医療機関がランサムウェアの標的になる理由
ランサムウェア（身代金要求型マルウェア）による被害は、あらゆる業種で深刻化していますが、なかでも医療機関は攻撃者にとって「支払わせやすい標的」として狙われ続けています。2021年から2022年にかけて、国内の公立病院・基幹病院が相次いでランサムウェアに感染し、電子カルテシステムの停止によって診療そのものが数週間から2か月にわたり制限される事態が発生しました。
なぜ医療機関がこれほどまでに標的とされるのか。その理由は、医療機関という組織が持つ構造的な特性に集約されます。本記事は、医療機関が「電子カルテを止めないために取るべき対策」を実務目線でまとめたものです。実際に国内で起きた病院ランサムウェア事案の詳しい経緯・タイムラインについては、国内病院ランサムウェア事案の詳細解説をあわせてご覧ください。
医療機関が狙われる4つの理由
- 電子カルテ停止＝診療停止で支払い圧力が極大：現代の病院運営は電子カルテシステムに全面的に依存しています。システムが暗号化されて使えなくなると、患者情報の参照・処方・検査オーダーが機能停止し、診療そのものが止まります。攻撃者はこの「業務停止が即座に人命リスクへ直結する」構造を利用し、復旧を急がせて身代金支払いへの圧力を最大化します。
- 生命に関わるため交渉されやすい：製造業や小売業であれば「一定期間の停止に耐える」選択肢もありますが、医療は待てません。攻撃者はこの切迫性を熟知しており、医療機関は交渉のテーブルに着かされやすい立場に置かれます。
- 膨大な機微個人情報（要配慮個人情報）を保有：病歴・診療情報・投薬情報などは、個人情報保護法上の「要配慮個人情報」に該当します。これらは闇市場でも高値で取引され、暗号化に加えて情報窃取・暴露をちらつかせる「二重恐喝（ダブルエクストーション）」の格好の材料になります。
- レガシーな医療情報システムと多数の医療機器（IoMT）、多様な委託先：医療現場には、更新が難しい旧式のシステムや、ネットワークに接続された多数の医療機器（IoMT：Internet of Medical Things）が混在します。加えて給食・清掃・保守・システム開発など多様な委託先が院内ネットワークに接続しており、攻撃面（アタックサーフェス）が広大です。
医療分野は、電力・金融・情報通信などと並ぶ「重要インフラ」の一つとして位置づけられています。国も医療機関のサイバーセキュリティ対策を重視しており、厚生労働省が策定する「医療情報システムの安全管理に関するガイドライン」が、医療機関のセキュリティ対策の基準として機能しています。
また、IPA（独立行政法人情報処理推進機構）が毎年公表する「情報セキュリティ10大脅威」において、ランサムウェアによる被害は組織向け脅威の上位に継続して位置づけられており、医療機関にとっても最優先で対処すべき脅威であることは明白です。
要配慮個人情報の漏洩は特に厳格な管理が必要
病歴等の診療情報は、個人情報保護法上「要配慮個人情報」に位置づけられ、とりわけ厳格な取得・管理・第三者提供の制限が求められます。漏洩が発生した場合、事業者は原則として個人情報保護委員会への報告および本人への通知が義務づけられます。医療機関にとって、機微情報の漏洩は診療停止と並ぶ二重の打撃となります。
事案①：地方公立病院——VPN機器の脆弱性から電子カルテ全停止へ
まず取り上げるのは、2021年10月末に発生した国内の地方公立病院〇〇病院のランサムウェア被害です。本事案は、その後の医療機関のセキュリティ議論に大きな影響を与えた象徴的な事例として知られています。
被害の概要
- 2021年10月末、地方の公立病院〇〇病院が、LockBit 2.0とみられるランサムウェアに感染しました。
- 電子カルテシステムが暗号化され、約8万5千人分の患者データにアクセスできなくなりました。
- 攻撃者からは、データを復号する対価として身代金を要求する脅迫文が残されていたとされます。
侵入経路：VPN機器の既知の脆弱性
事後の調査により、侵入経路は院内ネットワークに設置されたVPN機器の脆弱性を悪用したものとみられると指摘されました。この時期、特定のVPN製品には既知の重大な脆弱性が公表されており、パッチ未適用の機器がインターネット上に多数さらされている状況にありました。攻撃者はこうした脆弱性を悪用して初期侵入の足がかりを得た可能性が高いとされています。
影響：紙カルテ・手作業運用への切替と約2か月の復旧
電子カルテの停止により、〇〇病院は新規患者の受け入れを停止し、手術・診療の制限を余儀なくされました。過去の診療履歴や投薬情報が参照できなくなったため、現場は紙カルテと手作業による運用への切替を迫られ、医療従事者に多大な負担がかかりました。通常診療への復旧までには約2か月を要したとされています。
なお、〇〇病院は身代金を支払わず、システムを一から再構築する道を選択しました。身代金を支払っても確実にデータが復号される保証はなく、また支払いは攻撃者の活動資金となるため、支払わないという判断は多くの専門家に支持されるものです。
第三者調査委員会の報告書が指摘した課題
本事案では、事後に第三者調査委員会が設置され、報告書が公表されました。報告書は、VPN機器の脆弱性管理の不備、アカウント管理の甘さ、バックアップ運用の問題、そしてセキュリティを統括する組織体制の欠如といった、複合的な課題を指摘しました。単一の技術的欠陥ではなく、技術・運用・組織の各層にわたる問題が重なった結果として被害が拡大した点が重要な教訓です。
事案②：基幹病院——給食委託先経由の侵入とサプライチェーンの盲点
次に取り上げるのは、2022年10月末に発生した国内の基幹病院〇〇病院のランサムウェア被害です。この事案は、自院のセキュリティだけでは防ぎきれない「サプライチェーンの盲点」を浮き彫りにしました。
被害の概要
- 2022年10月末、地域医療の中核を担う基幹病院〇〇病院がランサムウェアに感染し、電子カルテが停止しました。
- 外来診療・手術・救急の受け入れが大幅に制限され、地域の医療提供体制に広範な影響が及びました。
侵入経路：給食委託事業者を踏み台にした侵入
本事案で特筆すべきは、その侵入経路です。攻撃者は病院を直接狙ったのではなく、病院に給食を提供する委託事業者〇〇社のサーバーを最初に侵害し、そこを踏み台として病院ネットワークへ侵入したとされています。委託事業者と病院はVPNを介して接続されており、この接続経路が悪用されました。
背景として、委託先と病院の間で共通・脆弱なパスワードが運用されていたこと、セキュリティ更新（パッチ）が適用されていなかったことなどが指摘されました。委託先のネットワークが侵害されると、そこから病院側の電子カルテ系ネットワークへ横方向に侵入（ラテラルムーブメント）できてしまう状態にあったのです。
影響：全面復旧まで約2か月半、被害総額は数十億円規模
〇〇病院は外来診療・手術・救急の受け入れを大幅に制限せざるを得ず、通常診療の全面復旧までには約2か月半を要したと報じられています。システム再構築費用、診療報酬の逸失、対応人件費などを含めた被害総額は数十億円規模にのぼったとされています。
サプライチェーンの盲点——「自院が強固でも委託先が弱ければ侵入される」
この事案の最大の教訓は、「自院のセキュリティがどれだけ強固でも、接続する委託先が弱ければ、そこから侵入される」というサプライチェーンの盲点です。医療機関のセキュリティは、自組織の内部対策だけでは完結しません。給食・清掃・保守・システム開発など、院内ネットワークに接続するすべての委託先・関連事業者を含めた全体で設計しなければならないのです。委託先のパスワード運用・パッチ適用状況・接続経路の管理まで踏み込んだリスク管理が不可欠です。
医療停止の実害——「命に関わる」ダウンタイム
一般企業のシステム停止が「業務の遅延」にとどまるのに対し、医療機関のシステム停止は文字通り「命に関わる」深刻な影響をもたらします。ここでは、医療停止がもたらす実害を多角的に整理します。
診療停止の直接影響——患者の生命・健康リスクに直結
電子カルテが停止すると、救急患者の受け入れが不可能になり、予定されていた手術は延期を余儀なくされます。処方や検査のオーダーも遅延し、過去の投薬履歴・アレルギー情報・検査結果が参照できないことで、投薬ミスや処置の遅れといった医療安全上のリスクが高まります。これらは患者の生命・健康リスクに直結します。
経済的影響——数億〜数十億円規模
診療停止に伴う診療報酬の逸失、システムの再構築費用、外部専門家への対応委託費、そして長期間にわたる復旧作業の人件費など、経済的な損失は数億〜数十億円規模にのぼります。公立病院にとって、この規模の突発的支出は経営を揺るがしかねません。
地域医療への波及
地域医療の中核を担う基幹病院が長期にわたって機能停止すると、近隣の医療機関に患者が集中し、地域全体の医療提供体制に連鎖的な負荷が波及します。特に救急医療の受け入れ制限は、地域住民の安全に直接影響します。
復旧の困難さ——多数のベンダーと検証の必要性
医療機関の復旧が困難を極める理由の一つが、システムの構成の複雑さです。電子カルテ、部門システム、検査機器、画像診断装置など、関わるベンダーが多岐にわたり、それぞれの復旧手順や検証が必要になります。医療機器は安全性・正確性の検証（GMP的な品質管理の考え方に通じる厳格な検証）を経なければ再稼働できないものも多く、復旧には相応の時間を要します。
厚生労働省による医療機関のサイバーセキュリティ対策推進
厚生労働省は、医療機関のサイバーセキュリティ対策を促進するため、立入検査時のチェックリストの活用や、医療機関向けのサイバーセキュリティ研修・演習（インシデント発生を想定した机上訓練など）を推進しています。医療機関には、こうした公的な支援・枠組みを積極的に活用し、平時からインシデント対応能力を高めておくことが求められます。
医療機関が実装すべき対策——厚労省ガイドライン第6.0版を軸に
医療機関がランサムウェアの脅威に対抗するための対策の基準となるのが、厚生労働省「医療情報システムの安全管理に関するガイドライン第6.0版」です。同ガイドラインは、対象読者・役割に応じて「経営管理編」「企画管理編」「システム運用編」の3編構成を採用しており、経営層から現場のシステム担当者までが、それぞれの立場で取り組むべき事項を体系的に示しています。
このガイドラインへの遵守を前提に、具体的に実装すべき対策を以下に整理します。
実装すべき7つの具体策
- ① VPN・ネットワーク機器の脆弱性管理とパッチ適用：両事案の初期侵入口となったVPN機器をはじめ、インターネットに面する機器の脆弱性を継続的に把握し、速やかにパッチを適用する体制を整えます。
- ② 多要素認証（MFA）の導入：ID・パスワードだけの認証は容易に突破されます。フィッシング耐性のあるFIDO2認証の導入が理想です。特にVPNアクセスや特権アカウントには必須です。
- ③ ネットワークセグメンテーション：電子カルテ系・部門システム・医療機器・事務系のネットワークを分離し、一箇所が侵害されても被害が横方向に拡大しないようにします。委託先接続も分離・監視の対象とします。
- ④ オフラインバックアップ（3-2-1-1）：3つのコピーを2種類の媒体に保存し、1つは遠隔地に、そして1つはオフライン（ネットワークから切り離した状態）で保管します。ランサムウェアがバックアップまで暗号化するのを防ぎます。
- ⑤ 委託先のセキュリティ要件の明確化と点検：契約でセキュリティ要件を明示するだけでなく、委託先のパスワード運用・パッチ適用・接続経路を定期的に点検します。事案②の教訓を踏まえた最重要対策です。
- ⑥ インシデント対応計画（BCP）と机上訓練：感染を前提とした事業継続計画を策定し、電子カルテ停止時の紙運用手順や連絡体制を平時から訓練しておきます。
- ⑦ 資産の可視化（医療機器を含む）：院内ネットワークに接続するすべての端末・医療機器・委託先接続を可視化し、「何がどこに接続しているか」を常時把握します。可視化されていない資産は守れません。
2つの事案から抽出される共通課題
事案①（地方公立病院）と事案②（基幹病院）は、規模も侵入経路も異なりますが、根底にある課題は共通しています。以下に両事案を対比して整理します。
| 観点 | 事案①：地方公立病院 | 事案②：基幹病院 |
|---|---|---|
| 発生時期 | 2021年10月末 | 2022年10月末 |
| 侵入経路 | VPN機器の既知の脆弱性 | 給食委託先〇〇社を踏み台にした侵入（VPN接続経由） |
| 直接の弱点 | パッチ未適用・脆弱性管理の不備 | 委託先との共通・脆弱なパスワード運用 |
| 復旧までの期間 | 約2か月 | 約2か月半 |
| 共通する根本課題 | 認証の弱さ・ネットワーク分離の不足・資産と接続経路の不可視・組織体制の欠如 | |
いずれの事案も、「境界にあるVPNや委託先接続という信頼できない入口」から侵入され、内部での横展開を止められなかった点が共通します。これは、内部ネットワークを暗黙的に信頼する従来型の「境界防御モデル」の限界を示すものであり、ゼロトラスト（何も信頼せず、常に検証する）の考え方への転換が求められる理由でもあります。
医療機関のネットワーク可視化とアクセス管理を実現しませんか
Net PeaceのUPAS ZTAは、院内ネットワーク上の全機器（電子カルテ端末・医療機器・委託先接続）を可視化し、認証済みデバイスのみにアクセスを許可します。委託先経由の横展開を防ぎ、厚労省ガイドライン準拠を支援します。
UPAS ZTAとKeyperで守る医療情報システム
Net Peaceは、医療機関がランサムウェアの脅威に立ち向かうために、ゼロトラストの考え方に基づいた製品群とサービスを提供しています。両事案が示した「VPNの脆弱性」「委託先経由の侵入」「認証の弱さ」という課題に、正面から対応します。
UPAS ZTA——院内ネットワークの全機器を可視化・制御
UPAS ZTAは、院内ネットワーク上の全機器——電子カルテ端末・医療機器（IoMT）・委託先が接続する端末——を可視化し、認証済みのデバイスのみにアクセスを許可します。未承認の端末や、脆弱な委託先端末からのアクセスを遮断することで、事案②のような委託先を踏み台とした横展開（ラテラルムーブメント）を防止します。ネットワークセグメンテーションと資産の可視化を、運用負荷を抑えながら実現します。
Keyper——職員・委託先のフィッシング耐性認証
Keyperは、FIDO2/パスキーによるフィッシング耐性のある認証を、職員および委託先に提供します。両事案で問題となったVPNアクセスや特権アクセスを、パスワード漏洩に依存しない方式で保護します。共通・脆弱なパスワードの運用という、事案②で背景となった問題を根本から解消します。
セキュリティ診断——ガイドライン準拠状況のギャップ分析
厚生労働省ガイドライン第6.0版の要求事項に対して、貴院の現状がどの程度対応できているかをギャップ分析し、優先的に対処すべき課題を明確にします。VPN・アカウント管理・バックアップ・委託先管理・組織体制といった、両事案の調査で指摘された論点を網羅的に点検します。
電子カルテが止まれば、医療が止まります。そして医療の停止は、地域住民の生命に直結します。Net Peaceは、医療機関が「守るべきものを守り抜く」ための実践的なセキュリティ基盤を提供します。まずは無料相談からお気軽にお問い合わせください。
よくある質問（FAQ）
医療機関のセキュリティ担当者から寄せられることの多い質問と、その考え方を整理します。
Q1. 身代金を支払えば早く復旧できるのではないですか？
身代金を支払っても、データが確実に復号される保証はありません。復号ツールが正常に動作しない、あるいは追加の要求をされるケースも報告されています。また、支払いは攻撃者の活動資金となり、次の攻撃を助長します。事案①の〇〇病院が身代金を支払わずシステムを再構築したように、平時からのオフラインバックアップ（3-2-1-1）による自力復旧の体制づくりこそが、最も確実な備えです。
Q2. 小規模なクリニックでも標的になりますか？
なり得ます。攻撃者は組織の規模ではなく「侵入のしやすさ」で標的を選ぶ傾向があり、脆弱性が放置されたVPN機器やパッチ未適用のシステムがあれば、規模を問わず狙われます。むしろ専任のセキュリティ担当者を置きにくい小規模施設ほど、基本的な対策（多要素認証・パッチ適用・バックアップ）の徹底が重要です。
Q3. 医療機器（IoMT）はどこまで対策すべきですか？
ネットワークに接続されるすべての医療機器を可視化し、電子カルテ系や事務系とはネットワークを分離することが基本です。更新が難しいレガシーな機器は、セグメンテーションによって外部・他系統からアクセスできないよう隔離し、通信を監視することでリスクを低減します。UPAS ZTAのような資産可視化・アクセス制御の仕組みが有効です。
Q4. 厚生労働省のガイドラインは義務ですか？
「医療情報システムの安全管理に関するガイドライン」は、医療機関が医療情報システムを適切に管理するうえで遵守すべき事項を示すものとして広く参照されています。最新の第6.0版は経営管理編・企画管理編・システム運用編の3編構成で、経営層から現場までが役割に応じて対応することが想定されています。詳細は厚生労働省の公式資料をご確認ください。