インシデント / INCIDENT / HEALTHCARE
医療ITのVeradigmが患者データ侵害を開示 — 委託先の認証情報からAPI経由で個人情報を複製
米Veradigmは2026年9月8日、第三者ベンダーの環境から同社APIの認証情報が奪われ、少数顧客に属する患者の個人データ（社会保障番号を含む）が複製されたとSEC届出で開示した。診療情報は含まれず、業務への支障もないとしている。
要点
- 米シカゴの医療IT企業Veradigm Inc. は2026年9月8日、第三者ベンダーの環境に起因するサイバーセキュリティ事案 により、一部顧客に関連するデータが影響を受けたと、米証券取引委員会（SEC）への届出（Form 8-K）で開示した。
- 同社の調査によれば、権限のない第三者がベンダー環境から同社APIの認証情報を入手 した。このAPIは、ベンダーが同社顧客向けサービスを提供するために用いるもので、攻撃者はこの認証情報を用いて患者の個人データの複製をダウンロード した。一部の患者については社会保障番号（SSN）が含まれていた。
- 診療・医療データは含まれていない。ベンダーの侵害された認証情報が許した到達範囲は当該の限定インタフェースのみで、同社の広範なネットワーク、サーバ、データベース、その他のシステムへのアクセスには至らなかった と同社は説明している。業務の中断も生じていない。
何が起きたのか — ベンダー用のAPI認証情報が奪われた
Veradigmは、診療所や病院向けに電子カルテ関連サービスや電子処方、患者管理などのソフトウェアを提供する医療技術企業である。今回の事案は同社自身のネットワークへの直接侵入ではなく、委託先ベンダーの環境から、同社APIへアクセスするための認証情報が奪われた 点に特徴がある。攻撃者は正規のベンダー経路を装ってAPIを利用し、患者の個人データを複製した。
同社は事案の把握後、インシデント対応手順を直ちに開始し、法執行機関へ通知 した。調査は継続中であり、影響を受けたデータの精査を進めるとともに、影響を受けた顧客と個人への通知、対象者への信用監視サービスの提供 を行っている。潜在的な負債の範囲は未確定だが、現時点で入手可能な情報に基づけば、事業や経営、財務状態に重大な影響を与える可能性は低い との見解を示している。
サプライチェーン経由の侵害という教訓
自社の境界防御が堅牢でも、業務委託先に渡した認証情報が、委託先の環境ごと奪われる ことで侵害が成立する構図は、医療分野に限らず多くの組織に当てはまる。今回の届出では、奪われた認証情報で到達できた範囲が当該APIの限定インタフェース内にとどまったことが、被害の限定につながったと説明されている。
Veradigmの届出は、被害範囲の限定性（診療データを含まないこと、到達範囲がAPI内に閉じたこと）を具体的に示している。委託先に渡した認証情報の管理責任と、事案発生時の連絡体制がどう定められていたかが問われる事例といえる。
出典
この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。