米医療請求委託先Paradigmに不正アクセス、Medi-Cal加入者97万403人に影響　検知から通知まで約11か月

米カリフォルニア州の公的医療保険制度「Medi-Cal」の請求処理などを受託するParadigm Healthcare Services（以下、Paradigm）が、第三者によるネットワークへの不正アクセスを受け、加入者97万403人の個人情報が影響を受けた可能性があることが分かりました。米保健福祉省（HHS）の公開報告には、同社に関する「ハッキング・ITインシデント」として970,403人が登録されています。

Paradigmは2025年10月13日に不正アクセスを認識していましたが、対象ファイルに個人情報が含まれることと第三者によるアクセスの可能性を特定したのは2026年8月18日でした。州当局への届出・通知文書の日付は2026年9月14日で、不正アクセスの認知から約11か月が経過しています。

Paradigm Healthcareへの不正アクセスのサマリー

• 対象組織は、Medi-Calの請求業務などを受託するParadigm Healthcare Servicesです。
• 攻撃者によるアクセスが問題になった期間は、2025年10月8日から15日までです。
• Paradigmは10月13日に社内ネットワークへの不正アクセスを認識しました。
• 2026年8月18日、一部の個人情報を含むファイルが第三者にアクセスされた可能性があると判断しました。
• 米HHSの報告システムに登録された影響対象者数は970,403人です。
• 対象となり得る情報は、氏名、生年月日、性別、Medi-Cal会員識別番号です。
• 同社のオンライン文書管理・請求サービス「Student Health Network（SHN）」には影響がなかったとしています。
• Paradigmは対象システムの一部を停止し、法執行機関への連絡、外部専門家による調査を実施しました。
• 同社は、今回の事案による詐欺やなりすましの事実を示す証拠は確認していないと説明しています。

※970,403人は米HHSに報告された影響対象者数です。全員の情報が実際に外部へ持ち出されたことや、全員に同一の二次被害が起きたことを示す数値ではありません。

Medi-Calの請求業務を受託するParadigmで発生

Medi-Calは、カリフォルニア州が運営する低所得者などを対象とした公的医療保険制度です。Paradigmは州のDepartment of Health Care Services（DHCS、保健医療サービス局）とのデータ利用契約に基づき、Medi-Calの請求関連業務を処理し、加入者の識別番号を管理していました。

今回不正アクセスを受けたのはParadigmのローカルネットワークです。州政府全体の医療保険システムへの侵入を確認したという発表ではありません。同社は、オンラインで使用する文書管理・請求プラットフォーム「Student Health Network（SHN）」は影響を受けなかったと明記しています。

医療費の請求や会員認証に関係する情報は、診療を行う医療機関の外でも処理されます。保険制度の管理主体とは別の事業者がデータを保管する場合、委託先のネットワークへの不正アクセスが多数の加入者に波及し得ます。

侵入の検知から情報の特定、通知まで約11か月

Paradigmの公式通知と州司法省の公開情報を時系列で整理すると、以下のとおりです。

2025年10月の時点で不正アクセスそのものは認識されていました。一方、「侵入されたかどうか」と「どのファイルに誰の情報が含まれるか」の調査は異なります。今回の公表内容では、その影響範囲の特定に長い期間を要したことが読み取れます。

ただし、原因究明に時間がかかった具体的な理由や、当局報告までの経過については、公開情報だけで評価できるものではありません。遅延の事実から直ちに法令違反があったと断定することはできません。

氏名・生年月日・性別とMedi-Cal会員識別番号が対象

Paradigmは、第三者がアクセスした可能性のあるファイルに、氏名、生年月日、性別、Medi-Cal会員識別番号が含まれていたと説明しています。これらは医療保険の加入者を識別する情報であり、住所や連絡先を含まなくても、別の情報と組み合わせることで本人になりすます材料になり得ます。

特にMedi-Cal会員識別番号は、単なる連絡先とは異なり、医療保険の資格・請求関連の手続きと結び付く識別子です。攻撃者が番号と本人情報を入手した場合、保険関係者を装って追加情報を聞き出すなどの詐欺に利用される可能性があります。

一方、今回の公式通知で列挙されている項目に、病名、診断内容、処方薬、診療明細、社会保障番号（SSN）、クレジットカード番号、パスワードは含まれていません。「保護対象医療情報（PHI）」という米国の法令上の区分だけを根拠に、これらの情報まで漏えいしたと判断することはできません。

医療保険番号の悪用で考えられる危険性

今回の事案で、Paradigmは不正利用・なりすまし詐欺が発生した証拠を確認していないとしています。以下は、仮に対象情報が第三者に取得された場合に想定される二次被害です。

医療保険の不正請求は、被害者自身が直ちに金銭を失わなくても、後から医療利用記録の訂正や保険上の手続きに負担が生じるおそれがあります。これらは一般的な悪用の可能性であり、Paradigmの情報が実際に犯罪に用いられたことを意味しません。

対象のMedi-Cal加入者が取るべき対策

Paradigmは対象者に対して、金融口座明細や信用情報の継続的な確認に加え、信用情報へのFraud Alert（詐欺警戒アラート）やSecurity Freeze（信用照会の凍結）を検討するよう案内しています。米国の制度に基づく対策であり、日本の信用情報機関の手続きとは異なります。

今回のように医療保険の会員識別番号が対象となった場合は、次の確認も検討できます。

1. Medi-Calや関連する医療機関からの通知について、身に覚えのない受診、請求、資格変更がないか確認する。
2. 「医療保険を継続するために本人確認が必要」「補償を受けるには会員番号を送信」といったメールやSMSのリンクから個人情報を入力しない。
3. 相手が氏名・生年月日・会員番号を知っていても、正規の担当者である証拠にはならないと考える。
4. 不審な連絡が届いた場合は、メッセージ内の連絡先ではなく、Medi-CalやParadigmの公式サイトから確認した窓口を利用する。
5. 身に覚えのない利用や請求を発見した場合は、保険制度の窓口や医療機関へ速やかに照会し、通知・明細を保管する。

Paradigmは専用の問い合わせ窓口として電話番号「1-833-851-9382」を公開しています。本人向けの対策に加え、個人情報漏えい時のリスクと対処方法も参考になります。

医療情報を扱う組織が確認したい委託先管理と調査体制

今回、医療保険の管理主体ではなく請求処理の委託先で起きた不正アクセスが多数の加入者情報に影響しました。医療機関や保険者、関連するシステム事業者は、委託先に預けている情報を含めて保存先・利用者・アクセス権限を確認する必要があります。

企業の情報システム部門や監査部門では、ネットワークへの侵入を検知した際に、保管ファイルの内容と影響対象者をどの程度迅速に特定できるかも点検対象になります。例えば、保管データの分類、ログの保持期間、委託先からの証拠提供方法、影響範囲調査に必要な責任分担などです。

また、医療保険の会員識別番号を必要以上に複製・保管しないこと、請求業務用ネットワークから他のシステムへのアクセスを必要最小限にすることも検討できます。これらは本件での具体的な侵入経路が判明したことを意味するものではなく、同種の委託業務のリスクを低減する一般的な管理策です。

委託先管理や不正アクセス発生後の調査・対応については、企業の情報漏えい対策と発生時の対応で整理しています。

出典

• Notice of Data Breach — Paradigm Healthcare Services（公式通知）
• U.S. Department of Health and Human Services, Office for Civil Rights — Breach Portal
• Search Data Security Breaches — California Department of Justice, Office of the Attorney General