医療大手アボット、恐喝の申し立てを受け2件のサイバーインシデントを調査中 |Malwarebytes

世界最大級のヘルスケア・医療機器企業の一つであるアボット・ラボラトリーズは、社内システムへの不正アクセスを確認したことを受け、一見無関係に見える2件のサイバーインシデントについて調査を進めている。アボット社は、製造、検査業務、患者ケアへの影響はないとしているが、サイバー犯罪グループ「ShinyHunters」と「ShadowByt3$」は、侵害の規模ははるかに広範囲に及ぶと主張している。これらの主張は本稿執筆時点では未確認であり、現時点では公に流出したデータによって裏付けられていない。

報道によると、これらの事案は、アボット社のがん診断事業および中核検査室向け診断サービス「LabCentral」の顧客ポータルに関連しているという。

7月16日にアボット社が発表した声明によると：

「アボットは、当社のがん診断事業部門の内部システムの一部にのみ不正アクセスがあったサイバーインシデントについて調査を行っています。この件は、事業運営、製品や製品の供給状況、製造や検査業務、および患者様へのサービス提供能力には一切影響を及ぼしていません。」

LabCentralについて、アボット社は記者団に対し、同サービスは外部でホストされているポータルサイトであり、「顧客や事業に関する機密情報が漏洩した事実は確認されていない」と述べた。

ShinyHuntersはBleepingComputerに対し、内部文書、契約書、顧客情報、2,200万件以上の医師・患者間の診療記録、2,000万件以上の医療指示書、100万件以上の米国社会保障番号に加え、氏名、住所、生年月日、メールアドレス、電話番号などの個人を特定できる情報（PII）を盗み出したと語った。

7月18日、ShinyHuntersは、アボットに対し、7月21日までに回答するよう求め、それまでに回答がなければ、疑惑のデータを流出させると通告した：

「これは最終通告です。2026年7月21日までに連絡をください。そうしなければ、情報を流出させるだけでなく、あなたを悩ませる数々の（デジタル上の）問題も引き起こすことになります。正しい決断を下してください。次のニュースの見出しの主人公にならないように」

「デジタル上の問題」という脅威は、ShinyHuntersによるものとしてよく知られている。Canvasへの攻撃の際、このグループは学校のログインページやCanvasアプリを改ざんし、画面上に身代金要求メッセージを表示させた。

これとは別に、ShadowByt3$は、7月4日に、侵害された顧客の認証情報と環境内の「脆弱性」を利用してLabCentralポータルにアクセスし、アボットのラボシステムに関する技術文書、製造証明書、操作マニュアル、技術仕様書、および規制関連文書を不正に持ち出したと主張している。

もし攻撃者たちの主張が事実であれば、この情報漏洩はアボットの診断システムを利用している医療機関に影響を及ぼし、患者や医療に関する機密データが流出する可能性がある。しかし、アボットは、LabCentralのインシデントを通じて顧客や事業の機密情報が流出したという証拠は見つかっておらず、患者データが漏洩したことも確認されていないとしている。

合理的に真実であると推測できること

Cancer Diagnosticsのシステムに影響を及ぼす、実際のセキュリティ侵害が発生しました。アボット社は不正アクセスを公に認め、インシデント対応チームおよび法執行機関に連絡を取っています。これは、単なる「偽の」恐喝未遂ではないようです。
また、LabCentralポータルに関する別のサイバーインシデントも発生した。アボット社によると、同ポータルには主に公開用の参考資料が掲載されており、顧客や事業に関する機密情報が漏洩した証拠は確認されていないという。
ShinyHuntersとShadowByt3$の両方が、アボット氏を恐喝サイトに掲載し、メディア各社に詳細な経緯を説明しているため、これは単なる名前を挙げただけの話ではない。
最新の報告によると、どちらのグループも、盗んだと主張しているデータのサンプルを公表していない。

アボットの顧客ができること

データ漏洩の被害に遭った、あるいはその疑いがある場合は、いくつかの対処法があります。

ベンダーの指示を確認してください。情報漏洩の事案はそれぞれ異なるため、ベンダーに確認して何が起きたのかを把握し、ベンダーから提示された具体的な指示に従ってください。
パスワードを変更してください。パスワードを変更することで、盗まれたパスワードを犯人が利用できないようにすることができます。他の用途では使用していない、強固なパスワードを設定してください。さらに良いのは、パスワードマネージャーにパスワードの生成と管理を任せることです。
二要素認証（2FA）を有効にしてください。可能であれば、FIDO2準拠のハードウェアキー、ノートパソコン、またはスマートフォンを第二の認証要素として使用してください。2FAの中には、パスワードと同じくらい簡単にフィッシング攻撃の標的となるものもあります。FIDO2デバイスに依存する2FAは、フィッシング攻撃の標的になることはありません。
なりすまし詐欺にご注意ください。犯罪者が当社を装って連絡してくる可能性があります。当社のウェブサイトを確認し、影響を受けたお客様への連絡方法がどうなっているかを確認するとともに、それとは異なる連絡手段で連絡してきた相手については、その身元を必ず確認してください。
焦らずにじっくりと対応してください。フィッシング攻撃では、よく知人や馴染みのあるブランドを装い、配達未着、アカウントの一時停止、セキュリティアラートといったメッセージで、誤った緊急性を煽ってくることがよくあります。
カード情報の保存は控えることを検討してください。サイトにカード情報を記憶してもらうほうが確かに便利ですが、ウェブサイトにその情報を保存しないことを強くお勧めします。
IDモニタリングを設定しましょう。Identity 、あなたの個人情報がオンライン上で違法に取引されていることが判明した場合にアラートを送信し、IDが盗まれた際の復旧を支援します。