医療ID盗難の脅威：詐欺師はあなたの医療記録から個人情報をどう盗むのか

多くの人は、オンライン・オフラインを問わず、銀行口座などの金融情報を厳重に管理しています。社会保障番号や口座番号が他人に知られることがどれほど危険か、誰もが理解しています。しかし、同じくらい深刻な被害をもたらしうるもう一つの情報——医療記録の存在を忘れている人が少なくありません。

完全な医療記録は、なりすまし犯にとって夢のような情報の宝庫です。さらに悪いことに、適切な保護が怠られがちなため、これらの記録は比較的簡単に手に入ってしまうのです。ここでは、病院で署名する書類に潜むリスクと、大切なデータを守るためにできる対策を詳しく解説します。

なぜ医療記録が狙われるのか？

医療記録がなりすまし犯の標的になると聞いて、不思議に思う人も多いでしょう。「膝の手術を受けたこと」や「肺炎の薬を服用していること」を知られて何になるのか？と思いがちです。しかし見落とされがちなのは、医療記録には個人情報がすべて含まれているという点です。氏名、住所、生年月日、社会保障番号（またはそれに相当する番号）などに加え、請求情報や過去の住所まで記録されていることもあります。

要するに、医療記録にはなりすまし犯があなたになりすますために必要な情報がすべて揃っているのです。これほど完全なデータ源はほかにほとんどなく、しかも「守るべき重要な情報」という世間の認識が薄いため、他の情報よりも入手しやすいのが実情です。銀行で顧客データが漏洩したと知れば、顧客は憤慨するでしょう。ところが、病院や診療所のカルテが漏洩したと知っても、患者はそれほど心配しないのが現状です。

さらに、医療記録は比較的簡単に入手できます。世界中には無数の医師、病院、保険会社がありますが、その多くはITセキュリティに巨額を投じる大企業ではありません。JPモルガン・チェースやシティグループ、ドイツ銀行を攻撃するよりも、小さな病院や個人診療所、中小の保険会社に侵入する方がはるかに容易です。

さらに厄介なのは、クレジットカードやデビットカードの不正利用に適用される消費者保護が、医療詐欺には及んでいない点です。つまり、被害者は受けた覚えのない医療サービスの請求を支払わされる可能性があるのです。消費者保護の欠如は、請求情報を受け入れる側の審査の甘さにもつながり、詐欺を実行しやすくしています。

ハッカーよりも身近な人が危険

とはいえ、医療ID盗難のすべてがインターネット経由の悪意ある攻撃によるものではありません。Ponemon Instituteが2013年に実施した調査によると、医療ID盗難の被害者の大多数は、遠く離れた場所にいるハッカーではなく、身近な関係者によって被害を受けていました。全ケースの30%では、被害者が信頼できると思った相手に自ら情報を提供しており、28%では友人や親族が同意なしに記録へアクセスしていました。

この調査が示すのは、多くの人が「ハッキング」と呼ぶものの実際はハッキングではなく、単純な詐欺だということです。被害者の一部は自発的に情報を渡したり、騙されて提供したりしました。また、自宅やパソコン内に情報を放置していたため、PCにアクセスできる他人に盗まれたケースもあります。これは現代的なひねりを加えた、昔ながらの窃盗なのです。

実際、同調査によると、ハッキングやフィッシングなどのサイバー攻撃に起因する医療ID盗難は全体のわずか15%でした。ハッカーよりも、知人に記録を盗まれる可能性の方が4倍高いということです。

防御力を高めるために

医療記録盗難の多発ぶりを見ると、過剰に警戒したくなりますが、悪いニュースの中にも良いニュースが隠れています。記録の大半は、本人が予防できる手段で盗まれているのです。自分自身に問うべき質問はこうです：「自分の医療記録がどこにあり、どうアクセス可能か把握しているか？」

入手した書類を段ボール箱に放り込んだり（紙の場合）、適当なフォルダーに保存したり（デジタルの場合）する人が多くいますが、これは危険です。紙の記録は目につかない場所に保管するか、できれば耐火金庫にしまいましょう。デジタルデータについては、追加のセキュリティ層で保護すべきです。ファイル暗号化の手法を学び、PC上のファイルを守りましょう。

また、医療機関のオンラインアカウントを自己監査することをおすすめします。まずアカウントの一覧を作成し、それぞれにアクセスして、どんな情報が閲覧可能か、仕組みはどうなっているかを再確認しましょう。そして、各アカウントに強固で一意なパスワードが設定されていることを確認してください。二要素認証が用意されていない場合が多いため、強力なパスワードが主な防衛線となります。アカウントへのアクセス時にメール通知してくれる機能があれば、必ず有効にしましょう。

一部の大手医療機関は、医療記録にアクセスできるスマートフォンアプリを提供しています。これらは通常、記録の一部しか表示できない設計になっており、アプリ単体でのなりすましは困難です。ただし、アプリから完全な記録を請求したり、アプリ内の情報を使ってなりすましたりすることは可能かもしれません。この情報への簡単なアクセスを防ぐため、スマホにはロックをかけましょう。

情報漏洩に目を光らせる

「本物の」ハッキングで盗まれる記録は15%と少数派ですが、それでも数十万件規模に相当します。フィッシング攻撃を避ける以外に能動的に対処できることは限られますが、DataLossDB（現在はサービス終了）のようなデータ漏洩情報サイトでアラートを設定すれば、自分の情報を含む漏洩事件に注意を払えます。この種のサイトは大小さまざまなデータ漏洩の総合リストとして機能します。最も深刻な漏洩事件しかニュースには取り上げられないため、報道だけに頼るのは得策ではありません。

クレジットモニタリングサービスも役立ちます。信用情報を監視していれば、自分の名前で新たにクレジットを開設しようとする試みを検知でき、不正の大部分を捕捉できます。欠点は月額料金がかかること、そして不正を即座に阻止する保証はないことです。あくまで対応を可能にするものであり、通知を受け取った時点で迅速に行動すれば、被害を軽減または解消できる可能性があります。

特に慎重な人や、標的にされる恐れのある人は、「不正利用警告（フラウドアラート）」でさらに自衛できます。これはEquifax、TransUnion、Experianなどの主要な信用情報機関に届け出る通知です。米国では、本人が事前に確認しない限り、新しい信用口座や申請が自分の名前で開設されるのを防げます。警告は90日間有効で無料で申し込め、90日ごとに更新可能です。海外の読者は、国によって制度の詳細が異なる点に注意してください。

医療ID盗難に対して無防備でいる必要はない

医療ID盗難は恐ろしい経験になりかねませんが、完全に無防備なわけではありません。不正の大半は、あなたのデータにアクセスできる人による単純な窃盗です。そのアクセスを遮断すれば、リスクを大幅に減らせます。データ漏洩に注意を払い、クレジットモニタリングに登録することで、防御力はさらに向上します。セキュリティ全般に言えることですが、完璧な解決策は存在しません。しかし、いくつかの先回りの対策を講じることで、被害者になる可能性はぐっと下がるのです。