デジタル薬局スタートアップのTruepillは、ハッカーが230万人の患者の機密データにアクセスしたと発表

医療機関向けに薬局フルフィルメントサービスを提供するデジタルヘルススタートアップ企業Truepillは、ハッカーが230万人以上の患者の個人データにアクセスしたことを確認した。

同社はウェブサイトで公開したデータ漏洩通知の中で、TruePillの親会社であるPostmedsが、8月30日から9月1日の間に匿名の攻撃者が薬局管理およびフルフィルメントサービスに使用されるファイルにアクセスすることを許した「サイバーセキュリティインシデント」を経験したと述べている。

同社の調査により、アクセスされたファイルには、患者氏名、特定されていない人口統計情報、薬剤の種類、処方医の氏名など、顧客の機密情報が含まれていたことが判明した。トゥルーピル社は、社会保障番号は同社がこれらの情報を受け取っていないため、関係していないと述べた。

Truepill社は、米国保健福祉省のデータ漏洩報告ポータルに提出された法的書類に基づき、230万人の患者が影響を受けたことを確認した。Truepill社のウェブサイトによると、同社は2016年の創業以来、300万人以上の患者にサービスを提供し、2,000万枚の処方箋を配達してきたという。

Truepillは、セキュリティプロトコルを強化し、従業員向けのサイバーセキュリティ研修を追加で実施していると述べた。同社は、システムがどのように侵害されたのか、また将来の侵害を防ぐためにどのような具体的な対策を講じているのかについては明らかにしておらず、広報担当者はTechCrunchの質問には回答しなかった。

このデータ侵害は、10月30日に関係者に初めて伝えられ、既に集団訴訟の対象となっている。集団訴訟では、このサイバーセキュリティインシデントは、ポストメッズが顧客情報を保護するための適切なデータセキュリティ対策を講じていなかったことが直接の原因であると主張している。具体的には、同社がサーバー上に保管されている機密性の高い医療情報を暗号化していなかったと訴えている。

先週、トゥルーピルは、同薬局が規制薬物の処方箋数千枚を違法に調剤したとの疑惑で米麻薬取締局と和解した。