米AdaptHealthで410万人超の患者情報が流出 — 6月5日の攻撃を8月に確定、社会保障番号や金融情報は含まず

在宅医療機器大手の米AdaptHealthは2026年8月14日、同年6月5日に受けたサイバー攻撃で、個人情報を含む同社システムへ不正アクセスがあったと発表した。米保健福祉省（HHS）の侵害報告ポータルへの届出では、影響者は4,115,802人に上る。睡眠時無呼吸や呼吸器疾患向け機器など在宅医療サービスを全米で展開する同社の事案である。

同社は社会保障番号やクレジットカード・銀行口座などの金融情報は流出対象に含まれていないと説明している。医療情報を扱う日本企業にとっても、攻撃の経路と開示対応は参考になる。

時系列 — 6月5日の攻撃、6月15日の発覚、8月14日の確定通知

同社の公式通知と米証券取引委員会（SEC）への届出で示された経緯は次の通りだ。

• 2026年6月5日: 攻撃者が同社システムへ不正アクセスした
• 2026年6月15日: 同社が攻撃を検知し、攻撃の停止、法執行機関への通報、調査に着手した。同日、攻撃者からデータを暴露しない見返りに身代金の支払いを要求する連絡があった
• 2026年7月2日: 同社がSECへ事案を届け出た。届出では、クラウド上の業務アプリケーションや患者管理システム、文書保管基盤、電子健康記録のポータルが影響し、第三者委託先の特権アカウントがソーシャルエンジニアリングで侵害された経路だと説明している
• 2026年8月14日: 調査結果を確定させ、公式通知を公開した

流出した情報の内訳と含まれない情報

同社が8月14日の通知で示した、流出した可能性がある情報は次の通りだ。

• 氏名、連絡先情報、人口統計情報
• 医療保険情報、医療情報

一方、同社は社会保障番号、クレジットカードやデビットカード情報を含む金融情報、銀行口座情報は含まれていないと明言している。同社はまた、この事案に起因する個人情報の不正利用（なりすましや詐欺など）は確認していないと述べている。

同社が示す対応 — 通知と12か月間の無料監視サービス

同社は、連絡先を把握している影響者全員へ通知し、少なくとも12か月間の信用監視を含む個人情報保護サービスを無償で提供すると発表した。問い合わせ窓口として無料電話（844）958-8963（月〜金、米中部時間8時〜17時半）も案内している。

侵入経路と利用者への案内 — 同社が説明している事実

同社のSECへの届出では、攻撃者が第三者委託先の特権アカウントをソーシャルエンジニアリングで侵害し、クラウド上の業務アプリケーションに侵入したと説明している。6月15日には攻撃者からデータを暴露しない見返りに身代金を要求する連絡があったことも、同届出で明らかにしている。

利用者向けに同社が案内しているのは、同社からの通知に従い、無償の12か月間の信用監視サービスに登録することである。不審な請求や問い合わせを受け取った場合は、同社が案内する正規の問い合わせ窓口（(844) 958-8963）に確認するよう呼びかけている。

出典

• AdaptHealth, “AdaptHealth Notice of Cybersecurity Incident”（2026年8月14日公開）: https://adapthealth.com/blogs/notices/adapthealth-notice-of-cybersecurity-incident-1
• U.S. Department of Health and Human Services, OCR Breach Portal（侵害報告ポータル）: https://ocrportal.hhs.gov/ocr/breach/breach_report.jsf
• AdaptHealth, Current Report on Form 8-K（2026年7月2日届出、EDGAR）: https://www.sec.gov/Archives/edgar/data/1725255/000110465926080297/ahco-20260627x8k.htm