MyChartユーザーを狙ったフィッシング詐欺が急増―BBBが注意喚起
米BBBがMyChartユーザーを標的としたフィッシング詐欺の注意喚起を発表しました。詐公式ロゴを悪用したメールやSMS、偽のプレゼント企画を装ったページで医療アカウントの認証情報を奪取する手口です。MyChartのデータ流出は確認されていません。
手口の概要
MyChartは医療機関の患者向けプラットフォームで、ユーザーが医師との診療予約や検査結果確認ができるシステムです。詐欺師はこのプラットフォームに対する信頼を悪用し、メールやSMS（ショートメッセージサービス）を通じて虚偽の通知を送信しています。
メッセージの内容は「特別なプレゼントキャンペーン」や「ギフト券獲得チャンス」などの魅力的なオファーを装っています。詐欺犯はMyChartの公式ロゴやデザインを模倣し、メッセージの信ぴょう性を高める工夫をしています。
詐欺の流れ
- 偽のメールまたはSMSを受け取る。内容は「限定キャンペーン参加」や「報酬受け取り」などの申し出
- リンククリック後、偽装されたログインページに誘導される
- 詐欺師がユーザーに対してMyChartの認証情報（ユーザー名とパスワード）の入力を促す
- あるいは、保険情報や運転免許証番号などの個人情報、配送料金の支払いを求める場合もある
- 詐欺師がこれらの情報を入手すると、患者の医療記録にアクセスしたり、個人情報を悪用する可能性がある
見分けるポイント
公式MyChartは以下の行動をしません：
- テキストメッセージやメールで、ログイン認証情報（パスワード）の入力を求めること
- プレゼントやギフト券などのキャンペーン企画を実施すること
- SMS経由で個人情報や保険詳細の提供を求めること
- 配送料金などの名目で金銭支払いを要求すること
怪しい特徴：
- 送信者のメールアドレスまたは電話番号が公式のものではない
- ページのURLがMyChartの正規ドメイン（mychart.epic.com）ではない
- 不自然な日本語や表現上の誤り、文法エラーがある
- 緊急対応を迫るようなメッセージトーン
- 通常と異なるデザインやレイアウト
対策
-
安全なアクセス方法を使用する
- メールやSMSのリンクをクリックせず、ブラウザのアドレスバーに直接MyChartの公式URLを入力してアクセスする
- 公式モバイルアプリをダウンロードして使用する
-
本人確認をしてからアクションを取る
- メッセージの内容について不確実な場合は、必ず医療機関に直接電話して確認する
- 医療機関の電話番号は、紹介されたメッセージに記載された番号ではなく、患者ポータルに掲載されている公式番号を使用する
-
パスワード管理の強化
- 複雑で予測困難なパスワードを設定する
- MyChartのパスワードは他のアカウントと絶対に使い回さない
- 可能な限り二要素認証を有効化する
-
メール・SMSの検証
- 送信元アドレスのドメイン部分（@の後ろ）を確認する
- 公式のMyChartドメイン（epic.comなど）から発信されていない場合は詐欺の可能性が高い
被害にあった場合
- すぐにMyChartアカウントのパスワードを変更する
- 医療機関とクレジットカード会社に被害を報告する
- Better Business Bureau（BBB）に詐欺を報告する（bbb.orgの「Report Scam」から）
- 身に覚えのない課金がないか、クレジットカード明細を確認する
- 必要に応じて、個人情報盗用監視サービスの利用を検討する
重要な補足
MyChartのプラットフォーム自体はセキュリティ侵害を受けておらず、Epic社も詐欺キャンペーンに関与していません。問題はユーザーが公式に見せかけた偽のメッセージをクリックした場合です。
情報源: KTBS