CMS、サイバー侵害について100万人近くに通知

メディケア・メディケイドサービスセンターとウィスコンシン州医師サービス保険会社は、サイバー侵害により保護された健康情報やその他の個人識別情報が漏洩した可能性のある 946,801 人に書面による通知を郵送しています。

CMS へのファイル転送に使用されるサードパーティ アプリケーションである MOVEit ソフトウェアにセキュリティの脆弱性が見つかりました。このアプリは Progress Software によって開発され、Wisconsin Physicians Service Insurance Corporation によって使用されていました。

Progress Software は、2023 年 5 月 31 日に MOVEit ソフトウェアの脆弱性を発見し、一般に公開しました。同社は、WPS が適用したソフトウェア パッチをリリースしました。

当初の調査では、WPS は、WPS MOVEit アプリケーション内のファイルのコピーが不正な第三者によって取得されたという証拠は確認しませんでした。しかし、今年 5 月、新たな情報に基づき、WPS はサードパーティのサイバーセキュリティ企業の協力を得て追加の調査を実施しました。

7 月 8 日、影響を受けたファイルの別の部分を評価したところ、WPS は 2023 年 5 月 27 日から 31 日の間に、権限のない第三者が WPS の MOVEit ファイル転送システムからファイルをコピーしたことが判明しました。

同日、WPS は CMS に対し、メディケア請求データなどの保護された医療情報や関連する個人識別情報を含むファイルが侵害されたことを通知しました。
2023 年 6 月初旬にパッチが適用された後、権限のない第三者によるさらなる活動の証拠は見つかりませんでした。

なぜこれが重要なのか

漏洩した情報には、名前、社会保障番号または個人の納税者番号、生年月日、郵送先住所、性別に関する情報、病院の口座番号、サービスの日付、メディケア受給者識別子 (MBI) および/または健康保険請求番号が含まれる可能性があります。

CMSは、WPSと連携し、法執行機関やサイバーセキュリティのフォレンジックコンサルタントと協力して、この事件の調査を継続していると述べた。

「CMSとWPSは、この事件の直接的な結果として、個人情報の不正使用や個人情報の不正使用の報告は承知していないが、この機会に通知することで、希望する場合は、この通知に記載されている情報やリソースを活用できる」とCMSは書簡で述べた。

CMS は無料の信用監視に関する情報を提供しており、影響を受ける可能性のある人々には新しいメディケア番号が記載された新しいメディケア カードを提供しています。メディケアの給付と補償範囲には影響はありません。

WPS は、Experian のクレジット監視およびその他のサービスを 12 か月間無料で提供しています。

連邦取引委員会は定期的に信用報告書を確認することを推奨しています。連邦法では、個人は12か月ごとに1つの無料の信用報告書を受け取る権利があります。詳細については、1-877-322-8228に電話するか、 年次クレジットレポート。

不審な活動を発見した人は、地元の警察に連絡し、警察に報告するよう求められます。

さらに詳しい情報は、Experian（833-931-5700）または1-800-MEDICARE（1-800-633-4227）までお電話ください。

より大きなトレンド

Wisconsin Physicians Service は、CMS の Medicare Part A および/または B の請求と関連サービスを処理する CMS 請負業者です。

CMS によると、WPS は米国の多くの組織が MOVEit の脆弱性の影響を受けた組織の一つである。このセキュリティ インシデントは、メディケア請求の管理で収集されたメディケア受給者の個人情報に影響を与えた可能性がある。また、CMS 監査をサポートするためにプロバイダー データを収集した際に、メディケア受給者ではない個人にも影響を与えた可能性がある。

英国の調査機関によると、米国以外の組織もMOVEitの脆弱性の影響を受けている。 国立サイバーセキュリティセンター。

サイバー攻撃は、機密ファイルを安全に転送するために使用されているMOVEitマネージドファイル転送サービスの欠陥を悪用したと、 素敵に攻撃は2023年5月27日に始まり、ハッカーがSQLコマンドを挿入してMOVEitの顧客のデータベースにアクセスすることを可能にするゼロデイ脆弱性を利用したと報告書は述べている。ハッカーはCl0pランサムウェアグループと関係があると考えられている。

著者にメールする: メールアドレス

の ヒムス ヘルスケアサイバーセキュリティフォーラムは10月31日から11月1日までワシントンDCで開催される予定です。 詳細と登録。