コトラ（広報チーム） 
半田病院におけるランサムウェア攻撃の概要
事件の背景と経緯
徳島県つるぎ町立半田病院は、一般病床数120床を有する地域医療を支える重要な病院です。しかし、令和3年（2021年）10月31日未明にランサムウェア攻撃を受け、深刻な事態に陥りました。この攻撃は、複数のプリンタが犯行声明を自動印刷する形で発覚しましたが、その時点では異常の重大性がまだ認識されていませんでした。その後、電子カルテや院内システムに不具合が生じ、患者データが暗号化されていることが確認されました。これにより、通常の医療業務に大きな影響が及んだのです。
使用されたランサムウェア「Lockbit2.0」とは
今回の攻撃に使用された「LockBit2.0」は、悪名高いランサムウェアの一種です。このランサムウェアは、医療機関のような重要なインフラを狙い、データを暗号化して復号キーの引き換えに身代金を要求する手口で知られています。また、被害者のデータを脅しの材料として公開する「ダブルエクストーション」手法を採用しており、特にセキュリティ体制が脆弱なターゲットには大きな脅威を与えます。半田病院の場合でも、LockBit2.0により一連のシステム障害が発生しました。
被害の内容と範囲――電子カルテの暗号化による影響
ランサムウェアによる攻撃で最も影響を受けたのは、電子カルテや医事サーバーでした。これにより、外来会計をはじめとする院内の主要なシステムが完全に停止し、病院業務が滞る事態となりました。その結果、救急処置や新規患者の受け入れが一時的に停止し、医療現場に多大な混乱を引き起こしました。また、患者情報が使用できなくなったことから、診療データの確認ができず、病院の業務継続に大きな困難が伴いました。
サイバー攻撃に対する初動対応の評価
半田病院では、サイバー攻撃発覚後すぐに復旧作業に取りかかりましたが、初動対応には課題が指摘されています。特に、異常発覚後の対応の遅れが問題視されており、即座にシステムを遮断したり、外部の専門家を招いたりする動きが十分でなかったことが後に明らかとなりました。また、犯人集団との交渉をどのように進めるべきかについての判断が遅れたことにも問題点がありました。一方で、最終的に専門業者による復旧作業が始まり、徐々に復元作業が進められた点では一定の成果が得られたともいえます。
復旧までの課題と所要時間
システムの完全復旧までには約2か月を要しました。令和4年（2022年）1月4日に通常診療が再開されましたが、それまでの間、病院内外で多大な労力とコストが費やされました。復旧の過程では、7000万円もの費用が必要とされ、さらに外部業者によるデータ復旧の過程で犯人集団との接触があった可能性も報告されています。このことから、ランサムウェアによる攻撃が与える経済的・社会的影響の大きさが浮き彫りとなりました。また、導入された復元策は一定の効果を上げたものの、早期復旧を実現するためには事前のセキュリティ体制を強化しておく必要性が改めて認識されました。
サイバー攻撃を許した要因の深掘り
VPN装置の脆弱性とセキュリティ対策の不足
半田病院では、サイバー攻撃を受けた際、VPN装置の脆弱性がランサムウェア侵入のきっかけとなったと指摘されています。この問題は、病院のネットワークセキュリティ全般の弱点を浮き彫りにしました。特に、VPN装置のソフトウェアアップデートが遅れており、既知の脆弱性が放置されていたことが侵入を許す原因となりました。また、こうした装置に対する定期メンテナンスが不十分であり、最新のセキュリティパッチを適用していなかった点も問題視されています。
昨今のサイバー攻撃において、VPN装置の脆弱性を悪用したランサムウェアの侵入は頻発しています。半田病院での事例は、医療機関に特有の限られたセキュリティ対策の範囲を象徴するものであり、この不足が犯人の容易な侵入を可能にしました。
複数ベンダー間の連携問題
半田病院のシステムは複数のベンダーが管理しており、この体制が復旧作業や事前対策の障壁ともなっていました。事件発生当時、各ベンダー間の役割や責任範囲が曖昧だったため、迅速な対応やまとまった判断が難航しました。この分散した体制では、緊急時に重要なインフラの守りを統制することが難しく、また、ベンダー間のコミュニケーション不足が問題解決を遅らせる要因となりました。
さらに、犯人が要求したランサムウェアの復号キーを巡る混乱も、ベンダーとの連携が弱かったことの現れと考えられます。このような組織間の不統一が、医療情報システムの維持管理における課題であることが、このケースからも明らかになりました。
事前のリスク管理と監査体制の欠如
半田病院では、事前に行うべきリスク管理やセキュリティの監査体制が十分に整備されていませんでした。事件後の調査報告書によれば、病院内では定期的なセキュリティ診断の実施が行われておらず、潜在的な脆弱性を把握しきれていなかったことが明らかになりました。
また、ランサムウェア攻撃を防ぐための標準的なセキュリティ対策や、脅威の兆候を特定する仕組みが欠如していたため、犯人による侵入から被害拡大までの一連の流れを阻止することができませんでした。こうした事例から、医療機関におけるセキュリティの事前監査の重要性が再認識されています。
暗号化データの管理・保護策の限界
ランサムウェアによる攻撃で影響を受けた電子カルテや医事システムの多くは、暗号化データが対象でした。しかし、肝心の暗号化システム自体に対して十分なバックアップや緊急時のリストア手順が確立されていなかったため、データ暗号化後の復旧作業に時間を多く費やす結果となりました。
加えて、暗号化データの保護策が十分に機能していなかったことも、被害拡大を招いた要因です。この事件では、復号キーを巡る不可解なやり取りが明らかになっており、データの安全性や復旧の信頼性に対する体制が複雑化していた様子が示されています。このようなリスク管理の限界は、多くの医療機関にとって重要な教訓となっています。
ランサムウェア被害から得られた教訓
復旧プロセスの重要性と再検討
半田病院が経験したランサムウェア攻撃は、復旧プロセスの大切さを改めて浮き彫りにしました。LockBit2.0による攻撃後、電子カルテや医事サーバーが暗号化され、約2か月にわたり通常業務が大きく阻害されました。復旧にあたり、外部業者による支援が不可欠であったものの、約7000万円もの経費が必要とされるなど、プロセスの非効率性やコストの膨張が課題となりました。このような事態を未然に防ぐためには、初動対応の迅速化や、復旧手順を細かく定めたインシデント対応計画の再検討が必要です。また、BCP（事業継続計画）の構築と実行体制の整備により、不測の事態にも短期間で業務を再開する仕組みを確立することが、医療機関にとって最大の教訓です。
セキュリティ教育の必要性とその成果
サイバー攻撃を防ぐ上で、医療機関の全職員に対するセキュリティ教育は欠かせません。半田病院の事例では、セキュリティ面での知識や意識の不足が重大な被害を招いた一因と考えられています。職員が外部からの攻撃の兆候や異常を早急に察知し、適切に報告できる体制が整備されていれば、被害を減少できた可能性があります。セキュリティ教育を通じて、ランサムウェアなどのサイバー犯罪がどのように行われるのかを理解し、日々の業務における防御意識を高めることが重要です。そして、教育プログラムの成果を定期的に検証し、実効性を確保する仕組みを構築することが求められます。
医療機関特有のセキュリティの課題
医療機関は、患者情報をはじめとするセンシティブデータを多く扱うため、サイバー攻撃の標的になりやすい点が指摘されています。また、医療機器や電子カルテシステムなど、多様なデバイスを運用しており、それらがセキュリティの弱点となりうる場合もあります。半田病院の事件では、VPN装置の脆弱性が攻撃者の侵入経路として悪用されました。このような事例から、医療機関においては、ITインフラ全体を把握し、それぞれのセキュリティを強化することが求められます。特に、既存システムの更新や脆弱性診断を定期的に実施することで、リスクを最小限に抑える仕組みを確立する必要があります。
リスク分散のためのインフラ整備
ランサムウェア攻撃の影響を最小限に抑えるためには、リスク分散の観点が不可欠です。半田病院のように、電子カルテや医事システムを中央集権的に管理している場合、一箇所に依存するインフラは単一障害点となり、攻撃の影響が大きくなりがちです。各システムを分散化させ、バックアップをクラウドなどの外部環境に保存することで、攻撃時のデータ損失リスクを減らすことが可能です。また、復元手順を定期的に訓練することは、迅速かつ効果的な復旧を支える基盤となります。このようなインフラ整備によって、医療機関全体が持続可能で柔軟なIT体制を構築することが求められます。
被害総額から見た事前対策のコスト効果
半田病院では、ランサムウェア攻撃の復旧に約7000万円ものコストが必要となりました。この金額の高さはサイバー攻撃を受けた際の経済的なダメージの深刻さを物語っています。しかし、もし事前にセキュリティ対策を強化し、侵入を未然に防ぐ措置を講じていたとすれば、復旧コストをはるかに低く抑えられた可能性があります。例えば、定期的な脆弱性診断や人材育成、セキュリティソフトウェアの導入といった事前投資は、攻撃時に必要な損害費用を上回るコストメリットをもたらします。このため、医療機関は短期的な費用削減だけでなく、長期的な視点に立ったコスト効果を重視し、予防的なセキュリティ対策への投資を検討すべきです。
医療機関が取るべき具体的なセキュリティ対策
多層防御を実現するための技術導入
半田病院で発生したランサムウェア攻撃のようなサイバー犯罪は、医療機関の業務そのものを停止させる深刻な影響を及ぼします。そのため、ただ一つのセキュリティ対策で全てを防ぐのではなく、多層防御を取り入れることが重要です。複数の対策を組み合わせることで、攻撃者がシステムに侵入するハードルを高めることができます。具体的には、次世代ファイアウォールの導入やエンドポイント保護ソフトの強化、AIを活用した常時監視システムの導入などが挙げられます。また、VPN装置の脆弱性が半田病院での犯人侵入に繋がったことを踏まえ、VPNのセキュリティ設定を見直すことも欠かせません。
インシデント対応計画の策定
サイバー攻撃を完全に防ぐことは難しいため、万一の事態に備えてインシデント対応計画（Incident Response Plan, IRP）を策定しておくことが求められます。半田病院が経験したようなランサムウェア攻撃では、初動対応が遅れると被害が拡大しやすくなります。そのため、感染の速やかな検知と被害の封じ込めを迅速に行えるプロトコルが必要です。攻撃を受けた際、どの部署が指揮を執るのか、外部ベンダーや専門調査機関への連絡手段などをあらかじめ明確にしておくことで、被害を最小限に抑えられる可能性が高まります。
定期的な脆弱性診断と改善
未然にランサムウェア被害を防ぐためには、病院内のシステムが抱える脆弱性を定期的に検査し、改善を重ねることが重要です。半田病院の事例では、VPNを含むシステム全体の設定ミスが攻撃者の侵入を許してしまいました。このようなことを防ぐためにも、定期的な脆弱性診断やペネトレーションテスト（侵入テスト）の実施が効果的です。また、その結果明らかになったセキュリティ上の不具合を迅速に修正する運用体制を確立することが必要です。
ベンダー管理の一元化と監督体制の強化
複数のベンダーが関与するシステム運用では、その連携が不十分であることがセキュリティ上のリスクを引き起こす可能性があります。半田病院の復旧作業においても、外部事業者の行動が問題視されました。これを教訓に、各ベンダーが提供するシステムやサービスを一元的に管理する体制を構築することが求められます。また、ベンダーに対して事前にセキュリティ要件を提示し、契約時に監査の実施や不正リスクについての対策を盛り込むことが効果的です。
医療データのバックアップとリストア訓練
電子カルテシステムや患者情報は、ランサムウェアの標的となりやすい重要なデータです。それらが暗号化された場合、復旧が難しくなるため、定期的なバックアップが不可欠です。ただし、バックアップを取るだけでなく、それを迅速に復元するリストア訓練を定期的に実施することが重要です。このような訓練を通じて、実際にデータが暗号化されてしまった際にも即座に復旧手順を実行できるよう備えることができます。
ランサムウェア被害の未来――医療機関の模索と展望
サイバー犯罪の最新動向と医療業界への影響
近年、ランサムウェアを用いたサイバー犯罪が進化を続け、医療機関をはじめとする重要インフラが標的とされるケースが増加しています。半田病院で使用された「LockBit2.0」のような高度な攻撃ツールは、脆弱性をついた侵入だけでなく、データの暗号化や身代金要求まで非常に巧妙な手法を取ります。医療業界では電子カルテや患者データの保護が必須であり、この種の攻撃によって診療業務が停止する影響は非常に深刻です。医療機関が安心して医療サービスを提供するためには、これらの新たな脅威への迅速な対応が求められています。
政府や団体の支援強化の必要性
半田病院の事例は、医療機関単独でのセキュリティ対策に限界があることを浮き彫りにしました。中小規模の医療機関ではセキュリティ予算の確保や専門知識を持つ人材の確保が難しいのが現状です。そのため、政府および関連団体によるセキュリティ支援の強化が急務となります。具体的には、セキュリティ対策のための補助金の提供、ランサムウェア攻撃に関する情報共有の強化、医療機関向けガイドラインの作成と普及などが含まれます。これにより、医療現場が安心して診療業務に専念できる基盤が整備されるでしょう。
患者情報保護と診療体制維持の両立
サイバー攻撃において、患者情報の保護は最大の課題であり、同時に診療体制の維持も重要です。半田病院でも、ランサムウェア被害により電子カルテが使用不可となり、診療業務が停止する事態が発生しました。このような状況を未然に防ぐために、患者データの暗号化や分散バックアップ、迅速なデータ復旧体制の導入が必要です。同時に、攻撃を受けた場合の業務継続計画（BCP）の整備により、最小限の業務への影響で患者の生命を守ることが求められます。
小規模医療機関への対応指針の策定
日本全国に数多く存在する中小規模の医療機関では、大規模病院以上にセキュリティ対策が手薄なケースが少なくありません。このような医療機関がランサムウェアの標的となるリスクは年々高まっています。そのため、小規模医療機関向けの具体的かつ現実的な対応指針を策定することが必要です。例えば、専門家による脆弱性診断の定期的な実施、運用保守まで含めたコストを抑えたクラウドセキュリティの活用、セキュリティベンダーとの協力を通じた適切な支援体制が求められます。
セキュリティと医療サービス提供の未来展望
医療現場におけるセキュリティ体制の強化はもちろん重要ですが、それと同時に医療サービスの質を維持・向上させることも重要です。テクノロジーの進化を活用して、例えばAIを用いたリアルタイムの脅威検知や自動化されたセキュリティ運用を導入することで、スタッフの負担を軽減しつつ安全性を確保することが可能です。さらに、医療とITが融合した将来的なモデルとして、より安全で効率的な診療体制を構築することが期待されます。半田病院の教訓を活かし、医療サービスとセキュリティ対策が調和した未来を目指すことが重要です。
