対象：Photon Health または Blueberry Pediatrics から通知の手紙を受け取った人、そして自社で分析ツールを運用している人。本記事は Photon Health の通知、オレゴン州司法長官の届出一覧、Blueberry Pediatrics の通知文見本にもとづく解説で、攻撃手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月31日時点まだ分かっていないこと
- Photon Health の対象人数
- 他の組織の通知との関係
- 調査についての追加の説明
Photon Health は2026年10月8日に通知を出しましたが、対象人数は公表していません。Blueberry Pediatrics の340,915人は、同社がオレゴン州司法長官に届け出た別会社の数字です。
対象者が今日やること
処方・返金・保険請求を名乗る電話、SMS、メールに応じない
漏れた可能性のある項目は、氏名・住所・電話番号・生年月日に処方薬の情報を足したものです。これだけあれば、電話の相手が本物らしく聞こえます。
「処方に問題がある」「返金する」「薬局のアカウントを確認する」「保険の請求」などの連絡が来たら、いったん切って、保険証や薬局の公式サイトなど自分で調べた番号にかけ直してください。手口の型は フィッシングとは にあります。
連絡してきた相手に、社会保障番号・カード番号・認証コードを教えない
同社は、社会保障番号と金融情報は影響を受けていないとしています。それでも求めてくる相手は、同社が説明している手続きとは関係がありません。
信用情報の監視サービスは、手紙の手続きだけで登録する
同社は、12〜24か月の信用情報の監視と ID 盗難対策を無料で提供するとしています。登録の手順は通知の手紙に書かれており、ウェブの通知には載っていません。届いた覚えのないメールやSMSのリンクから登録しないでください。
受けていない診療の請求がないか、保険会社の明細を見る
健康保険の情報が項目に含まれるのは Blueberry Pediatrics の手紙で、Photon の通知には挙がっていません。それでも、保険会社の給付明細（EOB）に身に覚えのない請求がないか見て、あれば保険会社に連絡してください。
問い合わせは通知に書かれた番号だけに
Photon の通知に載っている電話は 1-844-772-5746（米国東部時間の平日8時〜20時、祝日を除く）です。届いたメッセージ内の連絡先ではなく、通知や手紙にある連絡先を使ってください。
何が起きたのか（各社の通知より）
以下は、別の出典を示した部分を除き、Photon Health の2026年10月8日の通知にもとづきます。
2026年8月21日
同社がこの事案を把握したと説明。9月4日
同社が、影響を受けたデータの確認が完了したと説明。10月8日
通知を公表し、情報が関係した可能性のある人への通知を実施中。
- 対象
- 情報が関係した可能性のある人。人数は記載なし
- 項目
- 氏名、住所、電話番号、生年月日、処方薬の情報。人によって異なる
- 対象外
- 社会保障番号と金融情報（同社は収集・保管していない）
- 原因（同社の説明）
- 事業分析・製品指標・顧客向けダッシュボードのために自社運用しているデータ分析ツール（Metabase）の未知の脆弱性を、権限のない第三者が悪用
- 悪用
- 影響を受けた情報の悪用や悪用の試みの証拠はない
- 対応
- サイバーセキュリティの専門家に調査・封じ込め・修復を依頼。当該環境は安全だとし、技術的な保護策を見直しているとしている
- 支援
- 12〜24か月の信用情報の監視と ID 盗難対策を無料で提供。電話 1-844-772-5746
関連する届出：Blueberry Pediatrics（340,915と記載）
オレゴン州司法長官の漏えい一覧には、2026年10月10日付で Blueberry Pediatrics の届出があり、「Number Affected」欄は340,915（同ページは、これらは届出時点の数字だとしています）、漏えいの期間は8月10日〜22日、発見日は8月26日、通知の送付は10月9日です。一覧にはオレゴン州内の人数の内訳はありません。通知文見本は発見日を8月22日としており、2つの出典で異なります。Blueberry の通知は、患者が子どもであるため保護者宛てです。
同社の通知文見本（カリフォルニア州司法長官に提出されたもの。ひな形では Blueberry Medical の名称）によれば、技術提供元の1つである Metabase の脆弱性を犯罪者が悪用し、患者データの一部の写しが盗まれました。項目は、氏名、健康保険の名称と証券番号、生年月日、診療記録・受診日・医療コード・請求額などの医療情報です。社会保障番号と支払い情報は含まれず、診断のために送られる写真や動画は別に保管され、影響を受けていないと説明しています。
これは別会社の数字です。公表されていない Photon の人数に足さないでください。
カリフォルニア州司法長官の一覧にも Photon Health の項目があり、漏えい日として2026年8月10日が記載されています。同社の通知にある8月21日（同社が把握した日）とは異なります。本記事は、日付を各出典の記載のまま扱います。
分かっていること・分かっていないこと
2026年10月31日時点の状態です。続報が出たら、この表を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 同社の分析ツールへの不正アクセス | Metabase の未知の脆弱性が悪用された | 漏えいを確認（同社） |
| 関係した項目 | 氏名、住所、電話番号、生年月日、処方薬の情報 | 漏えいを確認（同社） |
| 社会保障番号・金融情報 | 同社は収集・保管していない | 含まれない（同社） |
| データの悪用 | 悪用や悪用の試みの証拠はない | 証拠なし（同社） |
| Photon の対象人数 | 通知に記載なし | 未公表 |
| 同社が把握した日 | 2026年8月21日（カリフォルニア州の一覧の漏えい日は8月10日） | 確定（同社）。出典で日付が異なる |
| Blueberry Pediatrics の対象人数 | 340,915人（オレゴン州司法長官の一覧） | 確定（別会社） |
| Photon のパスワード、健康保険情報 | Photon の通知に挙がっていない | 記載なし |
| Photon と Blueberry の通知の関係 | 確認した両文書は相互に触れていない | 記載なし |
項目の組み合わせで何が起きうるか
氏名・住所・電話番号・生年月日は、過去の多くの漏えいで流出済みです。今回特徴的なのは、そこに処方薬の情報が加わっていることで、薬や再処方、保険請求を口実にした電話が本物らしく聞こえます。これはこの種の情報で一般に起きることで、今回それが起きたという意味ではありません。
氏名 + 電話番号 + 処方薬
↓→
再処方や保険請求を名乗る本物らしい電話
→ いったん切って、自分で調べた番号にかける
氏名 + 住所 + 生年月日
↓→
個人情報を使った偽の手紙・SMS・メール
→ リンクを開かず、公式サイトで確認する
同社によれば対象外
- 社会保障番号
- 金融情報
関係した可能性（人により異なる）
- 氏名・住所
- 電話番号
- 生年月日
- 処方薬の情報
読み方：「悪用の証拠なし」は「今後も安全」ではない
同社は悪用や悪用の試みの証拠はないとしています。生年月日は変わらないため、数か月〜数年後にこの情報を使った連絡が来ることもあります。この事件を理由に連絡してくる相手には、しばらく慎重に対応してください。
分析ツールを運用している人へ
同社は、報告書や顧客向けダッシュボード用に自社で運用していたツールで、未知の脆弱性が悪用されたと説明しています。ここでは公表された事実から言えることだけを書きます。脆弱性の技術情報は CVE-2026-72898 の速報、同じ製品で被害が出た他の組織は Metabase の脆弱性を突かれた情報漏えい にあります。
分析ツールが読めるデータを一覧にする
この種のツールは本番のデータベースにつながっていることが多く、読めるものが、侵害されたときに漏れうるものです。今回も、処方薬の情報などが報告用ツールの手の届く範囲にありました。分析に本当に必要なテーブルと列を確かめ、それ以外は読めなくします。
自社で運用するツールと、提供元が運用するツールを分けて把握する
同社は自社運用（セルフホスト）だと説明しています。この場合、更新と公開範囲の管理は運用側の仕事です。自社運用しているツールの一覧と、その修正情報を受け取る手段を決めておきます（背景：osv-scanner）。
把握から通知までの時間を見込んでおく
同社の説明では、把握（8月21日）から通知（10月8日）まで約7週間です。対象データの確認と通知の承認を誰がやるかを事前に決めておくと、そこが詰まりません。
出典（公開情報）
本記事の事実は、次の公開情報にもとづきます。公表されていない原因や人数は推測しません。
- Photon Health「Notice of Data Security Incident」（2026年10月8日）— PR Newswire
- カリフォルニア州司法長官 漏えい届出（Photon Health）— oag.ca.gov
- オレゴン州司法省 漏えい通知の一覧（Blueberry Pediatrics、2026年10月10日届出）— justice.oregon.gov
- Blueberry Pediatrics（Blueberry Medical）の通知文見本（カリフォルニア州司法長官に提出）— oag.ca.gov（PDF）
更新履歴
2026-10-31：初版。Photon Health の10月8日の通知と、上記の当局の一覧にもとづく。人数は公表されていないため、公表され次第この記事を更新する。
次に読む
- 同じ脆弱性の他の組織：Metabase の脆弱性を突かれた情報漏えい（Trezor・Framework・n8n ほか）
- 詐欺の電話・メッセージ：フィッシングとは ／ スマホのセキュリティ基本
- 米国の医療関連の事案：AdaptHealth の情報漏えい ／ 2026年の米国の医療機関の情報漏えい
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）