病院が狙われるサイバー攻撃とは？攻撃の種類や被害事例5選、有効な対策を解説！ | 見積も可能な脆弱性診断を行っている業者は情報発信にも力を入れております

 

病院が狙われるサイバー攻撃が気になるけれど、どのような種類があるの？

 

病院が狙われるサイバー攻撃には、どのような種類があるのでしょうか。

 

今回は、病院が狙われるサイバー攻撃の種類について解説します。また、5つの被害事例やサイバー攻撃に対する有効な対策についてもまとめました。

 

これを読めば、サイバー攻撃の種類や被害事例を知ることができ、より有効なセキュリティ対策を講じるきっかけになります。

 

先に結論を言うと、病院が狙われるサイバー攻撃は主に3種類あり、どれも日頃から対策を行うことで、被害を最小限に抑えることが期待できますよ。

 

そもそもサイバー攻撃とは？

サイバー攻撃とは、インターネットなどのネットワークを介して、PCなどのサーバやシステムに損害を与える行為を意味します。

 

ウイルス感染による情報漏洩を引き起こし、攻撃対象となっている企業や組織に多大な損害を与えるだけでなく、そこから関係者に被害が広がる可能性もあります。

 

また、攻撃の手法も日々巧妙化・高度化しており、個人を狙った攻撃の他、サイバー攻撃の被害を受けたことに気付かない事例も少なくはありません。

 

このように、サイバー攻撃はインターネット環境で重要な情報をやり取りしている全ての企業や組織、個人が対象になり得るため、万全な対策が必要と言えるでしょう。

 

病院がサイバー攻撃に狙われやすい理由

病院がサイバー攻撃に狙われやすい理由は、主に以下の3つです。

 

・攻撃者にとって価値のあるデータが多い

・システムは脆弱性が突かれやすい構造になっている

・十分なセキュリティ対策を行っていないケースがある

 

近年、病院に対するサイバー攻撃が増加傾向にありますが、個人情報や金銭を目的としているだけではありません。では、それぞれの理由について詳しく解説します。

 

攻撃者にとって価値のあるデータが多い

病院がサイバー攻撃に狙われやすい理由1つ目は、攻撃者にとって価値のあるデータが多いことです。

 

なぜなら、病院は攻撃者が欲しがる情報を数多く保有しているからです。

 

例えば、病院で受けた検査の結果や病気の経過は個人情報と併せて電子カルテで管理され、診療の支払いにクレジットカード決済を使用すればクレジットカード情報も保管されますよね。

 

こうした情報はどれも病院や患者への脅迫・詐欺に利用することが可能です。そのため、病院にある様々な情報は、悪意ある第三者にとって価値のあるデータと言えるでしょう。

 

システムは脆弱性が突かれやすい構造になっている

病院がサイバー攻撃に狙われやすい理由2つ目は、病院が利用しているシステムが脆弱性を突かれやすい構造になっていることです。

 

なぜなら、病院には外部業者やネットワークに繋がるシステムや医療機関が導入されているからです。

 

一般的に病院のシステムは、医療機器メーカーや薬品、医療物資の提供事業者など、様々な外部業者とネットワークで繋がっています。

 

外部業者とネットワークで情報をやり取りすることは不可欠ですが、それによりサイバー攻撃を受ける可能性が増加しているため、十分に注意するべきでしょう。

 

十分なセキュリティ対策を行っていないケースがある

病院がサイバー攻撃に狙われやすい理由3つ目は、十分なセキュリティ対策を行っていないケースがあることです。

 

なぜなら、診療業務が優先される多忙な医療業界では、どうしてもセキュリティ対策に十分な予算や人材が確保できないという実態があるからです。

 

また、レガシーシステムと呼ばれる古い機器を使用していたり、バージョンアップなどの適切な対策が取れていないことも珍しくはありません。

 

このような病院の傾向が狙われやすい要因になっているため、病院はセキュリティ対策を軽視せず万全の対策を講じる必要があるでしょう。

 

病院で発生するサイバー攻撃の種類

サイバー攻撃の手口として、PCの乗っ取り被害やウイルス感染などがあります。どれも病院を狙ったサイバー攻撃で多く見られ、代表的な種類が3つあります。

 

では、病院で発生するサイバー攻撃の種類について、具体的に見ていきましょう。

 

ランサムウェア攻撃

ランサムウェアとは、「ランサム（Ransom）」と「ソフトウェア（Software）」を組み合わせた造語で、マルウェアの一種です。

 

病院の保有する電子カルテやサーバ内のデータを暗号化し、データの復元を条件に身代金を要求します。

 

ランサムウェアに感染させる手口は、不特定多数にメールでプログラムを送りつける手法が主流でしたが、近年では、VPN機器やネットワークなどの脆弱性を突いて端末に侵入する手口も増えてきました。

 

また、データを盗み取った上で脅迫する「二重脅迫（ダブルエクストーション）」も確認されています。

 

サプライチェーン攻撃

サプライチェーンとは、原料調達から製造、在庫管理、流通、販売まで製品が消費者のもとに届くまでの一連の流れを言います。

 

サプライチェーン攻撃とは、標的となる病院や企業に直接攻撃を仕掛けるのではなく、相対的にセキュリティ対策が手薄な関連会社や取引先企業を踏み台にした上で、不正アクセスを試みるサイバー攻撃を指します。

 

病院としても無視できる問題ではなく、取引先を介して攻撃されることがあると知り、サプライチェーン全体で対策を講じなければなりません。

 

標的型攻撃メール

標的型攻撃メールとは、特定の組織や個人に危害を加えることを目的として実行されるサイバー攻撃です。

 

マルウェアを仕込んだファイルや不正なサイトに誘導するURLをメールで送りつけ、受信者に開かせることでマルウェアに感染させます。

 

また、個人が受ける迷惑メールは無差別に送信されることが多いですが、標的型攻撃では、狙いを定めた攻撃であることから、より巧妙にメールが作られる傾向にあります。

 

大手企業や医療機関だけでなく、中小企業や地方公共団体も狙われる可能性があるため、あらゆる企業や組織が注意しなければなりません。

 

病院がサイバー攻撃を受けた場合の影響

病院がサイバー攻撃を受けた場合の影響は、主に以下の3つです。

 

・患者の個人情報や診療情報の漏洩

・医療機器を含むシステムダウンや業務停止

・金銭的な損失

 

病院がサイバー攻撃を受けることで様々な被害が生じることがあります。では、それぞれの影響について詳しく解説します。

 

患者の個人情報や診療情報の漏洩

病院がサイバー攻撃を受けた場合の影響1つ目は、患者の個人情報や診療情報の漏洩の可能性があることです。

 

なぜなら、病院のシステムには、患者に関わるセンシティブな個人情報から健康保険証の番号やクレジットカード情報などが多数登録されているからです。

 

これらの情報は、攻撃者にとって身代金を要求する手段として価値が高く悪用されかねません。

 

また、患者の個人情報や病院の機密情報が漏洩してしまえば、社会的信用を失う可能性もあるため、場合によっては患者や関係者から損害賠償を請求されることも想定されます。

 

医療機器を含むシステムダウンや業務停止

病院がサイバー攻撃を受けた場合の影響2つ目は、医療機器を含むシステムダウンや業務停止の可能性があることです。

 

システムダウンしてしまうと対処に時間がかかるため、その間業務も停止してしまう危険性があります。また、長期的なシステムダウンの場合は、保管されているデータが消失する可能性もあります。

 

病院では、診療において不可欠な電子カルテや医療機器、会計システムなど数多くのシステムを利用しています。

 

そのため、サイバー攻撃によりシステムが十分に機能しなくなるとサービスそのものが停止する恐れがあります。

 

金銭的な損失

病院がサイバー攻撃を受けた場合の影響3つ目は、金銭的な損失の可能性があることです。

 

なぜなら、障害で停止したシステムの復旧や業務停止などに伴う被害により金銭的な損失が生じることがあるからです。

 

また、ランサムウェアのようにデータの復旧と引き換えに身代金を要求されるなど、直接金銭的な被害を受ける可能性もあります。

 

他にも、患者や関係者への損害賠償や法令上のペナルティ、社会的信用を失うことによる将来的な収入の減少など様々な要因で金銭的な損失が生じることが考えられます。

 

日本国内の病院におけるサイバー攻撃の被害事例5選

日本国内では、多くの病院がサイバー攻撃の被害に遭っています。様々な被害事例を知り、有効な対策を立てなければなりません。

 

では、日本国内の病院におけるサイバー攻撃の被害事例について、具体的に見ていきましょう。

 

2018年奈良県の病院におけるランサムウェア被害

2018年、奈良県の市立病院でランサムウェア被害が発生しました。ランサムウェアによって、電子カルテシステムが使用できなくなり、システムが復旧するまで紙カルテでの診療を余儀なくされました。

 

職員が私物のPCを院内のネットワーク機器に接続したことが、原因と考えられています。

 

2019年東京都の医療センターにおけるマルウェア感染

2019年、東京都の医療センターで職員の端末が不正アクセスされ、端末内の情報が外部に流出しました。流出した情報は、職務用PCのメールボックスのみで、ファイルサーバへの不正アクセスは確認されませんでした。

 

職員がメールに添付されたファイルを不用意に開封したことによるマルウェア感染「Emotet亜種」が原因と考えられています。

 

2020年福島県の大学附属病院におけるウイルス感染

2020年、福島県の大学附属病院でウイルス感染による検査機器の不具合が約3年わたって発生していました。CT撮影中に機器が再起動して画像を記録できないなど、業務への影響がありました。

 

2017年8月から、コンピュータウイルス「WannaCry」に感染していたことが原因と考えられています。

 

2021年徳島県の病院におけるランサムウェア被害

2021年、徳島県の病院がランサムウェア「Lockbit2.0」攻撃により、システムに不正侵入される被害が発生しました。院内のプリンタから英文の犯行声明が出力され、電子カルテやLANが使用できなくなり、受付業務や処方などに支障が出ました。

 

オフラインで保存していたバックアップデータを基に復旧作業を進め、攻撃の2日後には復旧したとされています。

 

2022年大阪府の医療センターにおけるランサムウェア被害

2020年、大阪府の医療センターでランサムウェアによるサイバー攻撃が発生しました。電子カルテが暗号化され、外来診療や各種検査が停止し、復旧に2ヶ月を要しました。

 

外部業者のVPNに侵入したランサムウェアが、常時接続されていた病院側のサーバに侵入したことが原因と考えられています。

 

病院が実施するべきセキュリティ対策

病院が実施するべきセキュリティ対策には、主に以下の6つがあります。

 

・VPN機器のセキュリティ強化

・攻撃を速やかに検知・検出するツールの導入

・多要素認証の導入

・サプライチェーンリスクの確認

・セキュリティ教育の実施

・インシデント発生時の対応計画の策定

 

サイバー攻撃の種類や被害を受けた際の影響、被害事例を知った上で、有効な対策を実施しなければなりません。では、それぞれの対策について詳しく解説します。

 

VPN機器のセキュリティ強化

病院が実施するべきセキュリティ対策1つ目は、VPN機器のセキュリティ強化を行うことです。

 

なぜなら、病院へのサイバー攻撃は、VPN機器の脆弱性を狙った攻撃が増加しているからです。

 

特定の人のみが利用できるVPN接続をはじめとする技術的な対策に加え、ガイドラインに沿ったアクセス制限の設定など、ネットワーク管理は組織全体で取り組まなければなりません。

 

そのため、VPN機器のIDやパスワードを見直したり、最新パッチの適用や定期的なアップデートを実行したりして、基本的な対策を行いましょう。

 

攻撃を速やかに検知・検出するツールの導入

病院が実施するべきセキュリティ対策2つ目は、攻撃を速やかに検知・検出するツールを導入することです。

 

攻撃者がネットワークへ侵入してくることを前提とした、不正アクセスを素早く検知・検出・対策できるセキュリティツールの導入は欠かせません。

 

例えば、ネットワーク上の通信を制御してウイルス感染を防ぐ機能や、ウイルス感染を検知・検出して駆除を行う機能などが挙げられます。

 

万が一攻撃を受けた場合に備えて、ウイルス感染を検知・検出できるセキュリティツールの導入を検討しましょう。

 

多要素認証の導入

病院が実施するべきセキュリティ対策3つ目は、多要素認証を導入することです。

 

多要素認証とは、通常のIDやパスワードに加え、指紋や顔、スマホを用いたワンタイムパスワードなどを組み合わせて行う認証方法のことです。

 

多要素認証を導入することで万が一、VPN機器のIDやパスワードが流出した場合でも、攻撃者からの不正アクセスを防ぐことが可能になります。

 

また、利用するシステムごとに、個別のIDやパスワードを用いると管理しづらく漏洩リスクも高まるため、多要素認証とセットで提供されているサービスを検討しましょう。

 

サプライチェーンリスクの確認

病院が実施するべきセキュリティ対策4つ目は、サプライチェーンリスクの確認を行うことです。

 

なぜなら、病院などの医療機関は、様々な取引先や外部業者とネットワークで繋がっているため、関連事業者を踏み台にして間接的に攻撃を仕掛けられる可能性があるからです。

 

関連事業者全体で適切なセキュリティ対策を行っていないと、院内のシステムに不正侵入されるリスクが高まります。

 

そのため、外部業者との間で具体的な対策や計画などを明確化し、セキュリティレベルの向上と体制の構築を実施しましょう。

 

セキュリティ教育の実施

病院が実施するべきセキュリティ対策5つ目は、定期的なセキュリティ教育を実施することです。

 

なぜなら、サイバー攻撃の手口には、職員宛てに送信したメールがマルウェアの侵入経路になるケースも少なくないからです。そのため、不審なメールは開封しないことや、送信元が信用できない添付ファイル・URLなどはクリックしないよう教育することが大切です。

 

また、万が一マルウェア感染などのインシデントが発生した際には、具体的にどのような対処をするべきか周知する必要もあります。

 

患者や職員の個人情報の扱いも含めて、セキュリティ意識を高めておくことが重要と言えるでしょう。

 

インシデント発生時の対応計画の策定

病院が実施するべきセキュリティ対策6つ目は、インシデント発生時の対応計画を策定することです。

 

なぜなら、病院がサイバー攻撃を受けた場合、速やかに効果的な対処を行うためです。

 

例えば、サイバー攻撃が確認された時の初動やデータが消失してしまった場合の措置・復旧までの流れ、院内外との連絡体制などの計画を具体的に立てておかなければなりません。

 

また、より迅速かつ効果的な対処を行うために、日頃から定期的なデータの復旧などのテストや訓練を実施することも重要と言えるでしょう。

 

まとめ

今回は、サイバー攻撃の種類や被害事例、有効な対策について解説しました。病院や医療機関は、攻撃者にとって価値のあるデータが多いため、脆弱性を突かれたサイバー攻撃が増加傾向にあります。

 

サイバー攻撃の被害に遭った場合には、サイバー攻撃の種類や被害事例を知っておくことで、適切な対策・対処を行うことが可能です。万が一の事態に備えて、日頃からシステムの管理やネットワーク環境を見直していただきたいです。

 

病院や医療機関はサイバー攻撃の標的になりやすいため、有効な対策を行い、情報漏洩を防がなければなりません。インフォシールド合同会社では、サイバーセキュリティに関するサービスの見積もりやサービス提供を行っております。

詳細はこちらからご確認ください