大規模な医療データ流出を受け、機関に対しセキュリティ改善を命令

Manage My Healthと保健局（Health NZ）は、99,416人の患者のデータが流出したサイバー攻撃を受け、セキュリティ保護を改善するよう命じられた。マイケル・ウェブスター（Michael Webster）プライバシー・コミッショナーは、2025年12月末の事案において、両組織が機密情報を保護するための要件を満たしていなかったことを受け、両組織にコンプライアンス通知を発行した。

流出は2025年12月30日に発生し、攻撃者が盗まれた資格情報を使用してManage My Healthのポータルにアクセスしたことで起きた。ハッカーは「My Health Documents」セクションの脆弱性を悪用し、他の患者に属するファイルにアクセスした。盗まれた資料には、診療の通信記録、検査結果、画像診断報告書、専門医への紹介状、退院サマリー、および患者がアップロードした文書が含まれていた。

プライバシー・コミッショナーは、この流出がノースランドに不釣り合いな影響を及ぼしており、影響を受けた患者の90%が同地に居住していることを指摘した。ウェブスター氏は、「データが盗まれた影響を受けた患者の90%が居住している、ノースランドのマオリ（Māori）の人々のことを特に懸念している」と述べた。

保健局（Health NZ）には必要な変更を完了する期限として2027年1月29日が、Manage My Healthには2027年8月31日が設定されている。Manage My Healthは、すでに多要素認証、ユーザーアクセス制限、および不正な外部アクセスを防止するための管理機能を改善している。

経緯

• 9月23日 11:56流出には403,730の保健局（Health NZ）の文書と、患者によってアップロードされた22,609の文書が含まれていた。

報道による違い

• ある報告書では99,416人が影響を受けたとされており、別の報告書では、ハッカーが403,730の保健局（Health NZ）の文書と22,609の患者アップロード文書を侵害したと報告されている。

Stuff、Otago Daily Timesの報道をもとにまとめました。