近年、大企業や公的機関を標的としたサイバー攻撃の被害が多数報告されています。多くの人々に影響を与える危険性が高い攻撃ですが、中でも、人命に直接関わる機関である病院を標的としたサイバー攻撃への対策が重要視されています。IT化の進んだ現在、病院でも数多くのIT機器やシステムが利用されており、それらに障害が発生すると業務に甚大な影響が想定されます。人命に関わる事故が起こる可能性も否定できません。そうした事情を受け、この記事では病院へのサイバー攻撃の事例や原因、対策について解説していきます。
病院を狙ったサイバー攻撃の実例
病院を狙ったサイバー攻撃には、どのようなものがあったのでしょうか。代表的な事例として、2021年11月頃に発生した事件があります。徳島県つるぎ町立半田病院がサイバー攻撃の被害に遭った事件です。患者の住所や診察履歴等が記録されていた電子カルテが使用できなくなり、業務に大きな支障が生じました。電子カルテが使えなくなったことで、診察にかかる手間が大幅に増えただけでなく、過去の通院歴や処方箋等も分からないため、患者への聞き取りや薬局等から得られる情報から診察を行っていたようです。半田病院によると、2021年10月31日未明、電子カルテに不具合が発生し、英語で「あなたのデータは盗まれ、暗号化された。」といったメッセージが印刷された書類が大量に印刷された、とのことです。それに伴い、電子カルテの一切が閲覧不可能になってしまったようです。システムの復旧に関しては、2022年1月4日より、電子カルテを管理するサーバーの復旧に伴い、通常の診療が再開されたと発表があります。実に2ヶ月もの間、診察業務に支障をきたしていたことにあります。この一連の被害は「ランサムウェア」の感染によるものとされています。
ランサムウェアとは？病院のシステムへの被害とは
まず、「ランサムウェア」について解説していきます。大企業などで被害が多数報告されており、特に企業のセキュリティ担当者の方は、きちんと概要を理解して対策を講じる必要があります。
ランサムウェアとは
「ランサムウェア」とは、簡単に言えば「データやシステムを使用不可能な状態にし、その復元と引き換えに身代金を要求する」マルウェア、およびそれを利用したサイバー攻撃です。「Ransom(身代金)」と「Software(ソフトウェア)」とを組み合わせた言葉です。例えば、ある企業が顧客の情報を一括して管理するシステムを利用していたとします。顧客情報の中には、各自の個人情報や取引履歴等、業務に必要な情報が多数含まれています。その重要なシステムが「ランサムウェア」に感染してしまうと、顧客情報が暗号化されてしまい、企業はそのシステムを使うことができません。そこで、攻撃者はランサムウェアにより、「このデータを元に戻してほしければ、身代金を支払え」と要求し、企業がそれに応じてしまった場合、攻撃者は不当に金銭を得ることとなります。
主な感染の経路としては、スパムメールや改ざんされたWebサイトなどから、不正なサイトへの誘導されてしまうことが指摘されています。想定される被害としては、システムの情報の暗号化や、PCそのものをロックしてしまう、といったものが挙げられます。また、暗号化と同時にデータを盗み出し、「身代金の支払いに応じなければ、データを公開する」といった二重の仕方で脅迫する例もあります。個人情報等、外部への公開が望ましくない情報を扱っている場合、特に注意が必要となります。
病院がランサムウェアに感染するとどうなる？
それでは、病院のシステムがランサムウェアに感染した場合、どのような被害が想定されるのでしょうか。現代の病院では、数多くのIT機器やシステムを利用しています。それら全てが医療に関わるものであるため、ランサムウェアへの感染によりシステムやデータが利用不可能な状態になってしまうと、人命に危険が及ぶことも十分に想定されます。実際に、ドイツのデュッセルドルフ大学病院がランサムウェアの被害に遭ったことで救急患者の受け入れができず、治療が遅れた結果、命を落としたという事例が報道されています。
病院のシステムが利用不可能になることで、人命に危険がおよぶ可能性がある、ということ。これが、病院がランサムウェアに感染した場合に想定される大きな被害です。
なぜ病院が被害にあうのか
それでは、なぜ病院がランサムウェアの被害に遭うのでしょうか。主な理由としては、業務や扱う情報の重要性の高さと、セキュリティ対策の不十分さという二点が挙げられます。病院がランサムウェアの攻撃対象として狙われやすい理由の一つとして、想定される被害が人命に関わり、社会全体に甚大な影響を及ぼす可能性がある、ということが指摘されています。診察記録等の重要な情報を扱っているため被害が深刻化しやすく、感染した際に身代金の支払いに応じやすいのではないか、という理由から攻撃者に狙われている可能性があります。昨今の新型コロナウイルスの感染拡大を受け、治療法やワクチンなど、データそのものの価値も高まっているとの見方もあります。
また、病院が被害に遭いやすい理由として、病院のセキュリティ対策が不十分になりがちである、という事情もあります。IT企業をはじめとする大企業のセキュリティ対策に比べると、病院は経営状態のひっ迫等の事情により、十分な予算をセキュリティ対策に割り当てることができていません。セキュリティをはじめとするIT関係の技術者・スタッフの確保も不十分な場合が多く、重大なセキュリティホールに気づかずに業務を遂行している可能性があります。このような事情により、病院がサイバー攻撃の標的となりやすいのではないか、と指摘されています。
取るべき対策
一般的なランサムウェア対策として、三つの対策が想定されます。一つはセキュリティ対策です。そもそもランサムウェアに感染しないように、感染経路であるスパムメールや不審なWebサイト等へのアクセスを避けるよう注意喚起を行い、インシデントが起こった際の対応手順などのセキュリティ教育をきちんと実施することで、被害の最小化が期待できます。もう一つがデータのバックアップです。十分な対策を講じても、感染の可能性が完全にゼロになるとは言い切れません。データのバックアップをとっておけば、万一ランサムウェアに感染し、データが暗号化されてしまった場合でも、対応が可能となります。最後の一つが、セキュリティ対策ソフト、プラットフォーム等の導入です。マルウェアの検知と駆除や、未知のウイルスに対する振る舞い検知など、セキュリティ対策製品の導入は必須の対策となります。病院の場合は「セキュリティ対策が不足しがち」ということもあり、IT関係のスタッフの補充など、根本的な対策が必要となります。基本的な対策としてWAFの導入をお勧めします。攻撃を防ぐだけでなく被害を最小限にするための対策も必要でしょう。その役割を担うのがWAFであり、Webサイトセキュリティに欠かせない対策です。
病院のランサムウェア被害の急増を受け、厚生労働省は医療機関の情報セキュリティに関する改定指針に、ランサムウェア対策を明記し、バックアップデータの扱い等についての内容を盛り込みました。また、一定以上の規模の病院では、情報セキュリティの責任者を設置する必要性も指摘されています。国のガイドラインやセキュリティベンダーの指示にしたがい、十分な対策を施す必要があります。
まとめ
病院がランサムウェアをはじめとするサイバー攻撃の被害に遭った場合、人命に関わる甚大な社会的影響が懸念されます。病院関係者だけでなく、社会全体で情報を共有し、対策に努めていく必要があるでしょう。近年、大企業等で多くの被害が報告されているランサムウェア。セキュリティ教育やセキュリティ製品の導入、バックアップといった十分な対策を講じましょう。