電子カルテが2カ月止まった——国内病院ランサムウェア事案が突きつけた医療セキュリティの現実

1. 相次いだ国内医療機関への攻撃——2つの重大事案

「電子カルテが開かない」——ある朝、外来の始業とともに院内が騒然となる。過去の診療記録も、処方歴も、検査結果も、アレルギー情報も参照できない。会計システムも止まり、新規患者の受け入れを断らざるを得ない。これは映画のワンシーンではなく、実際に国内の医療機関で起きたランサムウェア被害の現実です。

2021年10月には四国の町立〇〇病院で、2022年10月には大阪の大規模〇〇医療センターで、ランサムウェア攻撃により電子カルテシステムが暗号化され、通常診療の停止・制限が数週間から2カ月に及ぶ事態が発生しました。いずれの事案でも詳細な調査報告書が公表され、侵入経路・被害拡大の要因・組織的な課題が明らかになっています。日本の医療セキュリティを語るうえで避けて通れない、まさに「転換点」となった2つの事案です。

本記事では、公表された調査報告書等の情報をもとに2つの事案を解剖し、なぜ医療機関が狙われるのかという構造的な問題、そして2023年の医療法施行規則改正と厚生労働省「医療情報システムの安全管理に関するガイドライン」第6.0版によって義務化されたサイバーセキュリティ対策の実務を、医療機関の情報システム担当者・経営層の視点から整理します。なお、本記事は実際に起きた事案の「解説」に重点を置いています。自院で「電子カルテを止めないために何をすべきか」という具体的な対策・備えを知りたい方は、医療機関のランサムウェア対策もあわせてご覧ください。

※本記事では、被害を受けた医療機関・事業者の名称は「〇〇病院」「〇〇医療センター」「〇〇社」と表記します。事案の内容は、各医療機関が設置した有識者会議・調査委員会の公表報告書等に基づいています。

2. 事案①：四国の町立病院（2021年10月）——VPN機器の脆弱性から電子カルテ全停止へ

2021年10月末の未明、四国の町立〇〇病院（約120床）で院内の複数のプリンターが一斉に英文の脅迫文を印刷しはじめました。「あなたのデータは盗まれ、暗号化された」——LockBitランサムウェアによる攻撃でした。電子カルテシステムを含む院内システムが暗号化され、約8万5千人分の患者情報にアクセス不能となりました。

被害の実相——「紙とペン」に戻った2カ月間

電子カルテが使えないということは、過去の診療記録・投薬歴・アレルギー情報・検査データのすべてを参照できないことを意味します。同病院は新規患者の受け入れを停止し、既存患者については紙カルテ運用に切り替えて診療を継続しました。医師・看護師は患者本人やお薬手帳から過去の治療内容を聞き取り、手書きで記録を作り直すという膨大な作業を強いられました。会計もレセプト（診療報酬請求）も止まり、病院経営そのものが揺らぐ事態となりました。

システムの完全復旧までに要した期間は約2カ月。地域で中核的な役割を担う病院が、2カ月にわたり通常機能を失ったインパクトは計り知れません。なお、同病院は攻撃者への身代金は支払わず、システムを再構築する形で復旧しています。

侵入経路——放置されていたVPN装置の既知脆弱性

事案後に設置された有識者会議の調査報告書は、侵入経路としてVPN装置の既知脆弱性を指摘しました。具体的には、Fortinet製VPN製品の脆弱性（CVE-2018-13379系）が修正されないまま放置されており、この脆弱性を悪用して窃取された認証情報が攻撃に利用された可能性が高いとされています。この脆弱性は2019年には修正パッチが公開され、世界中で悪用が確認されて繰り返し注意喚起されていた「既知中の既知」の脆弱性でした。

さらに報告書は、被害拡大の要因として院内ネットワークの構造的な問題を指摘しています。院内ネットワークはセグメント分離のないフラットな構成で、VPN装置から侵入した攻撃者は、事務系端末から電子カルテ端末まで院内のあらゆるシステムに横展開（ラテラルムーブメント）することができました。加えて、端末のパスワード管理やウイルス対策ソフトの運用にも課題があったことが報告されています。

調査報告書の公開——日本の医療セキュリティの転換点

この事案が特筆すべきなのは、有識者会議による詳細な調査報告書が一般に公開されたことです。侵入経路、院内の運用実態、ベンダー任せになっていた保守管理の課題までが率直に記述されたこの報告書は、全国の医療機関・システムベンダーにとって共通の教材となり、日本の医療セキュリティ政策が大きく動く契機となりました。後述する医療法施行規則の改正やガイドライン第6.0版への改訂も、この流れの中に位置づけられます。

3. 事案②：大阪の大規模医療センター（2022年10月）——給食委託事業者経由のサプライチェーン攻撃

町立病院の事案から1年後の2022年10月31日、今度は大阪の大規模〇〇医療センター（約860床）で電子カルテシステムが暗号化される事案が発生しました。同センターは救命救急や高度医療を担う地域の基幹病院であり、被害の社会的影響は前年の事案を大きく上回るものでした。

被害の実相——基幹病院の通常診療が約43日間制限

電子カルテが停止した同センターは、緊急性の低い手術や外来診療の延期を余儀なくされ、通常診療の制限は約43日間に及びました。システムの完全復旧が宣言されたのは2023年1月です。約860床の基幹病院が2カ月以上にわたり本来の機能を発揮できなかったことになります。使用されたランサムウェアはPhobos系とされています。

経済的被害も甚大でした。調査・復旧費用だけで数億円超、診療制限による逸失利益を含めると十数億円規模に達すると推定されています。サイバー攻撃が医療機関の経営に与えるダメージの大きさを、具体的な数字で示した事案でもあります。

侵入経路——病院ではなく「給食委託事業者」から

この事案の最大の特徴は、攻撃者の侵入起点が病院本体ではなく、給食業務の委託事業者〇〇社のシステムだったことです。調査報告書によれば、攻撃者はまず給食委託事業者〇〇社のシステムに侵入し、同社と病院の間に設けられていたVPN接続・データセンターを経由して病院の基幹ネットワークへ到達しました。

病院側は「電子カルテ系ネットワークは外部から隔離された閉域網」と認識していました。しかし実際には、給食システム連携のための接続点が存在し、その先にある委託事業者のセキュリティレベルが病院全体のセキュリティレベルを規定していたのです。「閉域網だから安全」という想定が、委託事業者という横の接続から破られた——これは医療に限らず、あらゆる業種に通じるサプライチェーン攻撃の典型例です。

調査報告書が指摘した複合的な問題

同センターが公表した調査報告書は、侵入と被害拡大を許した要因を多面的に指摘しています。主なものを整理すると次のとおりです。

注目すべきは、指摘された問題の多くが「高度な攻撃手法への対応不足」ではなく、パッチ管理・パスワード管理・接続管理という基本的な衛生管理（サイバーハイジーン）の不備だったことです。攻撃者は魔法を使ったわけではなく、開いていた扉から入り、共通の鍵で全部屋を開けて回っただけなのです。

4. なぜ医療機関が狙われるのか——「命を人質にできる」標的の構造

医療機関へのランサムウェア攻撃は、偶然の産物ではありません。攻撃者の視点に立つと、医療機関は「支払い圧力を最大化しやすく、防御が手薄な標的」という構造的な特徴を持っています。

①「止められない」業務が身代金圧力を最大化する

ランサムウェア攻撃者のビジネスモデルは「業務停止の損害と身代金を天秤にかけさせる」ことです。医療は人の生命・健康に直結し、1日たりとも止めることが許されない業務です。診療が止まれば患者の治療が遅れ、救急の受け入れができなくなる——この「止められなさ」こそが、攻撃者にとって最大の交渉材料になります。海外では、病院へのサイバー攻撃と患者の死亡との関連が争われた事案も報道されており（因果関係の司法判断はケースにより異なります）、医療機関への攻撃が文字どおり人命に関わりうることが国際的にも認識されています。

②電子カルテは診療の生命線である

現代の病院において、電子カルテは単なる記録システムではなく、オーダリング（検査・処方・注射の指示）、部門システム連携、会計まで含めた診療業務全体の中枢です。ここが暗号化されれば、病院機能はほぼ全面的に麻痺します。攻撃者にとって、電子カルテは「最小の労力で最大の圧力を生む急所」なのです。

③医療機器はパッチを当てにくい

画像診断装置（CT・MRI等)をはじめとする医療機器には、サポートが終了した古いOSで稼働しているものが少なくありません。医療機器は薬機法上の承認との関係でソフトウェア変更に制約があり、稼働を止めてパッチを適用することも容易ではないため、脆弱な機器がネットワーク上に長期間残り続ける構造的な問題を抱えています。

④セキュリティ人材・予算の慢性的不足

多くの病院では情報システム部門の人員が数名以下で、セキュリティ専任の担当者が不在というのが実態です。医療機器や電子カルテへの投資が優先され、セキュリティ予算の確保は後回しになりがちです。診療報酬という公定価格の下で経営する医療機関にとって、収益を生まないセキュリティ投資の優先順位を上げることは容易ではありません——攻撃者はその事情も織り込んで標的を選んでいます。

5. 医療法改正とガイドライン第6.0版——義務化されたサイバー対策

2つの重大事案を経て、日本の医療セキュリティは「推奨」から「義務」のフェーズに移行しました。医療機関の経営層・システム担当者が押さえるべき制度的な枠組みは次のとおりです。

医療法施行規則の改正——サイバーセキュリティ確保が法令上の義務に

2023年4月に施行された医療法施行規則の改正により、病院・診療所等の管理者には、医療情報システムの安全管理のためにサイバーセキュリティを確保するための必要な措置を講じることが義務づけられました。もはやセキュリティ対策は「意識の高い病院が任意で行う取り組み」ではなく、すべての医療機関に課された法令上の義務です。

「医療情報システムの安全管理に関するガイドライン」第6.0版

この義務の具体的な内容を示すのが、厚生労働省「医療情報システムの安全管理に関するガイドライン」第6.0版（2023年5月公表）です。第6.0版では、従来の構成が大きく再編され、読み手の役割に応じた3編構成となりました。

内容面では、2つの事案の教訓を色濃く反映し、BCP（事業継続計画）の策定、バックアップの確保、外部委託・外部接続の管理が明記されました。「委託事業者との接続点の把握と管理」が明示的に求められるようになったのは、大阪の事案の直接的な教訓といえます。

立入検査とチェックリスト——毎年度の確認事項に

厚生労働省は医療機関向けサイバーセキュリティ対策チェックリストを公表しており、その確認は毎年度の立入検査の項目に組み込まれています。チェックリストには、サーバー・端末・ネットワーク機器の管理状況、バックアップの実施状況、インシデント発生時の連絡体制、BCPの策定状況などが含まれ、医療機関は毎年これらへの対応状況を自己点検し、説明できる状態にしておく必要があります。

さらに、診療報酬の面でも診療録管理体制加算の要件に、非常時に備えた対応やセキュリティ研修の実施等が位置づけられ、セキュリティ対策が診療報酬・経営と直接リンクする構造ができつつあります。

6. 医療機関が実装すべき対策——予算がなくてもできることから

2つの事案の教訓とガイドライン第6.0版の要求を踏まえると、医療機関が優先的に取り組むべき対策は明確です。重要なのは、高額なセキュリティ製品の導入から始めるのではなく、侵入経路と拡散経路を塞ぐ基本対策から着手することです。

対策①：VPN機器の棚卸しとパッチ管理

2つの事案の起点はいずれもVPN装置の既知脆弱性でした。まず行うべきは、院内に存在するVPN機器・リモートアクセス経路の完全な棚卸しです。保守ベンダーが設置したまま忘れられているVPN、退役したはずが稼働し続けている機器がないかを確認し、ファームウェアを最新化します。そして使っていないVPNは廃止する——接続点は少なければ少ないほど守りやすくなります。

対策②：委託事業者接続の見直し

給食・検査・給与計算・機器保守——病院は多数の外部事業者と接続しています。大阪の事案が示したとおり、これらの接続点の1つひとつが侵入経路になり得ます。すべての委託事業者接続を洗い出し、「その接続は本当に必要か」「常時接続である必要はあるか」「アクセス先は最小限に絞られているか」を検証してください。契約面でも、委託事業者に求めるセキュリティ水準（パッチ適用・認証管理・インシデント時の報告義務等）を明文化することが、ガイドライン第6.0版の外部委託管理の要求に沿った対応となります。

対策③：ネットワークセグメンテーション

侵入を100%防ぐことはできない以上、侵入されても全滅しないネットワーク構造が不可欠です。最低限、次の4系統の分離を目指してください。

• 電子カルテ系：診療の中枢。他系統からのアクセスを厳格に制限する。
• 部門システム系：検査・薬剤・放射線等。電子カルテ系との通信は必要最小限のポート・プロトコルに限定する。
• 事務系：インターネット・メールを利用する系統。マルウェア侵入の可能性が最も高い前提で分離する。
• 医療機器系：パッチを当てられない古いOSの機器が存在する前提で隔離し、通信を監視する。

対策④：オフラインバックアップと復旧演習

ランサムウェアは近年、バックアップサーバーを優先的に暗号化・削除します。ネットワークから切り離されたオフラインバックアップ（またはイミュータブルバックアップ）を確保し、かつ「戻せること」を実際に確認する復旧演習を定期的に実施してください。加えて医療機関特有の演習として、紙カルテ運用への切替訓練——電子カルテが使えない状態で診療を継続する手順の確認——をBCPに組み込むことが、2つの事案から得られる最も実践的な教訓です。

対策⑤：チェックリストによる自己点検とセキュリティ診断

厚生労働省のチェックリストを使った年1回以上の自己点検を運用に組み込み、自己点検では見えない技術的な穴については、外部のセキュリティ診断で客観的に検証します。特にVPN機器・外部公開資産の脆弱性診断は、2つの事案の侵入経路を踏まえれば最優先で実施すべき項目です。

7. KeyperとUPAS ZTAによる医療ネットワークの保護

Net Peaceは、2つの事案が突きつけた課題——「接続点の把握不能」「共有パスワード運用」「委託事業者経由の侵入」——に正面から応えるソリューションを提供しています。

UPAS ZTA：院内の「すべての接続」を可視化し、統制する

UPAS ZTAは、院内ネットワークに接続するすべての機器を自動検出・可視化するIT資産管理・ゼロトラストネットワークソリューションです。電子カルテ端末はもちろん、医療機器、委託事業者の持ち込み端末、保守ベンダーの接続機器まで、「ネットワークに何がつながっているのか」をリアルタイムに把握できます。

• 全接続機器の自動検出：エージェントを入れられない医療機器や委託事業者端末も含め、ネットワーク上の全機器を検出・台帳化。
• 未承認機器の接続遮断：登録されていない機器が接続された瞬間に検知・遮断。「知らない端末」が院内ネットワークに入り込む余地をなくします。
• 委託事業者接続の統制：給食・検査・保守等の外部事業者接続を識別し、アクセス範囲を必要最小限に制御。大阪の事案型のサプライチェーン侵入への構造的な対策となります。

Keyper：共有パスワード運用からの脱却

Keyperは、FIDO2/パスキーによるフィッシング耐性認証を提供するID・アクセス管理ソリューションです。「全端末同一の管理者パスワード」「パスワードの使い回し」という事案で指摘された問題に対し、電子カルテ・部門システムへのアクセスをFIDO2認証で保護し、パスワードそのものへの依存を減らします。多忙な医療現場でも、生体認証やセキュリティキーによるすばやいログインで、セキュリティと業務効率を両立できます。

セキュリティ診断：ガイドライン第6.0版準拠のギャップ分析

Net Peaceのセキュリティ診断は、厚生労働省ガイドライン第6.0版・医療機関向けチェックリストに準拠したギャップ分析を提供します。VPN機器・外部公開資産の脆弱性診断から、委託事業者接続の構成レビュー、立入検査への対応準備まで、医療機関の実情に即した診断と改善ロードマップをご提案します。

電子カルテが2カ月止まる——その現実を経験してから対策を始めるのでは遅すぎます。まずは自院のネットワークに「知らない接続点」がないかの確認から。無料相談にてお気軽にお問い合わせください。