アメリカの保険会社ユナイテッドヘルスグループが、今年行われたランサムウェア攻撃によって1億人以上の個人情報が流出したことを確認しました。この数字はアメリカ合衆国保健福祉省の公民権局（OCR）の侵害報告書に記載されており、医療データの漏洩としては最大規模となります。\n\n攻撃を行ったハッカー集団はブラックキャット（別名ALPHV）で、2月に実施されたこの攻撃により、医療サービス提供者が請求書や保険金の処理、給与、処方箋などを行う際に広範な混乱が生じました。\n\nHHSのFAQページによると、チェンジ・ヘルスケアは10月22日付で、今回の流出に関する個別通知を約1億件送付したことをOCRに伝えました。流出した情報には個人の健康情報が含まれている可能性があります。\n\nユナイテッドヘルスのCEOであるアンドリュー・ウィッティが下院委員会に提出した書面による証言によれば、攻撃者は必須の多要素認証がないCitrixリモートアクセスサービスの盗まれた認証情報を利用してシステムに侵入しました。\n\n2月12日に、攻撃者は脆弱なCitrixポータルを介してリモートアクセスを実行し、その後より巧妙な方法でシステム内部を移動しデータを持ち出しました。約9日後にランサムウェアが展開され、ユナイテッドヘルスは2200万ドルの身代金を支払いました。さらに、別の操作がデータの漏洩を続けると脅し、2回目の身代金の支払いを余儀なくさせたという報告もあります。
