の企業や個人にとっても教訓に満ちています。攻撃の起点となった「ビッシング」は、電話やメッセージで人をだまして認証情報を聞き出す手口であり、技術的な防御だけでは防ぎきれません。日本でもクラウドサービスやシングルサインオンの利用が広がるなか、同じ手口による被害が起こり得ます。
医療機関や大企業に限らず、日本の読者一人ひとりにとっても、身に覚えのない電話やメールでID・パスワードを求められた際には安易に応じないことが求められます。多要素認証（パスワードに加えてスマートフォンなどで本人確認する仕組み）を有効にしておくことが、被害を防ぐ有効な一手となります。取引先の海外企業がこうした攻撃を受けた場合、自社の情報が巻き込まれる可能性もあるため、委託先のセキュリティ体制を確認しておくことも大切だといえます。
まとめ：狙われたのは最新の技術ではなく、人の油断でした。「まさか自分が」という慢心こそ、最大の弱点だと心得ておきたいですね。
出典：
BleepingComputer – McKesson discloses breach after ShinyHunters claims patient data theft
Help Net Security – ShinyHunters claims it stole 284 million patient records from McKesson
Photo: Brecht Corbeel / Unsplash
