閉域網神話が招いた「人災」｜病院のサイバー攻撃調査報告書より

このニュースでは、岡山県精神科医療センターが公表したランサムウェア被害の調査報告書について整理します。VPNの脆弱性放置やアカウント管理の不備によるシステム障害の発生原因と復旧手順を解説し、医療機関のセキュリティ対策に役立つ知見を提供します。

ランサムウェア攻撃による被害の概要と個人情報漏洩疑い

2月13日、岡山県精神科医療センターは、2024年に発生したサイバー攻撃について調査報告書を公表しました。
2024年5月に、同センターは電子カルテを含めた病院情報システムに対するサイバー攻撃を受けました。
電子カルテが使用できなくなったことから、電子カルテベンダーが調査したところ、バックアップファイルから不審な拡張子のファイルが発見され、ランサムウェアに感染していることが確認されました。
電子カルテは完全に機能停止し、電子カルテシステムなどのサーバー環境30台以上、病院情報システム系端末244台に被害が及びました。また、仮想用共有ストレージのデータは全て喪失しました。さらに、個人情報の流出も発覚し、最大40,000人分の個人情報が漏洩したと見られています。

侵入および被害拡大の原因

報告書によると、侵入の原因は複数考えられるとして、
◆保守用VPN装置の脆弱性を放置していたこと
◆保守用VPN装置への接続元IPアドレス制限がなく、インターネットから誰でも攻撃が可能な状態であったこと
◆推測可能なID・パスワードが使用されていたこと
などを挙げています。
また、被害拡大の原因としては、
◆ID・パスワードを病院内のコンピュータすべてに共通で設定するなど使い回しされていたこと
◆一般ユーザーにも管理者権限を付与していたため、ウイルス対策ソフトの停止が可能であったこと
などが考えられるとしています。

完全復旧までのプロセス

復旧については、病院と電子カルテベンダーの間でオフライン・バックアップの取得に関する契約が締結されていたため、オフライン・バックアップからの復旧を試みましたが、バックアップが正しく取得されていなかったことが発覚し、オフライン・バックアップからの復旧は不可能であることが判明しました。
そのため、暗号化を免れたDWHサーバーから電子カルテデータを取り出して復旧する方法を取り、インシデント発生から90日後に完全復旧を果たしたと報告されています。
なお、閉域網であることからWindows Update等の脆弱性対策は一切行われておらず、また、一般ユーザーに管理者権限が付与されていたことから、ウイルスの残留やバックドアの設置が疑われ、基本的にすべてのコンピュータの完全な初期化、もしくは新品との入れ替えを行っています。

今後の侵入防止策とガイドライン遵守の重要性

侵入防止策としては、多要素認証の導入や接続元制限の実施、16桁以上のパスワードの設定、Windows Updateの実施、サポート切れブラウザやOSの見直しなどを行なっていると報告されています。

報告書では、今回の事例は過去のインシデント事例での指摘事項と共通する脆弱性が招いたランサムウェア被害であり、厚生労働省の「医療情報システムの安全管理に関するガイドライン」に遵守することで十分に防げたものであると指摘しています。
さらには、サイバー攻撃が進化する中で「閉域網神話」による思考停止が招いた「人災」ともいうべきものとして、決して対岸の火事ではないと強調した上で、各関係者へ外部接続点のリスク再評価や基本的なセキュリティ設定の見直しを要望しています。