医療機関へのサイバー攻撃事例｜国内被害から学ぶ原因と対策の要点

自院のサイバーセキュリティ体制は万全だろうか、とお考えの医療機関経営者やご担当者も多いのではないでしょうか。近年、国内の医療機関を標的としたサイバー攻撃の被害は深刻化しており、診療停止や情報漏洩といった事業継続を揺るがす事態が実際に発生しています。他院の事例を知ることは、自院が直面するリスクの深刻度を理解し、具体的な対策を講じる第一歩となります。この記事では、国内医療機関におけるサイバー攻撃の主要な被害事例を基に、その手口や教訓、そして今すぐ取り組むべき対策を解説します。

医療機関へのサイバー攻撃の現状

近年増加する被害の傾向

近年、医療機関を標的としたサイバー攻撃が急増し、その手口も悪質化しています。医療分野で電子化が進む一方、セキュリティ対策が追いついていない状況を突き、攻撃者にとって格好の標的となっているためです。特にランサムウェア（身代金要求型マルウェア）による被害が世界中で多発しています。これは、データを暗号化してシステムを停止させるだけでなく、窃取した患者情報を公開すると脅迫する「二重脅迫」の手口が一般化しているためです。

国内でも電子カルテシステムが停止し、新規患者や救急の受け入れを長期間停止する事態が相次いで発生しています。医療機関へのサイバー攻撃はもはや一過性のインシデントではなく、事業継続を脅かす日常的な脅威として認識し、防御体制を抜本的に見直す必要があります。

国内における被害件数の推移

日本国内の医療機関におけるサイバー攻撃の被害は、年々増加傾向にあります。警察庁の報告によると、医療・福祉分野におけるランサムウェア被害は継続的に高い水準で報告されており、特に病床数が200床以下の中小規模病院が被害全体の多くを占めるという特徴があります。これは、大規模病院に比べてセキュリティへの投資や専門人材の確保が難しいという事情を反映していると考えられます。

被害は都市部の大規模病院に限りません。地方都市の中核病院やクリニックでも発生しており、もはや地域や組織の規模を問わず、すべての医療機関が攻撃対象になり得ると言えます。この拡大傾向を受け、各医療機関は自組織のセキュリティ対策を根本から見直すことが急務となっています。

なぜ医療機関は狙われるのか

機微な個人情報と診療情報の保有

医療機関がサイバー攻撃の標的となる最大の理由は、極めて価値の高い「機微な個人情報」を大量に保有しているためです。患者の氏名や住所といった基本情報に加え、病歴や検査結果などの診療情報は、サイバー犯罪者にとって闇市場で高値で取引される魅力的な資産となります。

医療機関が保有する情報は、なりすましや金融詐欺に直結するだけでなく、公開されることによる精神的苦痛が大きい情報も含まれます。そのため、攻撃者は情報を人質に強力な脅迫を行うことが可能です。情報の機密性の高さが、攻撃者の強い動機付けとなっているのです。

業務停止が許されない事業特性

医療機関は、人命を預かるという事業特性上、業務停止が許されません。この点が、攻撃者から見れば「要求に応じやすい」弱点として映り、サイバー攻撃を誘引する大きな要因となっています。電子カルテや検査システムが停止すると、患者の治療に直接的な影響が及び、生命の危機に直結しかねません。

攻撃者は、こうした医療機関の社会的責任の重さや、一刻も早い復旧を望む現場の焦りにつけ込み、高額な身代金を支払わせようとします。人命を最優先する医療機関の使命そのものが、攻撃者にとっては金銭を確実に得るための弱点として利用されているのです。

外部接続された医療機器の存在

院内ネットワークに接続された多種多様な医療機器の存在が、サイバー攻撃の侵入口を増やしています。近年、遠隔保守やデータ連携のために外部ネットワークと通信する医療機器が増加していますが、これらの機器のセキュリティ対策は後手に回りがちです。

特に、MRIやCTスキャナーなどの高額な医療機器は、導入から長期間にわたって使用されるため、古いOS（オペレーティングシステム）が稼働し続けているケースが少なくありません。これらの機器は、医療機器としての承認・認証やメーカーのサポート体制といった特性上、ソフトウェアの更新やセキュリティソフトの導入が容易ではないという構造的な課題を抱えています。また、医療機器メーカーが遠隔メンテナンスのために設置した保守用回線が病院側の管理外に置かれ、脆弱性が放置されることも、攻撃者に侵入経路を提供する一因となっています。

セキュリティ投資・人材の不足

多くの医療機関では、最新の医療機器の導入や医療従事者の確保が経営上の最優先課題となり、情報セキュリティへの投資や専門人材の配置が後回しにされがちです。この投資と人材の不足が、サイバー攻撃に対する防御力を著しく低下させています。

情報システム担当者が他の業務と兼任している、あるいは専任のセキュリティ担当者がそもそも存在しないというケースは珍しくありません。そのため、最新の脅威情報の収集や、使用している機器の脆弱性管理といった基本的な対策が追いつかず、攻撃者に付け入る隙を与えてしまっています。

院内ルールの形骸化と「例外」が招くリスク

院内で定められたセキュリティルールが、医療現場の多忙さや利便性を優先するあまり形骸化し、例外的な運用が常態化していることも大きなリスクです。強固なシステムを導入しても、運用面に不備があれば、そこから攻撃者の侵入を許してしまいます。

以下のような行動は、多くの医療現場で散見されますが、いずれも重大なセキュリティホールとなり得ます。

サイバー攻撃の主要な手口

ランサムウェアによるデータ暗号化

医療機関へのサイバー攻撃で最も深刻な被害をもたらしているのが、ランサムウェアによるデータ暗号化と二重脅迫です。この手口は、まず病院ネットワークに侵入後、長期間潜伏してシステム全体の管理者権限を奪取します。そして、職員が手薄になる休日や深夜を狙ってデータを一斉に暗号化し、電子カルテなどを利用不能に陥れます。

同時に、事前に窃取しておいた患者情報などの重要データをWebサイトで公開すると脅し、身代金の支払いを強要します。データへのアクセスを断つという直接的な被害と、情報漏洩という社会的な信用の失墜を組み合わせた二重脅迫は、医療機関にとって最も破壊的な攻撃手法の一つです。

VPN機器の脆弱性を突いた侵入

多くの医療機関で、ネットワークへの主要な侵入経路となっているのがVPN（仮想私設網）機器の脆弱性です。VPNは、職員のリモートワークや外部のシステム保守業者が院内ネットワークに安全に接続するために設置されますが、この機器自体のソフトウェアが古いまま放置されているケースが後を絶ちません。

機器メーカーから脆弱性の情報と修正プログラムが公開されていても、病院側がその情報を把握していなかったり、システムの停止を懸念して更新作業を先送りにしたりすることで、攻撃者に絶好の侵入口を与えてしまっています。攻撃者は、脆弱性のあるVPN機器をインターネット上で自動的に探索し、容易に院内ネットワークへ侵入します。

委託先を経由するサプライチェーン攻撃

医療機関本体の強固なセキュリティを直接突破するのではなく、取引のある関連事業者を経由して侵入する「サプライチェーン攻撃」の脅威が増大しています。病院は、給食、清掃、医療事務、システム保守など、多数の外部事業者とネットワークで接続されており、そのすべてを管理することは容易ではありません。

攻撃者は、比較的セキュリティ対策が手薄な中小の取引先を最初の標的として攻略します。そして、その取引先から病院への正規の接続ルートを悪用して侵入するため、病院側の監視システムをすり抜けやすくなります。自院の対策を万全にしていても、つながりのある委託先の脆弱性が原因で被害に遭う可能性がある、非常に厄介な攻撃手法です。

国内医療機関の主要な被害事例

つるぎ町立半田病院（ランサムウェア）

2021年10月に徳島県のつるぎ町立半田病院で発生したランサムウェア事件は、サイバー攻撃が地方の公立病院の機能を完全に麻痺させ、地域医療の崩壊に直結し得ることを示した象徴的な事例です。この事件は、「閉域網だから安全だ」という多くの医療機関が抱いていた誤った認識、いわゆる「閉域網神話」を打ち砕きました。

深夜、院内のプリンターから犯行声明が大量に印刷され、電子カルテを含む基幹システムが暗号化されていることが発覚。原因は、システム保守業者が利用していたVPN機器の脆弱性が長期間放置されていたことでした。病院は新規・救急患者の受け入れを全面的に停止し、紙カルテでの運用を余儀なくされました。システムの全面復旧には約2ヶ月の期間と約2億円の費用を要し、地域医療に甚大な影響を及ぼしました。

大阪急性期・総合医療センター（給食委託業者経由）

2022年10月に発生した大阪急性期・総合医療センターの事例は、サプライチェーン攻撃の典型例です。侵入経路は、病院本体ではなく、食事を提供していた給食委託業者のシステムでした。攻撃者は委託先の脆弱性を突いて侵入し、そこを踏み台にして病院の基幹システムに到達しました。

被害が拡大した致命的な原因は、給食管理システムと電子カルテシステムという異なるシステム間で管理者パスワードが使い回されていたことでした。これにより、ランサムウェアは院内全体に感染を広げ、基幹システムの再開までに43日、全面復旧には73日を要しました。復旧費用と診療停止による逸失利益を合わせると、被害総額は数十億円規模に上るとされています。この事例は、取引先を含めたリスク管理と、システム間の厳格な権限分離の重要性を示しています。

日本医科大学武蔵小杉病院（医療機器保守用VPN）

2023年2月に発覚した日本医科大学武蔵小杉病院のインシデントは、医療機器の保守用回線というセキュリティの盲点を突かれた事例です。攻撃者は、ナースコールシステムのメーカーが遠隔保守用に設置していたVPN機器の脆弱性を悪用して院内ネットワークに侵入しました。一見、機密情報とは無関係に思える設備が、大規模な情報漏洩の起点となったのです。

この攻撃により、電子カルテへの侵入は免れ診療への直接的な影響は限定的でしたが、システム内に保管されていた患者約13万人分、職員約1,700人分の個人情報が窃取されるという甚大な被害が発生しました。電子カルテだけでなく、院内に存在するあらゆるネットワーク接続機器が攻撃の入口になり得ることを示す、深刻な教訓を残した事例です。

事例から学ぶべき教訓と対策

ネットワーク境界の防御を再点検する

過去の事例の多くは、VPN機器や外部の保守用回線といった、内外のネットワークの境界における防御の不備を突かれています。まずは、自院のネットワークにどのような外部接続点が存在するかを正確に把握し、そのすべてを管理下に置くことが対策の第一歩です。

具体的な対策手順は以下の通りです。

データのバックアップ体制を整備する

ランサムウェア攻撃を受けた際の被害を最小限に抑えるには、信頼性の高いバックアップ体制の整備が不可欠です。データが暗号化されても、安全なバックアップから復旧できれば、身代金を支払うことなく事業を継続できます。

バックアップは、単にデータをコピーするだけでは不十分です。攻撃からデータを守るためには、以下の3つのポイントを押さえることが重要です。

サプライチェーンのリスクを管理する

自院の対策を強化するだけでは不十分であり、ネットワークで接続されているすべての委託先・取引先を含めた「サプライチェーン全体」でセキュリティレベルを向上させる視点が不可欠です。委託先のセキュリティが手薄であれば、そこが侵入口として狙われるリスクが常に存在します。

委託先の選定時には、セキュリティ対策状況を確認し、契約書にはインシデント発生時の連絡体制や責任範囲を明確に定めておく必要があります。また、技術的な対策として、委託先のシステムと院内の基幹システム（電子カルテなど）との間の通信を厳しく制限し、万が一委託先が侵害されても被害が基幹システムに及ばないようにネットワークを分離することが重要です。

インシデント発生時の対応計画を策定する

サイバー攻撃は「いつか必ず起きるもの」という前提に立ち、実際に被害が発生した際に、組織として迅速かつ冷静に行動するためのインシデント対応計画を事前に策定しておくことが極めて重要です。攻撃を受けた直後の混乱の中で場当たり的な対応を行うと、かえって被害を拡大させかねません。

計画には、システム停止を想定した紙カルテでの診療手順、ネットワークの遮断基準、経営層や外部専門家への報告ルートなどを具体的に定めておきます。そして、計画を策定するだけでなく、経営層から現場職員までを巻き込んだ実践的な訓練を定期的に実施し、計画の実効性を検証・改善し続けることが不可欠です。

復旧作業だけでは終わらない事後対応の長期化

サイバー攻撃の被害対応は、システムの復旧をもって終わりではありません。むしろ、そこから始まる法務・広報・経営面での対応が長期化することを覚悟する必要があります。情報漏洩が発生した場合、個人情報保護委員会への報告や、影響を受けた患者全員への通知、相談窓口の設置といった対応に追われます。

加えて、外部の専門家によるフォレンジック調査（原因究明）には数ヶ月を要し、その結果に基づいた再発防止策の策定と公表が求められます。場合によっては、患者からの損害賠償請求訴訟に発展し、数年単位での法廷対応が必要になることもあります。サイバー攻撃からの真の回復には、システムの再稼働後も続く、粘り強い事後対応が不可欠です。

よくある質問

攻撃を受けると診療は完全に停止しますか？

必ずしも全ての診療が完全に停止するわけではありませんが、大幅な制限は避けられません。電子カルテが使えなくなっても、過去の紙の記録や医師の記憶を頼りに、紙カルテを用いた手作業で診療を継続する努力がなされます。しかし、新規患者や救急の受け入れは停止せざるを得ないケースがほとんどです。また、検査システムや会計システムも連動して停止するため、現場の業務負担は激増し、医療の質と安全性は著しく低下します。

被害からの復旧にはどのくらいの期間がかかりますか？

被害の範囲やバックアップの有無によって大きく異なりますが、全面的な復旧には数週間から数ヶ月単位の期間を要するのが一般的です。過去の国内事例では、主要なシステムが再稼働するまでに1〜2ヶ月を要したケースが多く報告されています。これは、感染した全ての端末の調査と初期化、ネットワークの安全な再構築、そして紙カルテで記録した診療内容の再入力などに膨大な時間がかかるためです。

攻撃者から要求された身代金は支払うべきですか？

絶対に支払うべきではありません。 身代金を支払ってもデータが復旧される保証はなく、むしろ犯罪組織に資金を提供し、次の攻撃を助長する結果につながります。また、一度支払いに応じた組織は「支払う組織」としてリスト化され、再び標的になるリスクが高まります。警察庁や政府機関も、身代金の支払いには応じないよう強く呼びかけており、バックアップからの自力復旧を原則とすべきです。

中小規模のクリニックでも対策は必要ですか？

はい、規模に関わらず対策は必須です。 攻撃者は、セキュリティ対策が手薄になりがちな中小規模の施設を、侵入しやすい標的として無差別に狙っています。また、地域医療連携ネットワークに参加しているクリニックがサプライチェーン攻撃の起点（踏み台）にされる危険性もあります。専門の情報システム担当者がいなくても、以下のような基本的な対策を徹底するだけで、リスクを大幅に低減できます。

まとめ：医療機関のサイバー攻撃事例から学び、事業継続を守る対策を

本記事では、国内の医療機関で発生したサイバー攻撃の具体的な事例と、その背景にある脆弱性を解説しました。VPN機器の不備や委託先を経由したサプライチェーン攻撃により、ランサムウェアに感染し、診療停止や大規模な情報漏洩に至るケースが後を絶ちません。これらの事例から学ぶべきは、攻撃を完全に防ぐことは困難であるという前提に立ち、「侵入させない対策」と「被害発生後の迅速な復旧・事業継続」の両面から備えることの重要性です。まずは自院のネットワーク境界の再点検、オフラインでのバックアップ体制の整備、そしてインシデント発生時の対応計画（BCP）の策定から着手することをお勧めします。本記事で紹介した内容は一般的な対策であり、個々の医療機関の状況によって最適な対策は異なりますので、自院のセキュリティ体制に不安がある場合は、早めに専門家へ相談することが賢明です。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ