医療データが狙われる時代：詐欺師と個人情報泥棒による新たな脅威

オンライン上での個人情報（ID）盗難に対して、私たちの意識は年々高まっています。

大手企業が何らかのデータ漏洩に見舞われたというニュースを耳にしない日はないでしょう。ただし、被害の深刻さまで報じられるのは、大量の顧客データが関わる場合だけです。同様に、医療記録も私たちにとって同じくらいプライバシーに関わる重要な情報です。そこには機密性の高い個人情報が含まれており、悪意ある者の手に渡れば、私たち自身に不利に使われかねません。

医療記録のプライバシーを守る必要性については、昔から認識されてきました。幸いにも、医師や看護師はその秘密を守る義務を負っています。紙の時代には、医療記録への不正アクセスは巧妙な手口によるものか、内部犯行によるものでした。

しかし今や、世界の医療産業はデジタル化され、医療記録もデジタルデータとなっています。デジタル化された医療記録には多大なメリットがありますが、その一方で、自分の個人情報を危険にさらすリスクを引き受ける価値はあるのでしょうか？

医療ID盗難（Medical Identity Theft）

医療ID盗難が増加していることは間違いありません。従来、銀行口座やオンラインアカウントの情報を狙ってきた詐欺師たちは、ますます医療記録へと矛先を変えています。なぜでしょうか？その一つの理由は、医療記録には誰もが大切に思う「命」に関わる、最も個人的な情報が詰まっているからです。

あなたの医療記録には、氏名、住所、生年月日、社会保障番号（またはそれに相当する番号）、場合によっては請求情報やクレジットカード・デビットカードの情報まで、すべての個人情報が含まれています。これにより、医療記録は銀行口座情報よりも価値のあるものになっています（まあ、口座残高の桁数次第ではありますが！）。

さらに、ハッカーが医療記録に容易にアクセスできる現状が、この標的をより魅力的なものにしています。医療記録がいずれデジタル化されることは以前から予見されていたにもかかわらず、多くの医療機関はサイバー犯罪という遍在する脅威に対処できる体制を整えていません。そのため、攻撃の可能性を報告した米国の医療機関の割合が、2009年の20%から2013年には40%へと倍増したことも驚くにはあたりません。2015年だけで、5つの医療機関からの公式報告だけで1億880万件の個人記録が漏洩しました。各機関ともネットワークサーバーが侵害されたと報告しています。

注：下表の「影響を受けた個人」の数値は百万単位です。

何が起こりうるのか？

自分の病歴が未知の第三者の手に渡るという明白な問題以外にも、もう一つ大きな懸念が忍び寄っています。近年の医療機器の進歩は奇跡的と言えるほどですが、従来の機器と大きく異なる点があります。それは「ネットワーク接続されている」ということです。現在、多くの医療機器が病院のネットワークに接続されており、ハッカーが特定の機器に直接アクセスする可能性を生んでいます。

「Predictions 2016: Cybersecurity Swings To Prevention」と題された衝撃的なレポートでは、2016年に医療機器がランサムウェアの被害を受け始めると予測されています。

このリスクは、ネットワークセキュリティに関する基本的な知識の欠如から来ています。2012年、当時Essentia Healthの情報セキュリティ責任者だったScott Erven氏（現Protivitiアソシエイトディレクター）は、米中西部の大規模医療施設チェーンのセキュリティ評価を担当しました。指摘された問題の中で明らかになったのは、医療施設が依然として「admin」や「1234」といったハードコードされたネットワークパスワードを使用していたことです。これは以前の報告や、Cylance社の研究者Billy Rios氏とTerry McCorkle氏が約300台の医療機器がハードコードされたパスワードを使い続けていると報告したICS-ALERT-13-164-01の内容とも一致しています。

このような初歩的な認証方法は、簡単に回避できたはずの重大なセキュリティ問題を引き起こしており、少なくとも攻撃者のハードルを上げることは可能だったはずです。最善のケースでも、金銭目的の恐喝が増加すると予想されます。

そして最悪の場合、人は死にます。

MEDJACK攻撃の実態

ディセプション型サイバーセキュリティ企業のTrapXは、医療施設への広範な攻撃の波を特定しました。その主な標的は、病院の医療機器です。TrapXは3つの病院において、「X線装置、画像アーカイブ通信システム（PACS）、血液ガス分析装置（BGA）など、さまざまな医療機器の広範な侵害」を発見しました。

しかし、MEDJACK攻撃ベクトルはこれにとどまりません。TrapXは次のように指摘しています（詳細レポートは要登録）。

「MEDJACKの標的となる機器は他にも多数存在します。診断機器（PETスキャナー、CTスキャナー、MRI装置など）、治療機器（輸液ポンプ、医療用レーザー、LASIK手術装置）、生命維持装置（人工心肺装置、人工呼吸器、体外式膜型人工肺装置、透析装置）など、多岐にわたります。」

レポートによると、悪用されている医療機器の多くはクローズドシステムであり、Windows 2000やWindows XPといった古いOSで動作しています。これらのOSは独自に改変されていることが多く、セキュリティホールだらけで、病院のネットワークにおける巨大な脆弱性となっています。ほとんどの場合、これらの機器を使用・運用する医療スタッフは内部構造にアクセスできないため、最新かつ堅牢なセキュリティ対策をメーカーが施すことに完全に依存することになります――しかし現状、それは十分に行われていません。

問題は一部の病院に限ったことでもありません。世界中の医療施設に多種多様なメーカーが膨大な機器を供給しているため、次にどこで脆弱性が露呈するかを正確に特定することは困難です。

例えば、FDA（米国食品医薬品局）が医療機器メーカーに対してセキュリティ強化を勧告した際、米国国土安全保障省（DHS）は、Hospira社の輸液ポンプやMedtronic社、St Jude Medical社の植え込み型心臓デバイスを含む、サイバーセキュリティ上の欠陥が疑われる24件の事例について調査中であることを明らかにしました。

DHSの調査は現在も続いています。

医療記録の売買

乗っ取られた医療機器ほど生命に関わるものではありませんが、個人の医療記録はデータマイニング企業に売却されるケースが増えており、データの有用性と価値を高めるために郵便番号などの情報とセットで取引されることもあります。

しかし、データが一度医療機関の外に出てしまうと、あなたの情報が悪意ある者の手に渡る可能性が高まります。早くも2013年8月には、11の保健機関がデータ収集ポリシーの見直しを開始または実施済みでした。その内容には、データ販売プロセスのあり方や、データマイニング企業に課されるべき責任などが含まれていました。

ソルトレイクシティのIntermountain Healthcareの最高情報責任者（CIO）であるMarc Probst氏は、「そのデータを購入する唯一の理由は、不正な請求を行うためだ」と述べています。つまり、流出した医療記録を利用し、相手が慌てて支払うことを期待して不正請求を行うのです。このような医療記録の不正利用は、そもそもの医療記録の窃取、無数の施設で見られるずさんなセキュリティ、そして医療業界全体のサイバーセキュリティ向上に向けた継続的な取り組みのコストとともに、医療保険料という形で米国市民に直接転嫁されているのです。

個人で防ぐことはできるのか？

残念ながら、医療機関が直接保有するデジタル化された医療記録については、私たちができることは多くありません。

あなたのデータは医療機関が保有しています。コピーを請求することはできます（比較的高額ですが）が、医療機関が気まぐれにあなたの記録を削除することはまずないでしょう。いつ緊急搬送されるかわかりませんし、その際にペニシリンアレルギーの情報が一切ない、といった事態になりかねません。

それでも、積極的に取れる対策はあります。一つは、可能な限り多くのデータ漏洩事例を網羅的に掲載するDataLossDB.orgでアラートシステムを設定することです。もう一つの緩和策としては、クレジットレポートのモニタリングが挙げられますが、通常は月額料金が発生します。それでも、信用スコアが急落すればすぐに気づき、取り返しのつかない事態になる前に対応できるかもしれません。特に悪質な不正利用に早期に気づけば、不正利用警告（Fraud Alert）を発行できます。これにより、90日間、あなたの名義での新規クレジット申請や口座開設がブロックされます。

銀行口座情報と同じように医療記録のセキュリティに積極的に取り組むのは難しいですが、だからといって、ただ座って待つしかないわけではありません。

医療詐欺が心配ですか？医療記録を盗まれた経験はありますか？あるいは、どんなセキュリティ対策を実践していますか？ぜひコメント欄でお聞かせください！