米ヘルスケア企業Aesto Healthで約954万件の情報漏えい — AWS上の患者データを窃取、HHSへ報告

米国のヘルスケア技術企業Aesto Health（Aesto, LLC）は2026年6月24日、同社のAmazon Web Services（AWS）インフラの一部が侵害され、患者の個人情報と保護対象保健情報（PHI）が窃取された恐れがあると公表した。同社はアラバマ州バーミンガムに本拠を置き、医療機関向けに電子健康記録（EHR）の移行やアーカイブを提供している。

米保健福祉省（HHS）公民権局（OCR）の侵害ポータルでは、本件の影響人数が9,540,683人として登録されている。少なくとも20を超える医療機関の患者データが影響を受けたと同ポータルの登録で示されている。

何が起きたか — 2025年12月のAWS侵害

Aesto Healthが公表した「Notice of Data Security Incident」によると、同社は2025年12月18日ごろ、AWSインフラの一部でネットワークのセキュリティ事案を検知した。検知後に同社は事案を封じ込め、外部のサイバーセキュリティ専門家とともに調査を開始した。

その後の広範なフォレンジック調査と文書の手作業レビューにより、2025年12月2日から12月18日の間に、同社ネットワーク内に保管されていた複数医療機関の患者に紐づく保護対象保健情報が、権限のない攻撃者によってアクセスまたは取得された可能性があることが、2026年5月26日に確認された。

同社は2026年6月26日から、影響が確認された患者データの帰属先である医療機関（Covered Entity）への通知を開始した。通知は医療機関を通じて患者本人へ順次行われる形となる。

どのような情報が含まれたか

Aesto Healthは、窃取された可能性がある情報に次の項目が含まれると説明している。ただし個人ごとに含まれる要素は異なる。

• 氏名、生年月日
• 医療情報（medical information）
• 運転免許証番号、政府発行のその他の身分証番号
• 金融口座番号、健康保険情報
• 個人納税者識別番号（ITIN）、社会保障番号（SSN）

同社は、社会保障番号が含まれたのは一部の個人に限られるとしている。また現時点で、本件に関連したなりすましや金銭的詐欺の証拠は確認されていないと述べている。

規模と波及 — 9,540,683人と複数の医療機関

HHSの侵害ポータルでは、Aesto Healthからの報告として9,540,683人が影響を受けたと登録されている。HHSは500人以上が影響を受ける医療情報の侵害を調査・公表しており、本件は2026年で最大規模の医療関連漏えいの一つに位置づけられる。

Aesto Healthは医療機関の業務を支援する立場（ビジネスアソシエイト）にあたり、複数機関のデータを集約して保管していたため、1件の侵害が多くの機関に連鎖した。Aesto Healthの通知によると、少なくとも20を超える医療機関の患者データが対象に含まれ、医療機関によっては自ら患者への通知を行っている。

Aesto Healthが説明した対応

Aesto Healthは公表文で、個人情報の保護を最優先とし、慣行を継続的に評価して安全性の向上に取り組むと述べている。同社は問い合わせ用の専用窓口（電話 833-918-8060、米中部時間の平日8時〜20時、エンゲージメント番号 B167683）を設置し、患者からの質問に対応するとしている。

また同社は、連邦法で認められた信用情報の確認や、不正利用が疑われる場合の法執行機関や連邦取引委員会（FTC）への相談といった一般的な手順を案内している。これらは同社の通知文に記載された手続きであり、同社が患者向けに示した案内に基づくものである。

日本の組織が留意すべき点

直接の被害は米国の医療機関とその患者に限られるが、クラウド上に医療や個人情報を集約する形態は日本でも一般的である。委託先やビジネスアソシエイトが保持するデータが侵害されると、委託元全体に影響が波及する点は、国内の医療機関やクラウド利用企業にも共通するリスクである。

委託先の選定では、AWSなどのクラウド基盤の管理体制や、侵害時の通知体制、影響範囲の特定と顧客への連絡プロセスを契約時に確認しておくことが重要になる。

出典

• Notice of Data Security Incident 12-18-25 — Aesto Health（2026年6月24日公開、2025年12月2日〜18日のアクセス、2026年5月26日確認、6月26日からの通知、含まれた情報項目を記載）
• Breach Portal — U.S. Department of Health & Human Services Office for Civil Rights（Aesto Healthの報告として9,540,683人が登録）