岡山県精神科医療センターのランサムウェア被害(2024年5月公表)
結論から
- 2024年5月19日に電子カルテを含む院内システムが暗号化され、法人内の診療所を含む全カルテが見られなくなりました。紙カルテで診療を続け、約90日で完全復旧しています。
- 患者最大約4万人分の個人情報(病名などを含む)が流出したことを、岡山県警からの連絡で確認しました。
- 調査報告書は、保守用VPN装置の脆弱性の放置、推測しやすいID・パスワードの使い回し、全ユーザーへの管理者権限付与を原因に挙げています。
概要
- 公表日
- 2024年5月20日
- 発生
- 2024年5月19日
- 検知・発覚
- 2024年5月20日
- 最新の公表
- 2025年2月13日
- 組織・業種
- 岡山県精神科医療センター(医療 / 医療・医薬)
- 漏えいした情報・件数
- 患者など最大約40,000人分(氏名・住所・生年月日・病名などを含む共有フォルダーの文書)
- 業務への影響
- 電子カルテを含む総合情報システムが停止し、紙カルテで診療を継続。2024年6月1日に仮復旧、7月4日に電子カルテ復旧、8月17日に完全復旧(約90日)
- 業績への影響
- 金額は公表されていない。報告書は、復旧工数を約65人月と病院側が試算したと記載
- 身代金
- 身代金の支払い、攻撃者との連絡・交渉は一切行わない方針を決めたと報告書に記載
- 行政の対応
- 厚生労働省、岡山県、岡山市、岡山県警察本部に報告。厚生労働省の初動チームとして原因究明にあたったソフトウェア協会の専門家が調査報告書をまとめた
- 調査報告書・再発防止策
- 公式の資料を開く ↗
経緯
-
攻撃者の初期侵入(後日のフォレンジック調査で判明)。その後、院内ネットワークの探索、バックアップの破壊、ウイルス対策ソフトの停止などが行われた [1]
-
13時10分頃から電子カルテシステムなどの暗号化が始まり、16時頃に電子カルテが使えなくなった [1]
-
ランサムウェア感染を確認し、病院ネットワークを停止。関係機関に報告し、紙カルテ運用に切り替えた。サイバー攻撃で電子カルテが停止していると公表 [2]
-
ランサムウェアとみられるサイバー攻撃が原因と特定したと公表(第2報) [2]
-
暗号化を免れたデータウェアハウスのサーバーからデータを取り出し、中古サーバーで電子カルテを仮復旧 [1]
-
岡山県警からの連絡(6月7日)を受け、患者情報など最大約4万人分の流出を記者会見で公表。本人に郵送で通知 [3]
-
新しいサーバーで電子カルテを復旧 [1]
-
サーバーストレージの入れ替えを終え、病院情報システムが完全復旧(発生から約90日) [1]
-
一般社団法人ソフトウェア協会の専門家による調査報告書を公表 [4]
侵入経路と原因
調査報告書は、初期侵入の原因を一つに確定できていません。外部との接続点であるファイアウォールとSSL-VPN装置(外部から院内ネットワークに入るための装置)のログが装置のメモリ上で上書きされる設定で、侵入元を調べられなかったためです。
そのうえで報告書は、聞き取りで次の4点を確認したとしています。保守用SSL-VPN装置のID・パスワードが推測しやすいものだったこと。院内のすべてのWindowsコンピューターの管理者にも同じID・パスワードが使い回されていたこと。SSL-VPN装置の脆弱性が2018年の設置以来修正されず、過去のランサムウェア攻撃で使われた脆弱性が残っていたこと。すべてのサーバー・端末のユーザーに管理者権限が付いていたことです。
報告書は、保守用VPN装置への接続元IPアドレスの制限がなく、インターネット上の誰でも攻撃できる状態だったとも指摘しています。院内は閉域網(外部とつながらないネットワーク)だという前提で、Windows Updateなどの脆弱性対策が行われていなかったとしています。
院内で被害が広がった理由について、報告書は、使い回された管理者の資格情報で各端末に接続し、管理者権限でウイルス対策ソフトを止めて暗号化した可能性が高いとしています。原因は病院と電子カルテを構築した事業者の厚生労働省ガイドラインの理解不足などにあると、報告書は自ら結論づけています。
影響
業務への影響: 電子カルテシステムなどの仮想サーバー23台、物理サーバー9台、端末244台が暗号化され、仮想用共有ストレージのデータはすべて失われました。法人内の診療所を含む全カルテが見られなくなり、5月20日から紙カルテで診療を続けました。
復旧の経過: 病院と事業者はオフライン・バックアップ(ネットワークから切り離した控え)を取る契約を結んでいましたが、正しく取得されておらず、復旧に使えませんでした。暗号化を免れたデータウェアハウスのサーバーからデータを取り出し、6月1日に仮復旧、7月4日に電子カルテを復旧し、8月17日に完全復旧しました。報告書によると、復旧には約65人月の工数がかかりました。
情報への影響: 6月7日に岡山県警から連絡があり、本院サーバーの共有フォルダーにあった文書から、患者など最大約4万人分の個人情報が流出したことが分かりました。氏名・住所・生年月日・病名などを含む要配慮個人情報です。電子カルテ内の情報ではないとしています。
センターは2025年2月の公表で、その後の被害の拡大は確認されていないとし、警察の捜査が続いていると説明しています。犯行グループ名は公表されていません。
会社の対応と再発防止策
感染を確認した5月20日に病院ネットワークを止め、厚生労働省、岡山県、岡山市、岡山県警察本部に報告しました。同日、ホームページとプレスリリースで公表し、入通院患者には紙面や口頭で説明を始めています。
報告書によると、病院は身代金の支払いや攻撃者との連絡・交渉を一切行わず、自力で復旧する方針を決めました。対策本部を設け、当初は1日3回の会議で医療の継続と復旧を管理しています。
脆弱性の悪用やバックドア(攻撃者が後から入るための仕掛け)が残っている疑いがあったため、基本的にすべてのコンピューターを完全に初期化するか、新品に入れ替えました。2024年12月時点で技術的な強化策の適用をほぼ終え、2025年1月以降は組織的・人的な対策を進めるとしています。
調査は、厚生労働省の初動対応チームとして原因究明にあたった一般社団法人ソフトウェア協会の専門家に依頼しました。センターは報告書を「一切の忖度なしで事実と責任の所在を明確に」したものとして公開し、国の指針を参考に再発防止に取り組むとしています。
この事案から学べること
- VPN装置は設置して終わりではありません。報告書は、2018年の設置以来更新されていなかった脆弱性を原因の一つに挙げています。
- 推測しやすいパスワードの使い回しと、全員への管理者権限が、院内の被害拡大とウイルス対策ソフトの停止を容易にしたと報告書は指摘しています。
- バックアップは「取る契約」ではなく「戻せること」を確かめる必要があります。この事案ではオフライン・バックアップが正しく取得されていませんでした。
- 機器のログが上書きされる設定だと、侵入元を後から調べられません。保存先と保存期間の設定は事前に見直す必要があります。
- 保守の範囲を契約で明確にしておかないと、事故のときに協力が得られないことがあります。報告書は保守契約の定義のあいまいさも指摘しています。
自社で確認すること
- 1 外部から接続できるVPN装置について、脆弱性の更新状況と接続元の制限を確認していますか。
- 2 管理者のID・パスワードが複数の機器で使い回されていないか、一般ユーザーに管理者権限が付いていないかを確認していますか。
- 3 オフライン・バックアップから実際に戻せるかを、最近試しましたか。
同じ手口の事案
関連する事案
よくあるご質問
- 岡山県精神科医療センターのランサムウェア被害の原因は何ですか。
- 調査報告書は、保守用VPN装置の脆弱性の放置、推測しやすいID・パスワードの使用と使い回し、すべてのユーザーへの管理者権限の付与を挙げています。初期侵入の経路は、ログが残っておらず一つに確定できていません。
- 電子カルテはどのくらいで復旧しましたか。
- 2024年6月1日に中古サーバーで仮復旧、7月4日に新しいサーバーで電子カルテを復旧し、8月17日に病院情報システムが完全復旧しました。発生から約90日です。
出典
- ランサムウェア事案調査報告書(PDF) ↗ (地方独立行政法人 岡山県精神科医療センター、2025-02-13)
- (注意喚起)岡山県精神科医療センターの電子カルテシステムの障害発生について ↗ (岡山県、2025-02-13)
- 岡山県精神科医療センターへのランサムウェア攻撃、最大約 40,000 人分の患者情報が流出した可能性 ↗ (ScanNetSecurity、2024-07-22)
- 地方独立行政法人 岡山県精神科医療センター ランサムウェア事案調査報告書について ↗ (地方独立行政法人 岡山県精神科医療センター、2025-02-13)
- 「一切の忖度なしで事実と責任の所在を明確に」した調査報告書を公開 ↗ (ScanNetSecurity、2025-02-27)