米TechCrunchは、医療データを大量に扱うヘルステック企業CareCloudが、ハッカーによる医療記録の窃取を受け、数十万人規模の関係者に通知を開始したと報じました。医療DXが進むなか、患者データを扱うクラウド型サービスの安全性は、日本の医療機関やヘルステック企業にとっても他人事ではありません。
医療テックのデータ大手であり、患者の医療データを大量に取り扱うCareCloudは、ハッカーが同社の保護された医療データ保管領域のひとつを攻撃したと明らかにした。
医療データ流出が深刻な理由──「氏名とメール」だけでは済まない
今回の報道で注目すべきは、狙われたのが一般的な顧客情報ではなく、「保護された医療データ」を含むデータ保管領域だったという点です。医療情報には、診療履歴、処方薬、検査結果、保険情報、場合によっては既往歴やメンタルヘルスに関する情報など、極めてセンシティブな内容が含まれる可能性があります。
クレジットカード番号であれば再発行が可能ですが、医療履歴は一度流出すると取り消すことができません。さらに、医療データはフィッシング詐欺、保険詐欺、なりすまし、脅迫、差別的利用などに悪用されるリスクがあります。サイバー犯罪者にとって、医療記録は「高値で取引される個人情報」として価値が高いのです。
日本の医療DXにも直結する問題
電子カルテ、オンライン診療、医療SaaSの普及で攻撃対象は拡大
日本でも電子カルテ、オンライン診療、医療予約システム、クラウド型レセプト管理、医療機関向けSaaSの導入が進んでいます。これは医療現場の効率化に不可欠な流れですが、一方で患者情報が複数の外部サービスやクラウド環境に分散して保存される構造を生み出します。
その結果、病院そのものだけでなく、医療ITベンダー、予約管理サービス、検査データ管理会社、クラウド基盤事業者なども攻撃対象になります。CareCloudの事例は、まさに「医療機関を支えるテック企業」が狙われる時代を象徴しています。
日本では個人情報保護法に加え、医療情報システムの安全管理に関するガイドラインなどが整備されていますが、実際の運用では中小規模の医療機関や関連事業者ほど、セキュリティ人材や予算の確保が難しいという課題があります。
今後問われるのは「通知の早さ」と「サプライチェーン全体の防御」
今回、CareCloudが「数十万人」に通知を開始したという点は、インシデント後の対応として重要です。医療データ流出では、被害者が早期に自分の情報が危険にさらされたことを知り、詐欺メールや不審な保険請求、なりすまし被害に備える必要があります。
ただし、本質的には流出後の通知だけでは不十分です。医療データを扱う企業には、暗号化、アクセス権限の最小化、多要素認証、ログ監視、侵入検知、バックアップ、委託先管理など、複数の防御策を組み合わせることが求められます。
特に日本企業にとって重要なのは、「自社は直接医療機関ではないから関係ない」という考えを捨てることです。医療予約、決済、クラウド保管、AI診断支援、ヘルスケアアプリなど、患者データに触れるすべての事業者が、医療インフラの一部として責任を負う時代になっています。
ヘルステックの成長には「信頼」が不可欠
医療分野におけるAI活用やデータ連携は、今後さらに加速します。診断支援、個別化医療、創薬、予防医療など、患者データの活用が社会にもたらすメリットは大きい一方で、ひとたび大規模流出が起きれば、利用者の信頼は大きく損なわれます。
CareCloudの事例は、ヘルステック企業にとってセキュリティが単なる技術部門の課題ではなく、事業継続とブランド信頼を左右する経営課題であることを示しています。日本の医療DXも、利便性だけでなく「どのように患者データを守るのか」を前面に打ち出す段階に入っています。
引用元: CareCloud begins to notify hundreds of thousands after hackers stole medical records
