近年、医療機関を狙ったサイバー攻撃が増加していると言われています。人命に関わる機関であるだけに影響も大きく、各医療機関でセキュリティ対策の重要性が求められています。
しかし、法人のシステム担当者の中には、セキュリティ対策として具体的に何をすべきなのか、そもそもサイバー攻撃とはどのようなものなのか、分からない方も多いでしょう。
そこで本記事では、サイバー攻撃の概要や手口について紹介し、医療機関を狙ったサイバー攻撃が増えている理由と実際に被害を受けた事例、医療機関がとるべき基本的なセキュリティ対策について解説します。
サイバー攻撃とは
サイバー攻撃とは、インターネットなどのネットワークを通じて、パソコンやサーバー、データベースなどに侵入し、データの盗取や破壊、改ざんなどを行う行為のことです。ここでは、サイバー攻撃の目的や種類について解説します。
サイバー攻撃の目的
サイバー攻撃はさまざまな目的を持って行われます。目的としては、不当に金銭を盗取すること、個人情報や機密情報を不正に入手して高額で売買すること、いたずらや営業妨害などが挙げられます。
攻撃者の目的によって、仕掛けられるサイバー攻撃の手口や種類にも差があります。例えば、顧客のクレジットカード番号を多数保有している企業であれば、金銭目的のサイバー攻撃に特に注意する必要があります。自社がどのようなサイバー攻撃の対象になりやすいのかを把握し、対策しなければなりません。
サイバー攻撃の種類
サイバー攻撃には多様な手口があり、日々新しいタイプのものが報告され続けています。企業を対象にした攻撃として、「マルウェア」「不正アクセス」「DoS攻撃」などがよく挙げられます。
「マルウェア」は、コンピューターに対して害を成すソフトウェアの総称です。「ウイルス」や「ワーム」もこのマルウェアに含まれます。メールなどから企業のコンピュータに感染し、データの破壊や盗取、改ざんを行います。
「不正アクセス」は、ネットワークやアプリケーションの隙をついて内部に侵入し、機密情報の盗取や改ざんを行う攻撃です。攻撃手法は多岐に渡り、対策も日々アップデートしていかなければならないため、対策の際には専門家の手が必要になります。
「DoS攻撃」は、サービスを停止に追い込む攻撃です。過剰な量の通信を送り、処理しきれなくなったサーバーの機能を停止させる攻撃です。業務が停止する恐れがあり、影響の大きい攻撃と言えます。
サイバー攻撃の代表的な手口3つ
それでは、実際にはどのようにサイバー攻撃の被害を受けるのでしょうか。ここでは、特に企業や医療機関を狙ったサイバー攻撃についてご紹介します。企業や医療機関を標的にした代表的なサイバー攻撃として、「ランサムウェア」「標的型メール攻撃」「サプライチェーン攻撃」の3つが挙げられます。
ランサムウェア
サイバー攻撃の中でも、近年大きな被害が報道されているのが「ランサムウェア」による攻撃です。ランサムウェアは「身代金（ransom）」と「ソフトウェア（software）」を合わせた言葉で、マルウェアの一種として知られています。
標的となる企業や医療機関のネットワーク、サーバーなどに侵入してデータを暗号化・盗取し、「データを元に戻して欲しければ身代金を支払え」と金銭を要求します。
近年、大企業や公的機関で被害が報道されており、データが閲覧できなくなったりシステムが利用不可能になったりと、大きな影響が確認されています。
有名な事例として、株式会社日立製作所の事例があります。当時世界的に猛威をふるっていたランサムウェア「Wannacry」への感染により、一部工場での生産が3日間ストップする事態になりました。本件は検査機器（顕微鏡）から感染が拡大したとされており、伝統的なシステムやIoT機器、組込みシステムなど、セキュリティ対策を施しにくいシステムや機器が感染源になりやすいと言われています。
参考：ランサムウェアによる被害および復旧状況について｜日立製作所
標的型メール攻撃
「標的型メール攻撃」も、企業や組織を狙ったサイバー攻撃として注意喚起されています。メールを利用したサイバー攻撃としては、従来は不特定多数のユーザーに送り付けられる「迷惑メール」の存在が大きく、不審なメールを開かなければそれで十分な対策になりました。しかし近年では、特定の企業や役職を標的とした件名・文面のメールが増え、不審なメールかどうかを判別しにくくなっています。
例えば、企業の人事担当者宛てに「履歴書の送付」といった件名でメールが来ていれば、不審なメールだとは思わず、自然と添付ファイルを開いてしまうでしょう。「標的型メール攻撃」はこのように、特定の企業や組織・役職を狙ってメールを送信し、添付などにマルウェアを仕込んでおく攻撃手法です。
サプライチェーン攻撃
近年、企業や公的機関が特に注意しなければならない攻撃として、「サプライチェーン攻撃」があります。
例えば、ある製品が消費者の元に届くまでには、原料の調達から生産・販売まで多くの企業が関わります。この企業同士のつながりをサプライチェーンと呼び、このつながりを狙った攻撃を「サプライチェーン攻撃」と言います。
セキュリティが手厚い大企業を直接狙うのではなく、セキュリティが手薄な取引先や関連企業をまず攻撃し、間接的に大企業を攻撃する手法で、被害が拡大しやすい攻撃として知られています。
「サプライチェーン攻撃」は中小企業でも被害に遭いやすく、取引先や関連企業にも影響が及ぶ危険なサイバー攻撃として、対策が求められています。
サプライチェーン攻撃の事例として、三菱電機は第三者による不正アクセス被害により、同社の取引先や子会社の取引先の金融機関口座に関わる個人情報が流出したことを公表しました。この攻撃は、中国にある三菱電機の子会社への不正アクセスによって従業員のアカウント情報を盗取されたことが原因であるとされています。
医療機関を狙ったサイバー攻撃が増加中？事例を紹介
医療機関を狙ったサイバー攻撃が多数報道されています。海外だけでなく、日本国内でも被害が報告されており、ニュースで目にしたことのある方も多いのではないでしょうか。ここでは、日本国内で医療機関を狙ったサイバー攻撃の事例をご紹介します。
大阪急性期・総合医療センター
2022年10月31日、大阪急性期・総合医療センターで電子カルテシステムの障害が発生しました。公式の発表によると、障害の原因はランサムウェアによるものとされており、院外調理センターのシステムから感染した可能性があると見られています。2022年11月中旬にシステムが部分的に復旧しましたが、現在も新規の外来診療などが停止している状態です。システムの完全復旧は来年1月とされており、大きな被害が生じています。
徳島県つるぎ町立半田病院
2021年10月、徳島県つるぎ町立半田病院で、ランサムウェアの被害が確認されました。病院内のプリンターが一斉に犯行声明を印刷しはじめ、電子カルテなどの閲覧ができない状態となり、病院としての業務が一時的に停止してしまいました。ランサムウェアの感染経路はVPN装置で、脆弱性が改修されず、放置されていた状態だったとされています。
参考：徳島県つるぎ町立半田病院コンピュータウイルス感染事案有識者会議調査報告書
なぜ病院が狙われやすいのか
医療機関を狙ったサイバー攻撃が多数報道されていますが、なぜ医療機関が狙われるのでしょうか。ここでは、病院を始め医療機関がサイバー攻撃の対象になりやすい理由について解説します。
医療機関のセキュリティ対策が遅れている
理由の1つとして、「セキュリティ対策が遅れている」ことが挙げられます。IT企業をはじめとする大企業のセキュリティ対策と比較すると、資金不足や優先順位の低さなどの理由から、病院はセキュリティ対策が不十分である傾向にあります。また、セキュリティや情報システムの専門家も少なく、対応できる人材がいないことも問題です。
脆弱性のある製品が使い続けられていたりセキュリティ対策に手が回っていなかったりするためにセキュリティが不十分であることが多く、病院はサイバー攻撃の対象になりやすくなっています。
患者データが高額で取引される
扱っているデータも、医療機関が攻撃されやすい理由の1つです。医療機関では、患者の個人情報をはじめとした機密情報、プライバシー性の高い情報を多数扱っています。これらの情報がサイバー攻撃によって盗み出されてしまうと、ダークウェブなどで高額で売買される恐れがあります。
さらに、情報の重要性・機密性が高いことから、医療機関もその情報やシステムを守るために身代金の要求に応じてしまいやすいということも背景にあります。
以上の理由から、金銭目的の攻撃者にとって、重要な情報を多数扱う医療機関は標的になりやすいということが指摘されています。
サイバー攻撃の具体的な対策方法
それでは、医療機関や企業は、サイバー攻撃に対してどのような対策を講じれば良いのでしょうか。ここでは、具体的な対策方法について4つご紹介します。セキュリティ対策は専門性が高いため、実際に対策を講じる際には、セキュリティの専門家の見解を聞きながら検討することをお勧めします。
最新バージョンのウイルス対策ソフトをインストールする
サイバー攻撃への基本的な対策として、「ウイルス対策ソフトのインストール」があります。ランサムウェアをはじめとするマルウェアの侵入を検知、防止するソフトで、マルウェアの脅威が高まっている今日、ほぼ全てのコンピュータで必須の対策です。
ウイルス対策ソフトを導入する際には、最新バージョンのものを導入するよう気をつけましょう。日々新しいマルウェアが登場するため、古い対策ソフトでは対応しきれない場合があります。同様の理由で、ウイルス対策ソフトだけでなく、OSやアプリケーションも常に最新の状態を保つことが大切です。
不審なメールやURL、ファイルは開かない
2つ目の対策は、「不審なメールやURL、ファイルは開かない」というものです。ウイルス対策ソフトでの検知だけでなく、ユーザー側が気を付けなければならないサイバー攻撃もあります。標的型メール攻撃のように、身に覚えのない不審なメールは開かない、不審なURLにアクセスしないなど、メールの開封や他サイトへの遷移の際には特に注意を払いましょう。企業や機関の経営層は、従業員や人員に対してセキュリティ教育を徹底することも重要です。
ファイアーウォールを導入する
3つ目の対策は、「ファイアーウォールの導入」です。企業のネットワークへの侵入を許してしまうと、機密情報の流出やシステムの停止など、大きな被害が予想されます。ファイアーウォールは、企業のネットワークを守るための防壁を意味し、外部からの不審なアクセスを遮断し、不正アクセスを防いでくれます。
最近では、Webアプリケーションに対する不正アクセスを防止するファイアーウォールとして、「Webアプリケーションファイアーウォール（WAF）」の導入も推奨されています。こちらも、セキュリティ対策としては極めて基礎的な部類に入るため、必ず利用することをおすすめします。
脆弱性診断で現状に問題がないか確認する
4つ目の対策は「脆弱性診断」です。大企業や医療機関がサイバー攻撃を受ける原因として、機器やアプリケーションの脆弱性を放置していたことがよく挙げられます。「脆弱性」とは、システムやアプリなどのセキュリティ上の欠陥のことを指し、この脆弱性を突くことでサイバー攻撃につながる恐れがあります。
近年では、システムや製品の脆弱性を見つける「脆弱性診断」というサービスを提供しているセキュリティベンダーも増えつつあります。脆弱性の発見や改修は、専門的なセキュリティの知識がなければ難しいため、信頼できるセキュリティベンダーに依頼するのがおすすめです。
まとめ
企業や医療機関の情報資産を狙ったサイバー攻撃には様々な種類・目的があります。近年では、ランサムウェアや標的型メール攻撃、サプライチェーン攻撃などが活発化しており、被害も大きくなりやすい傾向にあります。特に医療機関は、扱っている情報の重要性やセキュリティ対策の遅れなどが理由で、サイバー攻撃の標的になりやすい傾向にあります。
企業でも医療機関でも、専門家の見解を聞きながら適切なセキュリティ対策を講じなければなりません。特に、脆弱性を放置したことが原因となってサイバー攻撃の被害に遭う事例が増えている中で、専門家への脆弱性診断の依頼は、システムを安全な状態に保つための必須の対策と言えるでしょう。
【セキュリティソリューションのご紹介】
Librus株式会社では企業のサイバー攻撃被害に備え、毎月10万円でホワイトハッカー、弁護士、ブランドコンサルタントをまとめてアサインできる 「セキュアナイト」というサービスを提供しております。
またサイバーセキュリティに関するアドバイザリーやセキュリティ診断（脆弱性診断、侵入テスト）、デジタルフォレンジック（システム復旧支援中心）においても豊富な実績がございます。
ご相談は無料ですので、いつでもお気軽にお問い合わせください。