病院・医療機関は必読!「医療機関におけるサイバーセキュリティ対策チェックリスト」とは?

病院・医療機関で多発するサイバー攻撃事例

国内のサイバー攻撃の事例を見ると、日本各地の診療所や病院、医療センターなど、地域や種別に関係なく被害が及んでいます。特に近年増えているサイバー攻撃は、ランサムウェア（身代金要求型ウイルス）によってデータが暗号化され、復元する代わりに身代金を要求されるという被害です。

警察庁サイバー警察局の報告書によると、国内の医療・福祉分野におけるランサムウェア被害は、2021年に7件だったところが、2022年では20件に増加しています。

（参照）警察庁「サイバー事案の被害の潜在化防止に向けた検討会報告書 2023」PDF p6

以降では、近年国内で起こった主な病院・医療機関のセキュリティインシデント事例をご紹介します。サイバー攻撃の中でもいかにランサムウェア被害が多いかがわかります。

発生時期	地域／病院・医療機関	サイバー攻撃の種類
2017年 8月	福島県／大学病院	ランサムウェア被害
2018年 10月	奈良県／病院	ランサムウェア被害
2019年 5月	東京都／医療センター	不正アクセス
2021年 10月	徳島県／病院	ランサムウェア攻撃
2022年 1月	東京都／病院	ウイルス感染
2022年 6月	徳島県／病院	ランサムウェア被害
2022年 10月	大阪府／医療センター	ランサムウェア攻撃
2022年 10月	静岡県／医療機関	ランサムウェア攻撃
2022年 12月	石川県／病院	不正アクセス
2023年 5月	三重県／医療機関	不正アクセス
2024年 3月	鹿児島県／病院	ランサムウェア攻撃
2024年 5月	岡山県／医療機関	ランサムウェア攻撃

2017年8月 福島県の大学病院でランサムウェア被害

2017年8月、福島県の大学病院で、院内ネットワークにつながった業務用パソコンや医療機器がランサムウェアに感染し、データが暗号化されてロックされたため使用不能になった。

2018年10月 奈良県の病院でランサムウェア被害

2018年10月、奈良県の病院で、電子カルテシステムがランサムウェアに感染し、患者の診療記録が暗号化され参照不能になった。暗号化された電子カルテのデータの復元ができたのは約半年後だった。

2019年5月 東京都の医療センターの職員端末が不正アクセス

2019年5月、東京都の医療センターで運用する医師用端末のメールアカウントへ不正アクセス被害が発生。当該医師に対するスパム攻撃と、メールの送受信があったメールアドレスの流出が確認された。

2021年10月 徳島県の病院でランサムウェア攻撃

2021年10月、徳島県の病院で、電子カルテシステムにランサムウェアが侵入。データが暗号化され、PCが使用不能となり電子カルテが閲覧できず、診療報酬の請求も停止した。

新規での患者の受け入れを停止せざるを得なくなり、通常診療の再開には感染から約2ヶ月を要した。VPN装置の脆弱性に気づかずにいて侵入された可能性が高く、管理体制の課題が浮き彫りとなった。

2022年1月 東京都の病院で院内サーバがウイルス感染

2022年1月、東京都の病院のサーバがコンピューターウイルスに感染し、電子カルテが使えなくなったため一時新規患者の受け付けを停止した。会計システムも停止し、診療費を後日に請求するなどの対応を余儀なくされた。

2022年6月 徳島県の病院でランサムウェアによるシステム侵入被害

2022年6月、徳島県の病院で、システムへランサムウェアが侵入し、電子カルテや院内LANシステムが使用不能となった。外来診療については再来患者に限定し、新規外来は断らざるを得なくなった。

2022年10月大阪府の医療センターでランサムウェア攻撃被害

2022年10月、大阪府の医療センターで、電子カルテシステムに障害が発生し、緊急以外の手術や外来診療を一時停止した。ランサムウェアによるサイバー攻撃で、身代金として暗号資産（仮想通貨）を要求する英語が残されていた。

サーバ内に保存されていた電子カルテはバックアップデータが取られていたが、復旧作業のめどはなかなか立たなかった。

2022年10月静岡県の医療機関でランサムウェア攻撃

2022年10月、静岡県の医療機関で、電子カルテシステムがランサムウェア攻撃を受け、ファイルが暗号化された。そのため、外部のネットワークから隔絶した新たな電子カルテを作成し、残されていた紙のカルテで対応した。そのため、診察までの待ち時間が多少長くなった。

2022年12月石川県の病院で不正アクセス被害

2022年12月、石川県の病院が不正アクセスを受け、電子カルテの一部が閲覧できなくなった。患者の個人情報の流出はなかった模様だが、外来診療や人間ドック・健診で通常より時間がかかったほか、外来の会計システムの運用も停止したため2か月間の診療費請求が止まるなどの被害も出ている。

2023年5月三重県の医療機関で不正アクセス

2023年5月、三重県の医療機関で、Webサイトに不正アクセスがあり、外部サイトへのURLが書き込まれて改ざんされた。Webサイトは、電子カルテを含む医療情報システムとは分離しているため、個人情報の漏えいは確認されず、診療への影響はなかった。

2024年3月鹿児島県の病院でランサムウェア攻撃被害

2024年3月、鹿児島県の病院で、画像管理サーバに不正アクセスがあり、ランサムウェア攻撃を受け、データが暗号化された。そのため、紙のカルテを運用して予約外来や入院患者に対応したが、救急や一般外来の受け入れは制限した。

サイバー攻撃を許した原因として、保守のためのネットワーク機器に外部からの認証なしで接続が可能となっていた設定ミスや、設定されていたパスワードが推測可能な簡単なものだったこと、画像管理サーバにウイルス対策ソフトが設定されていなかったことなどが確認された。

2024年5月岡山県の医療機関でサイバー攻撃の疑い

2024年5月、岡山県の医療機関で、電子カルテを含む総合情報システムがランサムウェア攻撃を受け、電子カルテが閲覧できなった。また、患者の個人情報等が最大4万人分流出した可能性があるが、被害の拡大は確認されていない。

その後医療情報セキュリティの専門家に事案調査を依頼し、2025年2月に調査報告書の公開を行った。これによると、保守用VPNで推測可能なID/PWを使用し、同じものを他の端末でも使いまわしただけでなく、すべてのサーバ、端末ユーザに管理者権限が付与されていた。また、脆弱性が指摘されているVPNのアップデートの実施についても一度も行っていなかった。

医療機関側は、攻撃された当時の杜撰な情報セキュリティ体制の詳細をつまびらかに公表することで、全国の医療情報システムの関係者にも注意を促している。