米医療ITを標的にしたサイバー攻撃が続発——今度はCranewareが被害#
英国に拠点を置く医療請求ソフトウェアメーカー「Craneware」が深刻なサイバー攻撃を受け、大量の顧客データが盗まれたことが明らかになりました。同社は2026年7月21日（現地時間）、ロンドン証券取引所への届出を通じてこの事実を公表しています。
Cranewareとはどんな企業か#
Cranewareは、米国の数千に上るクリニック・病院・薬局が利用する会計・請求ソフトウェアを主力製品として展開する英国企業です。医療機関が患者に対してサービスの請求を行う際に必要なシステムを提供しており、その性質上、膨大な医療記録や患者データを顧客に代わって管理しています。
同社は2021年にフロリダ州に拠点を置く薬局向けソフトウェアメーカー「Sentry」を買収した際、同社が20年以上にわたって収集してきた1億4,700万件の患者記録にアクセスできる立場になったと公表しています。この規模からも、Cranewareが扱うデータの量と重要性がうかがえます。
今回の攻撃で何が起きたのか#
同社の発表によれば、ハッカーはCranewareのシステムから「相当量（significant volume）」の顧客データを外部へ持ち出したとされています。流出したデータの種類については「一定割合の従業員データ、顧客データ、パートナー記録」と説明されていますが、具体的にどのような種類のデータが含まれているかは明示されていません。
また、攻撃者はすでにシステムから排除されたとみられるとのことですが、調査は現在も継続中です。ハッカーが身代金などの要求をしているかどうかについては、同社CEO Keith Neilson氏がTechCrunchの取材に応じておらず、現時点では不明です。詳細は元記事を参照してください。
なぜ医療IT企業が狙われるのか#
このニュースが特に重要な理由は、Cranewareのような医療請求・分析ソフトウェアを提供する企業は、多数の医療機関の患者データを一元的に扱っているという点にあります。こうした「サプライチェーン」の上流に位置するIT企業を1社攻撃するだけで、ハッカーは複数の医療機関に紐づく大量の患者情報へアクセスできてしまいます。
さらに、入手した医療データを公開すると脅すことで企業を恐喝する手口も確認されており、医療データの機密性の高さがこのビジネスモデルを成立させているとも言えます。
相次ぐ医療IT企業へのサイバー攻撃#
Cranewareの被害は孤立した事例ではありません。ソース記事によると、近年だけでも以下のような事案が確認されています。
- 2026年3月: 医療収益テクノロジー企業「TriZetto」が、以前のサイバー攻撃で340万人以上の個人・健康データが盗まれたと認定
- 2026年3月: 医療データストレージ大手「CareCloud」が電子健康記録の漏洩を報告（流出規模は未公表）
- 2025年7月: 医療請求会社「Episource」が少なくとも540万人への情報漏洩通知を開始
- 2024年: ロシア語話者によるランサムウェアグループが「UnitedHealth」傘下の「Change Healthcare」をハック。少なくとも1億9,200万人分の医療・患者記録が盗まれ、同社は米国の「相当数の人々」に影響が及んだと認めた。これは米国史上最大の医療・ヘルスケアデータ漏洩事件とされています。
まとめ#
Cranewareへのサイバー攻撃は、米国の医療インフラを支えるITサプライチェーン全体が攻撃者の標的になっているという現実を改めて示しています。特に、患者データを大規模に集約・管理する立場にある医療請求・請求分析ソフトウェア企業は、その影響範囲の広さゆえに高い攻撃価値を持つターゲットとなっています。
筆者の見解: 今回の事案は、医療機関が直接攻撃されるケースだけでなく、医療機関が依存するITベンダーのセキュリティ水準そのものが患者データ保護の鍵を握るという構造的問題を浮き彫りにしています。今後も同様の攻撃が継続する可能性は、過去の事例の連続性からも示唆されるところです。
流出データの具体的な内容や攻撃者の要求については調査が継続中であり、詳細は元記事および今後の続報を参照することをお勧めします。
