トロントの小児患者病院（SickKids）は、現在および過去の一部の従業員に加え、求人への応募者の個人情報が露出したサイバーセキュリティ incidentを明らかにした。同病院は、この事件について第三者が提供するソフトウェアアプリケーションの脆弱性に関連していると説明しているが、ベンダー名、アプリケーション名、脆弱性番号（CVE）は公表していない。
同病院は、臨床システムと患者記録は影響を受けず、医療提供も通常どおり継続したと確認した。求人サイトは、事件への対応中に一時停止されたが、セキュリティを確保した後に再開されたという。
調査は継続中で、データの範囲は未確定
SickKidsは事案を発見した後、独立したサイバーセキュリティ専門家の支援を受けて調査を開始した。初期調査では、SickKidsの現職および元職員、同病院が所有するBoomerang Clinicの職員、SickKids Foundationの職員、さらに求職者の個人情報が露出した可能性が示されている。
同病院は現時点で、アクセスされたデータの種類、影響を受けた人数、侵入が発生した期間を特定していない。影響を受けた情報の確認は続いており、影響が確認された個人には直接通知される。SickKidsは予防措置として、関係する可能性のあるすべての人に通知したほか、24か月間にわたり信用監視と個人情報盗難防止サービスを無料で提供している。
なぜ採用データが重要なのか
採用ポータルには通常、氏名、住所、電話番号、職歴など幅広い個人情報が保存されており、国によっては政府発行の識別情報が含まれる場合もある。そのため、こうした情報は本人確認情報を悪用した詐欺や、病院職員を標的とする、より巧妙なフィッシングおよびソーシャルエンジニアリングの試みに利用される可能性がある。
SickKidsが他の組織も利用するソフトウェアの脆弱性に言及していることから、今回の事件が同じ製品の利用者を狙った、より広範な攻撃の一部である可能性が示唆される。しかし同病院はこれを確認しておらず、製品、ベンダー、対象となる脆弱性も特定していない。したがって、事件がSickKidsの外部にどの程度広がっているかは、現時点では評価できない。
医療分野に関連する過去の事件歴
今回の発表は、同病院または同病院と取引のある組織を襲った過去のセキュリティ事件に続くものだ。2022年12月、SickKidsはランサムウェア攻撃を受け、内部システム、電話回線、病院のウェブサイトが混乱したほか、検査室検査と医療画像診断の結果にも遅延が生じた。ランサムウェア集団LockBitは後に、この攻撃が医療機関の暗号化に関する自らの規則に違反していたと発表し、病院が自力でシステムの復旧におよそ2週間を費やした後、無料の復号ツールを提供した。
2023年9月には、SickKidsは、母子保健データを共有していた外部組織での侵害の影響を受けたオンタリオ州の医療提供者の一つとなった。この事件は、CVE-2023-34362として知られるMOVEit Transferの脆弱性が広範に悪用されたことによるもので、氏名、住所、生年月日、健康カード番号を含む340万人分の情報が露出した。
これらの事例の経緯は、患者記録や臨床業務が特定の事件の範囲外にとどまっている場合でも、医療機関が自らの直接的なシステムを通じて、または関連するソフトウェアや第三者組織を通じてリスクにさらされる可能性を示している。