AdaptHealth、7月のサイバー攻撃で410万人が影響を受けたことを確認

医療関連企業のAdaptHealthは、7月に発覚し、脅威グループ「ShinyHunters」によるものとされるサイバー攻撃により、410万人のデータが流出したことを確認した。

同社は、睡眠時無呼吸症候群や呼吸器用機器、酸素療法、病院用ベッド、移動支援製品など、在宅医療用機器、消耗品、および関連サービスを提供している。

AdaptHealthは2026年7月2日、米国証券取引委員会（SEC）への提出書類でこの事案を初めて公表し、攻撃者が同社のシステムにアクセスして個人データを盗み出したことを明らかにした。

当時、AdaptHealthの調査により、侵入はそれ以前に発生しており、特定の社内患者管理システム、文書保管プラットフォーム、電子カルテシステムポータルを含むクラウドベースの業務アプリケーションへのアクセスが関与していたことが確認された。

6月15日、名前の明かされていない攻撃者がAdaptHealthに連絡を取り、盗んだデータを流出させない見返りとして身代金の支払いを要求した。

AdaptHealthはさらに、この侵害はソーシャルエンジニアリングの手口が成功し、外部委託業者の特権アカウントが侵害されたことによって発生したと付け加えた。

8月14日の最新情報において、AdaptHealthは、侵害が6月5日に発生し、以下のデータが流出した可能性があることを明らかにした。

• 氏名
• 連絡先情報
• 人口統計情報
• 健康保険情報
• 健康情報

影響を受けた方々には、すでにデータ漏洩の通知が届いているはずです。その通知には、12ヶ月間の無料信用情報モニタリングおよび身元保護サービスへの登録方法が記載されています。

AdaptHealthは当時、今回の攻撃で盗まれたデータを用いたなりすまし、詐欺、その他の不正利用の証拠は確認されていないと述べていました。

同社のウェブサイトの情報によると、2024年7月時点で、AdaptHealthは全米50州にまたがる680カ所の拠点ネットワークを通じて、約410万人の患者にサービスを提供していました。

米国保健社会福祉省への報告によると、AdaptHealthのデータ漏洩により4,115,802人が影響を受けた。

HIPAA Journalは以前、脅威アクターが同社を被害者リストに追加したことを根拠に、ShinyHuntersが今回の攻撃の犯人であると報じていた。

しかし、『HIPAA Journal』は、ShinyHuntersの恐喝ポータル上でAdaptHealthの記載を見つけることができなかった。これは、脅威アクターが同社をリストから削除したことを示唆している。

AdaptHealthによるデータ漏洩の影響の確認は、ヘルステック企業のAesto Health、CareCloud、Unlimited Technology Systemsによる最近の同様の開示に続くものである。

McKessonと Nutex Healthも先月末にデータ侵害事案を公表したが、いずれの企業も現時点で影響を受けた個人の数を特定できていない。