CareCloudのデータ侵害で375万人超に影響、AWSから個人情報や医療記録が流出

何が起きたのか

米国の医療テクノロジー企業CareCloudは、2026年3月に発生したサイバー攻撃について、個人情報と医療記録を盗まれた人が3,756,469人に上ると報告した。これは、同社が当初通知していた約34万5,000人を大きく上回る数字だ。2

米保健福祉省（HHS）の公民権局（OCR）が公開する大規模漏えい情報のポータルには、CareCloudの事案が「ハッキング／ITインシデント」として掲載されている。同ポータルは、500人以上に影響した医療情報漏えいのうち、OCRが調査対象としている事案をまとめたものだ。1

AWS環境へのアクセスは6日間

CareCloudの説明によると、攻撃者は3月、同社が利用するAmazon Web Services（AWS）のクラウド環境の一つにアクセスし、約6日間にわたってデータを持ち出した。CareCloudは同月、ネットワーク障害とシステムへの不正アクセスを開示していたが、影響を受けた人数の全容がHHSに報告されたのは8月だった。2

現時点で公表されている情報からは、攻撃者がどのような手口でAWS環境に侵入したのか、また、どの認証情報や設定が悪用されたのかまでは明らかになっていない。

流出した可能性がある情報

盗まれたデータには、次のような情報が含まれていたとされる。2

• 氏名、郵便住所
• 社会保障番号
• 医療・健康情報、電子医療記録
• パスポート番号や運転免許証番号などの政府発行ID情報
• 一部の対象者については、銀行情報などの金融情報

医療記録だけでなく、本人確認やなりすまし、金融詐欺に悪用され得る情報も含まれる点が、この事案の深刻さを示している。

CareCloudはどのような企業か

ニュージャージー州を拠点とするCareCloudは、医療機関向けのITサービスを提供している。病院や診療所などの医療機関に対し、電子医療記録の保存、診療所の運営管理、請求関連のデータ処理などを担う企業だ。2

そのため、CareCloudは自社の従業員情報だけでなく、取引先の医療機関を通じて多数の患者に関する情報を扱っていた。医療分野では、病院や保険会社だけでなく、こうした業務委託先やクラウドサービス事業者も大量の機微情報を保有している。

会社側の説明で、まだ分かっていないこと

CareCloudは3月の開示以降、攻撃の経緯や被害の詳細について、公の場で十分な説明をしていないと報じられている。スティーブン・スナイダーCEOも、身代金を支払ったのか、サイバーセキュリティー上の責任を誰が負うのか、辞任する考えがあるのかといった質問に答えていないという。2

したがって、現時点で確認された公的情報からは、以下の点を断定できない。

• 身代金が支払われたかどうか
• 特定のサイバー犯罪グループが攻撃したのか
• 経営陣にどの程度の責任があるのか
• CEOの辞任が予定されているのか

2026年の米医療情報漏えいの中での規模

CareCloudの事案は、開示時点で2026年に米国で報告された医療データ窃取のうち、5番目の規模とされている。23

影響人数は、Cognizant傘下のTriZetto Provider Solutionsが報告した3,433,965人を上回る。一方、歯科保険関連企業DentaQuestのHHSへの届け出では、影響人数が1,500万人とされている。13

医療機関向け請求ソフトウェア企業Cranewareも2026年に大規模な情報流出を報告しているが、利用可能な報道では、CareCloudと直接比較できる最終的な影響人数は確定していない。そのため、CranewareをCareCloudと人数順に並べることはできない。3

今後、CareCloudや連邦当局による追加説明があれば、被害の範囲や攻撃手法、情報が実際に公開・悪用されたかどうかについて、さらに明らかになる可能性がある。