医療機関のランサムウェア被害事例と対策を知ろう！

患者さんが来院したのに、カルテや予約情報を確認できない。

そんな事態が突然起きたら、受付も診療も大きく混乱してしまいますよね。

実際に医療機関では、サイバー攻撃によって院内システムが使えなくなり、診療に影響が出た事例があります。

この記事では、医療機関で実際に起きた被害を見ながら、自院では何を確認し、困ったときに誰へ相談すればよいのかをご紹介します。

自治体で起きた被害について知りたい方は、自治体のサイバー攻撃事例と対策も参考にしてみてください。

セキュリティー診断さん

病院がサイバー攻撃のターゲットになるの？ 患者さんの情報とか、大丈夫なのかな…？ なんだか心配になってきたよ。

医療機関で被害が起きやすい3つの背景

医療機関がサイバー犯罪の標的になりやすいのには、主に3つの理由があります。

• 患者さんの個人情報や診療情報など、重要な情報を多く扱っている
• 診療を簡単に止められず、システム停止の影響が大きい
• セキュリティ対策に十分な人員や予算をかけにくい

なかでも注意したいのが、データやシステムを使えない状態にして、元に戻すことと引き換えに金銭を要求する「ランサムウェア」です。

医療機関には「簡単に診療を止められない」という事情があるため、そこにつけ込んで身代金を要求されることがあります。

さらに、人手や予算が限られ、セキュリティ対策まで十分に手を回せない医療機関も少なくありません。

こうした事情が重なることで、攻撃者から狙われるリスクが高くなります。

小規模医療機関も狙われる？

大きな病院では専門のIT部門を設けていることもあります。

でも、個人経営のクリニックや小規模病院では、次のような状況に心当たりがある方も多いのではないでしょうか。

• ITのことは、詳しい事務員さんが本来の仕事と兼任している
• ホームページは開業時に作ったままで、何年も見直していない
• 「セキュリティ対策」と言われても、何から始めればよいかわからない
• 予算も人手も限られ、日々の診療を優先せざるを得ない

こうした環境では、セキュリティ対策まで十分に手を回すのは簡単ではありません。

攻撃者が狙うのは、まさにそうした「守りが手薄になりやすい場所」です。

「規模が小さいから狙われない」とは限りません。

小規模な医療機関でも、自院に関係するところから少しずつ確認しておくことが大切です。

医療機関のランサムウェア被害事例

では、病院のシステムが実際に使えなくなると、患者さんの受け入れや診療にどのような影響が出るのでしょうか。

被害を公表している病院の資料から、実際に起きた事例を見てみましょう。

つるぎ町立半田病院で電子カルテが利用できなくなった事例

つるぎ町立半田病院では、2021年10月31日未明のランサムウェア攻撃で、電子カルテをはじめとする院内システムが感染しました。

カルテを閲覧できなくなり、いつもどおりの診療を続けられない状態になったのです。

病院が公表した有識者会議の調査報告書には、被害の経緯と通常診療を再開するまでの対応がまとめられています。

診療記録が見られなくなるだけでも、患者さんを診るために必要な情報をすぐに確認できなくなってしまいます。

大阪急性期・総合医療センターで救急や予定手術に影響した事例

大阪急性期・総合医療センターでは、2022年10月31日早朝のランサムウェア攻撃で、電子カルテを含む総合情報システムが利用できなくなりました。

影響は救急診療や外来診療だけでなく、予定されていた手術にも及びました。

同センターの調査報告書の公表ページによると、紙カルテを使うなどして一部の診療を続けながら、システムの復旧を進めたとのことです。

こうした事例を見ると、システムが止まった場合にどう診療を続けるのか、管理業者と事前に確認しておくことの大切さがわかります。

自分たちで設定まで細かく調べるよりも、どこまで対応してもらえる契約なのか、困ったときは誰に連絡すればよいのかを把握しておくことが大切です。

セキュリティー診断さん

そんなに大変なことになるの！ ？ うちの病院、ちゃんとチェックしたことあるのかな…なんだかすごく不安になってきた。

ランサムウェアの被害の疑いがあったらどうする？

ランサムウェアへの感染が疑われたら、無理にその場で解決しようとせず、院内の担当者やシステムを管理している業者へ早めに連絡しましょう。

感染した可能性のある端末を使い続けると、ほかのシステムまで被害が広がるおそれがあります。

電子カルテや予約システムなどに影響が出ている場合は、診療をどのように続けるかも確認しなければなりません。

必要な対応は被害の状況によって変わるため、「緊急時は誰に連絡するのか」だけでも普段から確認しておくと安心です。

初動時の考え方について詳しく知りたい場合は、セキュリティインシデント対応の進め方も参考にしてみてください。

被害が起きてから慌てないためにも、攻撃を受ける前に確認できるところから備えておきましょう。

Webサイトの弱点は定期的にチェックしよう

院内システムの対策を管理業者と進めるのとあわせて、患者さんが使うWeb上の窓口も確認しておきましょう。

たとえば、自院に次のようなものはありませんか？

• 病院や診療所のホームページ
• 患者さんが連絡に使う問い合わせフォーム
• 自院で運営しているWeb予約の機能

普段どおり使えていても、Webサイトにセキュリティ上の弱点が隠れているケースは珍しくありません。

見た目だけでは判断できず、入力された情報の漏えいや、Webサイトが使えなくなる原因につながることもあるため注意が必要です。

まずは、Web部分の安全性を誰が確認しているのかを把握しておくことが大切です。

制作会社や予約サービスの提供会社に確認するほか、『セキュリティー診断さん』を利用して、公開しているWebサイトに弱点がないかを調べる方法もあります。

診断結果は、制作会社や管理業者に対策を相談するときの資料として役立ちます。

ただ、院内PCや電子カルテ、医療機器などは診断の対象外のため、それぞれの管理業者と対策を進めていきましょう。

セキュリティー診断さん

なるほど、まず専門的なサービスで診断するのが一番安心なんだね！ これなら僕でも簡単に申込できそう！

患者さんが使うWeb窓口を、未確認のままにしないために

病院の被害事例を見ると、診療に必要な情報が使えなくなるだけでも、患者さんの受け入れに大きな影響が及ぶことがわかります。

電子カルテなどは管理業者と確認を進めながら、自院のホームページや予約・問い合わせ機能についても、「最後に安全性を確認したのはいつか」を振り返ってみましょう。

「誰が確認しているのかわからない」「自分で詳しく調べるのは難しい」という場合は、院長先生ひとりで抱え込まず、専門サービスを利用する方法があります。

『セキュリティー診断さん』なら、公開Web部分の弱点を確認し、その結果を制作会社や管理業者への相談にも役立てられます。

患者さんが安心して使えるWeb窓口を保つためにも、まずは今の状態を確認するところから始めてみましょう。