米国バイオテクノロジー企業Illuminaは2025年7月31日、米司法省との虚偽請求法違反疑惑を980万ドルで和解した。
過去7年以上、サイバーセキュリティ脆弱性を抱えた遺伝子検査システムを政府機関に販売し、基準適合を虚偽申告していた。
問題は管理者権限の過剰付与や認証情報ハードコーディングなどで、同社は世界市場シェア80%以上を持ち、2025年第1四半期に1億3,100万ドルの純利益を計上したが、違法行為の承認はしていない。
From: 
Gene scanner pays $9.8 million to get feds off its back in security flap
【編集部解説】
この事件は、単なる企業の法的和解を超えて、現代のヘルスケア・テクノロジーにおけるサイバーセキュリティの深刻な課題を浮き彫りにしています。
Illuminaは世界の遺伝子検査市場で80%以上のシェアを占める圧倒的なマーケットリーダーであり1、病院で遺伝子検査を受けた多くの患者が、知らずのうちにこの会社の機器を使った検査を受けている可能性が高いという現実があります。つまり、この問題は決して限られた範囲の話ではありません。
サイバーセキュリティ脆弱性の深刻さ
今回問題となったセキュリティ脆弱性は、単純な設計ミスではありません。ユーザーアカウントへの不適切な管理者権限付与、認証情報のハードコーディング、内部者脅威への対策不備など、基本的なサイバーセキュリティ原則に反する複数の問題が同時に存在していました。
特に注目すべきは、これらが「既知の問題」であったにも関わらず、7年間にわたって放置されていた点です。2022年と2023年4月に行われたリコールでさえ同じソフトウェア問題が原因で、司法省の申し立て時点でも未解決だったという事実は1、企業のセキュリティ対応への真剣度に疑問を抱かせます。
ゲノムデータの特殊性とリスク
遺伝子検査システムが扱うデータには、通常の個人情報とは異なる特殊な性質があります。ゲノムデータは一度漏洩すれば変更できない究極の個人識別情報であり、家族の遺伝的特徴まで推測可能な機密性の極めて高い情報です。
これらのデータが脆弱なシステムに保存されていた期間の長さを考えると、潜在的な影響範囲は計り知れません。幸い実際のデータ流出は確認されていませんが、セキュリティ研究者は別の事例で、攻撃者が検査結果を操作して遺伝的疾患の有無を偽装したり、医療治療や新薬開発を妨害したりする可能性を指摘しています。
規制とコンプライアンスへの影響
この事件は「虚偽請求法」違反として処理されました。これは単なるセキュリティ問題ではなく、政府との契約において「セキュリティ基準を満たしている」と虚偽申告を行った詐欺行為として扱われている点が重要です。
司法省の「民事サイバー詐欺イニシアティブ」の下での処理は、今後政府調達においてサイバーセキュリティ要件がより厳格に扱われることを示唆しています。実際、この事件は同様のサイバーセキュリティ関連の虚偽請求法違反の典型例として位置づけられており、他の企業への警告的な意味合いも持っています。
技術的脆弱性の詳細
別の報告では、Illuminaの機器に6年前のBIOSが使用され、Secure Bootが無効化されている問題も指摘されています。これらの脆弱性により、攻撃者は機器を「ブリック」（使用不能にする）したり、持続的なマルウェアを植え込んだりすることが可能でした。
これらの問題は、単一の企業の問題を超えて、医療機器業界全体のサプライチェーンセキュリティの課題を浮き彫りにしています。実際、問題の一部はOEM（相手先ブランドによる製造）マザーボードメーカーのIEI Integration Corpに起因しており、医療機器のセキュリティが複数の企業にまたがる複雑な問題であることを示しています。
長期的な業界への影響
この事件は、ヘルスケア・テクノロジー業界における「セキュリティ・バイ・デザイン」の重要性を強調しています。FDA（食品医薬品局）は既に新しいガイダンスを発表し、医療機器メーカーに対して製品申請前の特定のサイバーセキュリティ基準遵守を求めており、規制環境の変化が進んでいます。
Illuminaにとって980万ドルの和解金は、2025年第1四半期だけで1億3100万ドルの純利益を計上している同社にとって、財務的なインパクトは限定的です。しかし、この事件が示すレピュテーションリスクと規制リスクは、長期的にははるかに大きな影響を与える可能性があります。
今後、ヘルスケア・テクノロジー企業は、製品開発の初期段階からサイバーセキュリティを組み込む「セキュリティ・バイ・デザイン」のアプローチを採用し、継続的なセキュリティ監視と迅速な脆弱性対応体制の構築が不可欠になるでしょう。
【用語解説】
虚偽請求法（False Claims Act）
米連邦政府への虚偽請求を禁じる法律。違反時は最大3倍賠償と民事制裁金が科される。
民事サイバー詐欺イニシアティブ
司法省が2021年開始。政府契約でのサイバーセキュリティ違反を虚偽請求法で追及する枠組み。
Secure Boot
起動時に署名済みファームウェアのみを許可する仕組み。無効化するとマルウェア混入リスクが増す。
DNA配列解析（DNA Sequencing）
DNA塩基配列を高速決定する技術。次世代シーケンサー(NGS)で医療・創薬に利用が拡大。
【参考リンク】
Illumina公式サイト（外部）
世界最大の次世代シーケンサー製造企業。製品情報と技術資料を公開
米国司法省報道発表（外部）
虚偽請求法違反の詳細と和解条件を掲載する公式発表
Eclypsium Blog（外部）
Illumina iSeq 100のBIOS脆弱性を技術的に分析したリサーチノート
【参考記事】
Illumina, DOJ Reach $9.8 Million False Claims Act Settlement（外部）
法的観点から和解内容と虚偽請求法の適用範囲を解説
Researchers Uncover Major Security Flaw in Illumina iSeq 100 DNA Sequencers（外部）BIOS未更新問題を含む9件の脆弱性を技術的に解説
DNA sequencer company notifying customers of vulnerabilities（外部）
脆弱性発表時の初期報道と攻撃シナリオを解説
Another False Claims Act Settlement Based on Cybersecurity Lapses（外部）
Qui Tam訴訟制度の視点から今回の和解を分析
Illumina to Pay $9.8 Million in DOJ Settlement（外部）和解発表の速報と市場反応を報じるビジネス記事
【編集部後記】
今回のIllumina事件を取材していて、改めて感じたのは「技術の進歩と信頼の脆弱性」の関係性です。遺伝子検査技術そのものは素晴らしい進歩ですが、それを支える基盤的なセキュリティが7年以上も軽視されていたという現実は、私たちに重要な問いを投げかけています。
特に印象的だったのは、世界シェア80%という圧倒的な市場支配力を持つ企業でさえ、基本的なサイバーセキュリティ対策を怠っていた点です。これは技術力の問題ではなく、セキュリティに対する企業文化や優先順位の問題だと感じます。読者の皆さんが遺伝子検査を受ける際は、検査結果だけでなく、データの管理体制についても関心を持っていただければと思います。
医療分野のDXが進む今こそ、「便利さ」と「安全性」の両立について、企業・規制当局・私たち利用者が一緒に考えていく必要があるのではないでしょうか。
ヘルスケアテクノロジーニュースをinnovaTopiaでもっと読む
サイバーセキュリティニュースをinnovaTopiaでもっと読む
バイオテクノロジーニュースをinnovaTopiaでもっと読む
