2024年5月19日に岡山精神科医療センターへのサイバー攻撃が行われ、ランサムウェアに感染したことが判明しました。

サイバー攻撃の手口や被害状況についての解説と、VPN機器の脆弱性を狙ったサイバー攻撃に対して取るべき対策法について専門家の観点で解説をします。

岡山精神科医療センターを襲ったサイバー攻撃の全容とは

岡山精神科医療センターを襲ったサイバー攻撃の手口について解説します。

VPN装置の脆弱性を狙ったランサムウェア攻撃の可能性

ランサムウェア攻撃の被害に遭ったのは、岡山精神科医療センター及び、東古松サンクト診療所です。2024年5月19日16時ごろ、岡山県精神科医療センターの総合情報システムがランサムウェア攻撃を受け、同システム内に保存されていたデータが暗号化され、システム障害が発生しました。

翌日、20日には総合情報システム内に「暗号化させている。唯一の方法はここに連絡することだ」と英文で書かれている脅迫メッセージと、攻撃者が用意した連絡先であるメールアドレスを記載したものを同センターが確認しました。

また、6月7日には岡山県警より同センターに対して「患者の個人情報流出を確認した」という連絡がされました。

同センターでは、2024年6月11日時点でランサムウェアの攻撃経路を公表していないが、同センターの常務理事が記者会見で「VPN機器の更新が行われていれば今回の攻撃を防ぐことができたかもしれない」と発言したことが報じられました。

また、原因が判明次第VPN機器を含めたシステム更新を行う予定としています。

出典：朝日新聞／読売新聞

今回の事件の時系列は以下のとおりです。

2024年5月19日16時ごろ	総合情報システムダウン
5月20日	県警本部、厚生労働省、県に連絡、システム障害のプレス発表
5月21日	サイバー攻撃が原因と特定し、公表
5月22日	個人情報保護委員会に報告
6月7日	県警本部にて個人情報の流出を確認
6月11日	患者情報等流出した可能性を公表

出典：岡山県精神科医療センター

ランサムウェア攻撃により最大4万件の患者個人情報が流出の可能性

ランサムウェア攻撃によって流出した情報は総合情報システムで職員が作成した資料を保存していた共有フォルダ内の情報です。共有フォルダ内に保存されていた情報は以下のようなものです。

• 患者情報：氏名、住所、生年月日、病名等(最大　約4万人分)
•  病棟会議の議事録

出典：岡山精神科医療センター

岡山県精神科医療センター流出の可能性の対象になった入院患者約250名へは6月11日までに個別説明を行っていました。

また、元入院患者および通院患者約5千人に対しても近日中に文書送付での説明を予定していると公表されました。今回の件についての対応として同センターは電話相談窓口を設置して情報流出の対象になっているか等の問合せについて対応していると報じられています。

しかし、電子カルテが閲覧できなくなった現在は仮の紙上カルテを使用するなどで対応し、診察には影響がないと発表しています。

ダークウェブへの個人情報掲載を確認

特殊な方法でしか閲覧できない闇サイト上である「ダークウェブ」に個人情報が入ったファイルが掲載されていることを県警が確認しました。県警は不正アクセス禁止法違反の容疑を念頭に捜査中であると公表しました。

出典：岡山県精神科医療センター

ランサムウェア攻撃を防ぐために取るべき対策

岡山精神科医療センターを狙ったランサムウェア攻撃を教訓に今後取るべきセキュリティ対策について解説します。

ランサムウェアの感染経路は「VPNの脆弱性」が6割を占める

令和5年におけるサイバー攻撃脅威の情勢について警視庁が公表した資料によると、ランサムウェアの感染経路はVPN機器からの侵入が全体の63％を占めています。

出典：警視庁

脆弱性を突いた攻撃から守るために取るべき対策

VPNの脆弱性を防ぐための対策は次のとおりです。

• 最新バージョンへのアップデートを速やかに実施する
• 脆弱性情報を定期的に確認する
• VPNの設定を適切に行う
• 多要素認証を導入する

最新バージョンへのアップデートを速やかに実施する

VPNのソフトウェアや設定には、常に脆弱性が存在する可能性があります。そのため、最新バージョンへのアップデートを速やかに実施することで、脆弱性を修正し、攻撃のリスクを低減することができます。

脆弱性情報を定期的に確認する

VPNの脆弱性は、JPCERT/CCやベンダーなどからの情報提供によって公開されます。脆弱性情報を定期的に確認することで、脆弱性が存在するかどうかを把握し、適切な対策を講じることができます。

VPNの設定を適切に行う

VPNの設定には、セキュリティを強化するための設定項目が多数あります。これらの設定を適切に行うことで、セキュリティを強化し、攻撃のリスクを低減することができます。

具体的には、以下の点に注意しましょう。

• 強力なパスワードを設定する
• 暗号化方式を最新のものにする
• アクセス許可を適切に設定する

多要素認証を導入する

多要素認証とは、パスワードに加えて、別の認証要素（生体認証やワンタイムパスワードなど）を組み合わせて認証を行う仕組みです。多要素認証を導入することで、パスワードのみの認証よりもセキュリティを強化することができます。

これらの対策を講じることで、VPNの脆弱性を防ぎ、セキュリティを強化することができます。

2022年4月から改正個人情報保護法が施行

調査を行うべき理由として、2022年に施行された改正個人情報保護法が挙げられます。この法改正では、「1件以上の個人データの漏えい」、ないし「データ漏えいの可能性」がある場合、報告・通知が法人に義務付けられました。

違反した企業には最大1億円以下の罰金が科せられる可能性があります。

もし、ランサムウェア攻撃の被害にあったら

関連記事はこちら

• ランサムウェアの感染経路を確認する方法
• ランサムウェア感染時に金銭を支払うリスク
• ランサムウェアに感染したら？企業がとるべき対応