ニューヨーク州司法長官は、基本的なセキュリティ対策の不備が原因で1330万人に影響を与えた医療データ漏洩事件について、和解に達した。
ペリー・ジョンソン・アンド・アソシエイツ（PJ&A）とその関連会社4社は、1330万人以上の個人情報および医療情報が流出した情報漏洩事件を受け、30万ドルの和解金を支払い、大規模なセキュリティ改革を実施することに合意した。和解条件を満たさない場合、さらに970万ドルの罰金が科される可能性がある。
ニューヨーク州司法長官のレティシア・ジェームズ氏は、コネチカット州、ミシガン州、ニュージャージー州の司法長官とともに、11月6日にこの合意を発表した。影響を受けた人々のうち、約420万人がニューヨーク州の住民だった。
調査では、多要素認証なしのリモートアクセス、ほぼ同一のパスワードが電子メールで拡散されていたこと、機密ファイルがファイルレベルで暗号化されていなかったこと、悪意のある活動を検知したにもかかわらずセキュリティ担当者に警告を発しなかったセキュリティソフトウェアなど、一連の不備が明らかになった。
その結果、企業側が攻撃に気づいたのは、2023年5月2日に攻撃者から連絡があり、身代金を要求された時だった。
何人が影響を受けたのか？
盗まれたデータベースファイルには、約420万人のニューヨーカーを含む、1330万人以上の人々の記録が含まれていた。
以前の報道では、影響を受けた患者数は約895万人とされていた。和解文書では、1330万人以上というより大きな数字が示されている。司法長官は、攻撃者が個人情報や健康情報を含む共有ネットワークストレージ内のファイルにもアクセスしていたことを突き止めたが、企業側はそれらのファイルを精査して追加の被害者を特定していなかったため、実際の総数はさらに多い可能性がある。
情報の内容は以下のとおりです。
- 氏名、生年月日、および自宅住所。
- 社会保障番号。
- 医療記録番号と病院の会計番号。
- 保険情報。
- 入院時の診断名と治療開始日。
- 検査結果、投薬、治療施設、医療提供者など、医療記録から得られる臨床情報。
個人データが漏洩していないか確認してください。
通知も遅かった。PJ&Aは2023年7月に盗まれたデータベースファイルについて顧客に連絡を開始したが、顧客が影響を受けた個人に通知したのは2023年10月31日から2024年2月8日の間だった。ニューヨーク州司法長官は、両社が情報漏洩をできるだけ速やかに、かつ不当な遅延なく開示するという州の要件に違反したと判断した。
和解
発表では最大1,000万ドルの和解金が提示されているものの、企業は州に対して30万ドルの罰金を支払わなければならない。残りの970万ドルは支払いが保留されており、将来的に支払われる可能性がある。ニューヨーク州は最初の支払いから10万ドルを受け取る。これらは州への支払いであり、患者への賠償金として発表されたものではない。
漏洩した情報は犯罪者にとって貴重なものとなる可能性がある。我々の調査によると、盗まれた個人情報パッケージはダークウェブ上で1個あたりわずか95セントで販売されていることが判明した。
この和解案では、関係する現役企業に対し、以下を含む広範なセキュリティ対策の変更も義務付けている。
- 管理者アカウントを含む個々のユーザーアカウント、およびリモートネットワークアクセスに対する多要素認証（MFA）。
- パスワード管理を強化し、従業員が業務に必要な情報のみにアクセスを制限する。
- 個人情報および保護対象医療情報の暗号化。
- 不審な活動を検知すると、自動的に警備員に警告を発する監視システム。
- 年次リスク評価および侵入テスト。
- ネットワークのセグメンテーションと、不正なデータ転送を検知・防止するための対策。
- 文書化されたインシデント対応手順と、機密情報の保管および安全な廃棄に関するより明確な規則。
不注意さ、流出した記録の数、そして関係者の数を考えると、企業は安易な処分で済んだと思いますか？コメント欄でご意見をお聞かせください。
安全に過ごすには
情報漏洩が発生したからといって、必ずしも誰かがあなたの情報を悪用したとは限りませんが、詳細が明らかになるまでの間、以下の対策を講じることができます。
- 予期せぬメッセージは、ご自身で確認してください。情報漏洩に関するメッセージに惑わされて、リンクをクリックしたり、機密情報を共有したり、支払いを行ったりしないでください。医療機関や保険会社の公式ウェブサイトにアクセスするか、普段から信頼している連絡先情報を使用してください。
- 医療費の請求書と保険明細書をよく確認してください。受けていない診察、検査、処方箋、またはサービスがないか確認しましょう。連邦取引委員会（FTC）は、見慣れない医療費の請求書や、保険会社が請求をどのように処理したかを説明する給付明細書に記載されている予期せぬ項目を、医療情報窃盗の兆候として挙げています。不一致を見つけた場合は、医療機関と保険会社に報告してください。
- 信用情報レポートを確認しましょう。見覚えのない口座や債務がないか確認し、誤りがあれば訂正を求めましょう。無料のレポートはAnnualCreditReport.comで入手できます。
- 個人情報盗難の兆候が見られた場合は、すぐに行動を起こしてください。復旧計画については、 IdentityTheft.govをご覧ください。もし誰かがあなたの名前で医療サービスを受けている場合は、関係する医療機関にあなたの医療記録のコピーを請求し、訂正を文書で要求してください。
医療情報に関する個人情報の盗難は、金銭的な問題にとどまらず、医療サービスにも影響を及ぼす可能性があります。誰かがあなたの個人情報を使って治療を受けたり、保険金を請求したりすると、あなたの医療記録に誤った情報が登録されてしまう恐れがあります。医療明細書をよく確認し、見覚えのない情報があれば報告することで、こうした不正利用を未然に防ぐことができます。
正直言って、シークレットウィンドウには限界がある。
情報漏洩、ダークウェブ取引、クレジットカード詐欺。Malwarebytes Identity Theft Protection Malwarebytesこれらすべてを監視し、迅速に警告を発するだけでなく、個人情報盗難保険も付帯しています。
