米国の保険業者から470万人分のデータがGoogleへ流出、アナリティクスの誤設定により

佐々山 Tacos

2025.04.24

4月24日：サイバーセキュリティ関連ニュース

米国の保険業者から470万人分のデータがGoogleへ流出、アナリティクスの誤設定により

The Record – April 24th, 2025

米カリフォルニア州の非営利健康保険業者Blue Shieldが、被保険者470万人に影響を与えるデータ侵害について報告。このインシデントは、Googleアナリティクスの誤設定によって引き起こされたという。

Blue Shieldでは、被保険者によるWebサイト利用状況を組織内で追跡する目的でGoogleアナリティクスを使用してきた。しかし同組織の声明によれば、2021年4月から2024年1月までの期間における同ツールの設定により、被保険者データをGoogleの広告出稿サービス「Google広告」へ共有することが可能になっていたことを2025年2月に発見したという。この設定ミスにより、保護対象保健情報（PHI）を含む以下の情報がGoogleの手に渡った恐れがあるとされる。なお、Blue Shieldは2024年1月にGoogleアナリティクスとGoogle広告の接続を解除済みだという。

保険プラン名
タイプとグループ番号
都市名と郵便番号
性別
家族の人数
Blue Shieldが被保険者のオンラインアカウントに割り当てた識別子
医療請求の日付とサービス提供者、患者名、患者の金融責任
医療機関検索機能「Find a Doctor」での検索条件と検索結果（所在地、プラン名とタイプ、プロバイダー名とタイプ）

Blue Shieldは「Googleは、こうしたデータを該当する個人に対する広告キャンペーン実施のために使った可能性がある」としながらも、「悪意あるアクターは関与していない」ことと、Googleが広告以外の目的でこの情報を使用していないこと、またGoogleから他者への情報共有は一切行われていないことを強調している。The RecordはGoogleに対し、これらのデータは削除されているのか、されていなければ現在どこにあるのか問い合わせたが、返答は得られなかったという。

テック企業や医療関連企業による患者データの広告目的での利用は、5年以上前から問題視されてきた。2023年には米連邦取引委員会（FTC）と米保健福祉省（HHS）がおよそ130の医療・保健関連組織へ共同書簡を送付し、MetaピクセルやGoogleアナリティクスといった追跡テクノロジーがもたらすセキュリティリスクについて警告している。こうしたツールはユーザーの識別情報をユーザー自身では回避しにくい形で収集している上、ユーザーは自らの保健データが第三者へ開示されることにも気づきにくい。またこれまでに、機微な保健データを収集した、またはGoogleなどの第三者ベンダーと共有したことにより、KaiserやBetterHelpといったいくつかの企業が多額の制裁金を科されている。

一方で昨年には、米連邦裁判所が、病院やその他の医療提供者によるオンライントラッカーの使用を制限しようとするバイデン政権の取り組みは違法であるとの判決を下し、これを受けて連邦政府は、病院によるWebトラッキングツールの導入を制限する新たな規制を撤回するに至っていた。

WinZipに、MOTWバイパスを可能にするゼロデイ脆弱性：CVE-2025-33028

Securityonline[.]info – April 23, 2025

ファイルの圧縮、暗号化、共有、およびデータバックアップ機能を提供する人気のZipユーティリティ「WinZip」におけるゼロデイCVE-2025-33028について、サイバーセキュリティ研究者が報告。29.0以前の全バージョンに影響を与えるこの脆弱性により、WindowsのセキュリティメカニズムであるMark of the Web（MOTW）を回避することが可能になるという。

M0TWはインターネット上からダウンロードされたファイルに自動的にメタデータを付与することで、当該ファイルが開かれた際にセキュリティ警告を発出する機能。しかしWinZipではインターネットからダウンロードされたアーカイブファイルを開く際に、解凍されたファイルへMOTW保護が伝播されない。CVE-2025-33028（CVSSスコア 7.8）として追跡されるこの問題により、マクロが有効化されたOfficeドキュメントや実行可能スクリプトといったファイルが「信頼されたファイル」として扱われ、セキュリティ警告を発出させることなく実行されてしまう恐れがあるという。

同脆弱性について伝えた研究者は、エクスプロイトチェーンとして以下のようなシナリオを紹介している。

①攻撃者が、あるファイル（.docmなど）を含んだ悪意あるアーカイブ（.zipや.7zなど）を作成する

②インターネットから当該アーカイブがダウンロードされると、MoTWフラグが付与される

③アーカイブがWinZipを使って開かれ、解凍される

④解凍により抽出されたファイルからはMoTWフラグが外れてしまうため、「信頼されたファイル」として実行可能となる

⑤抽出されたファイル内部の悪性マクロが実行できるようになる

CVE-2025-33028をとりわけ不穏なものにしているのが、これが過去に公表されたMOTW回避の脆弱性CVE-2024-8811の部分的な修正による「亜種」的な脆弱性と思われるという点。このことから、アーカイブファイルの処理におけるセキュリティ上の欠陥がいかに根深い問題であるかが浮き彫りになっている。実際に最近も、7-Zip（CVE-2025-0411）やWinRAR（CVE-2025-31334）でも、MOTWバイパスを可能にする同様の脆弱性が見つかっていた。