AdaptHealthの情報漏えい（約412万人）：健康保険と病状の情報が漏れ、患者は保険の明細と電話を確かめる

同社は、現在の連絡先が分かっている対象者全員に通知したとしています。疑問があれば、同社の発表にある（844）958-8963（米国中部時間の平日8:00〜17:30、米国の祝日を除く）に問い合わせます。

通知文が本物かどうか不安なら、同社の公式サイトの発表と、HHSの公開一覧（ocrportal.hhs.gov）を自分で開いて照合してください。照合の手順は 米国の医療情報漏えい6件と、通知の確かめ方 にまとめています。

同社は、対象者全員に少なくとも12か月間、信用監視（クレジットモニタリング）を含む身元保護サービスを無料で提供するとしています。登録に使うコードと期限は通知文に書かれています。

SSNは漏れていないため、3つの信用情報機関での凍結は必須ではありません。ただ、ほかの事件でSSNが漏れたことがあるなら、この機会に凍結しておくのも一つの方法です。

EOB（Explanation of Benefits）は、保険会社が「誰に・何の医療に・いくら払ったか」を知らせる明細です。米連邦取引委員会（FTC）は、受けていない医療の請求や、知らない医療費の取り立ての連絡を、医療のなりすましの兆候に挙げています。

在宅医療機器の場合は、受け取っていない機器や用品の請求がないかも見てください。Medicareに加入している人は、届く明細の日付とサービスを自分の記録と照らし合わせるよう、Medicareが案内しています。

漏れた情報には、連絡先と健康の情報（どんな機器を使っているか）が含まれ得ます。そのため、あなたの機器の名前を挙げて「交換の時期です」「保険の確認が必要です」と言う電話も、それだけでは本物の証拠になりません。

その場で保険番号やMedicare番号を答えずにいったん切り、AdaptHealthの請求書や機器に書かれた番号か、処方した医師に自分からかけ直してください。Medicareは、Medicareが電話で何かを売り込んだり自宅を訪ねたりすることはないとしています。見分け方の基本は フィッシングとは を参照してください。

FTCは、心当たりのない請求を見つけたら、関係する医療機関から自分の記録を取り寄せて確認し、誤りを書面で伝え、IdentityTheft.govで回復の計画を作るよう勧めています。Medicare番号が使われた疑いがあれば、1-800-MEDICARE（1-800-633-4227）に連絡します。

自社のシステムに入れる委託先のアカウントを、会社名・担当者・入れるアプリ・見られるデータ・有効期限の表にします。期限が空欄のもの、担当者が分からないもの、業務に必要な範囲より広いものから、範囲を絞るか止めます。

委託先にも、自社の従業員と同じ多要素認証の要件を課します。強い認証の選び方は 多要素認証の選び方 にまとめています。

共有ドライブ、文書保管の仕組み、表計算ファイルから、取引先ポータルや保険請求のサイトのパスワードが書かれたファイルを探します。見つかったら、権限を分けられるパスワード管理の仕組み（企業向けのパスワードマネージャーなど）に移し、元のファイルは消します。個人向けの考え方は パスワードマネージャーの選び方 にあります。

自社の中だけを封じ込めても、持ち出されたパスワードで取引先のシステムには入れます。保存されていた認証情報の一覧を事前に持っておき、事案が起きたらその日のうちに全部変える手順と、取引先に知らせる連絡先を決めておきます。

報告書は「セッションが乗っ取られた」と書いています。セッションとは、ログインしたあとに一定時間そのまま使える状態のことで、ログインの時点で多要素認証を通っていても、その後の操作は見えにくくなります。委託先のセッションは有効時間を短くし、患者データの一括ダウンロードなど大きな操作では再認証を求め、1つのアカウントが普段より多くのデータを読んだら通知する設定を置きます。全体の考え方は 組織のセキュリティ対策、最低限はどこか で扱っています。