SickKids

「ザ・ホスピタル・フォー・シック・チルドレン（SickKids）」は、「サイバーセキュリティインシデント」により、一部の現職および元従業員、ならびに求職者の個人情報が流出したことを明らかにした。同病院によると、この情報漏洩はサードパーティ製ソフトウェアの欠陥に起因するものであるという。

トロントの小児病院によると、臨床システムや患者記録には影響がなかったものの、一般向けの採用サイトは一時的に停止された。

採用サイトは復旧、インシデントの範囲を調査中

シックキッズは今週、この事案を公表し、その結果、従業員データへの不正アクセスが発生したと述べた。

image

同病院の報道発表によると、この情報漏洩は、SickKidsをはじめとする複数の組織で使用されているサードパーティ製ソフトウェアアプリケーションの脆弱性が原因であるとされている。

病院側はベンダー名、アプリケーション名、および関連するCVE番号を明らかにしていないものの、この説明の仕方からは、同じ製品を使用するユーザーを対象としたより広範な攻撃キャンペーンが存在することを示唆しているように見える。

声明によると、外部の採用サイトは一時的に影響を受けたが、「その後、安全に復旧した」とのことです。

SickKidsによると、臨床システムや患者情報への影響はなく、患者ケアは通常通り行われたという。

同病院は、この事案を把握した後、外部のサイバーセキュリティ専門家の協力を得て調査を開始した。

調査の結果、SickKids、Boomerang（SickKidsが所有する小児科クリニック）、およびSickKids財団の現従業員および元従業員、ならびにSickKidsの求職者に属する個人情報が漏洩した可能性があることが判明した。

同病院は、どの種類のデータが関与したか、影響を受けた人数、および侵入がいつ発生したかについては明らかにしていない。

影響を受けた情報の精査は現在も進行中であり、影響が確認された個人には直接通知が行われる予定である。

その間、シックキッズは、万全を期すため、本件に巻き込まれた可能性のあるすべての人々に警告を発しており、24ヶ月間の無料の信用情報モニタリングおよび身元保護サービスを提供している。

求人応募ポータルは、データ窃盗犯にとって特に魅力的な標的です。応募者は通常、氏名、自宅住所、電話番号、職歴、そして一部の管轄区域では政府発行の識別番号などを提供します。これらの情報は、なりすまし詐欺だけでなく、病院スタッフに対して説得力のあるソーシャルエンジニアリングの口実を構築するためにも利用されます。

度重なる標的

近年、同病院を襲ったセキュリティインシデントが公になったのは、これが初めてではない。

2022年12月、SickKidsはランサムウェア攻撃を受け、内部システム、病院の電話回線、ウェブサイトが機能停止に陥り、検査結果や画像診断結果の報告に遅れが生じた。

その後、ランサムウェア集団「LockBit」は異例の公式謝罪を発表し、責任のある加盟組織が医療機関を標的とすることを禁じる同集団の規則に違反したと説明した。また、病院側が独自にシステムの復旧に2週間近くを費やした後に、無償の復号ツールを提供した。

2023年9月、シックキッズは、周産期および小児の健康データを共有している第三者組織での情報漏洩に巻き込まれたオンタリオ州の医療機関の一つとなった。MOVEit Transferのゼロデイ脆弱性（CVE-2023-34362）が大量に悪用されたことに端を発したこの事件では、氏名、自宅住所、生年月日、ヘルスカード番号など、340万人の個人情報が流出しました。

医療分野は、ランサムウェア集団とデータ恐喝グループの両方にとって、依然として最も標的とされるセクターの一つである。

特に小児病院は、数十年にわたる機密記録を保有しており、犯罪組織が遵守すると主張する倫理的境界にかかわらず、攻撃者にとって魅力的な標的であり続けている。