英の検査機関から漏えいしたデータが公開される

英検査機関Synnovisがランサムウェア攻撃されて流出した患者データがサイバー犯罪グループによって公開されたと、英国の国民保健サービス（NHS）が2024年6月21日に発表しました。

被害

この攻撃により、血液検査システムを使用できなくなり、病院やクリニックの予約や手術が3000件以上中断されています。

　NHSによると、Synnovisはシステムの技術的な復旧に注力しており、今後数週間以内にITシステムの一部機能の復旧を開始する計画を立てているという。「今後数カ月は混乱が続く」としています。

英BBCによると、Qilinサイバー犯罪グループがダークサイトで約400GBの患者データを公開しました。

　QilinはIT系メディアのThe Registerに対し、Synnovisに身代金として5000万ドル（約70億円）要求したが、Synnovisが回答を引き伸ばしたため、「交渉を止め、連絡を断った」と語りました。

　Synnovisは身代金を支払ったかどうかを開示していません。

　各国の法執行機関は、ランサムウェア攻撃の被害者に対し身代金要求に応じないよう要請しています。身代金を支払ってもデータが復元される保証はなく、犯罪者をさらに助長するだけになる可能性があるためです。

BBCが確認したデータのサンプルには、患者の氏名、生年月日、NHS番号、血液検査の結果などが含まれていました。

公開されたデータの詳細は解析中とのことですが、恐らくは血液検査の生データと思われます。（業務が血液検査センターなので）

しかしながら一般的に血液検査結果は医師による専門的な解釈が必要です。（素人が見れば単なる数字の羅列です。）

医師はいくつかの異常値を総合して、真の異常値とダマシの異常値を見極め、さらには時系列の変化を勘案して、病気を診断し重症度を判断しています。

そのプロセスを経ていないデータは暗号化されたままのデータも同然だという事です。

公開されたデータ自体が、医師の専門知識による復号が必要な暗号だということ

つまり素人では解釈困難なままの生データを苦し紛れに公開したということじゃないかと思います。

このようなデータ流出の場合は、形式上は重大な個人情報の侵害には間違いありませんが、実害は乏しいものと思われます。

公開されたそのデータ、まだ暗号化されたままですぜ。といった感じですね。