医療機関を狙うサイバー攻撃：急増する脅威の実態と人命に関わる深刻な被害

医療分野におけるサイバーセキュリティインシデントは急速に増加しています。しかし、多くの医療機関は依然としてサイバー犯罪者への本格的な対策を講じていません。攻撃者の標的は金銭的な資産にとどまらず、より恐ろしいことに「人命」すら脅かされているにもかかわらずです。

本記事では、医療機関のセキュリティの現状と、私たちの明日に何が待ち受けているのかを詳しく見ていきます。

サイバー犯罪者が熱視線を送る医療業界

現在、ハッカーたちは医療業界に強い関心を向けています。パンデミックは非常に多くの詐欺師をこの分野へ引き寄せたため、彼らが私たちのあらゆる情報を把握していると言っても過言ではありません。

残念ながら、場合によっては深刻な犠牲者が出ることもあります。数か月前には、医療施設へのランサムウェア攻撃が患者の死亡につながった事例も発生しました。

サイバー犯罪者の行為は、医療機関に甚大な経済的損害をもたらしています。2016年、Protenus社は米国の医療機関における情報セキュリティ侵害による損失を62億ドルと推計しました。また、Cybersecurity Venturesは、2017年から2021年にかけて医療業界全体で650億ドル以上をサイバーセキュリティ製品・サービスに支出すると予測し、2019年には他業種の2〜3倍ものサイバー攻撃を受けるとしていました。近年、この分野のインシデントに関するデータは指数関数的に増加しています。

米国保健福祉省（HHS）によると、2019年の医療データ漏洩件数は510件で、2018年比196%増となりました。また、カスペルスキー社の調査によれば、2019年には世界中の医療機関で5台に1台のデバイスが攻撃を受けました。同社は、主にランサムウェア感染の増加により、この数字は今後も伸び続けると予測しています。

なぜハッカーは病院を攻撃するのか？

サイバー犯罪者を医療セクターへ駆り立てる要因は何なのでしょうか。第一に挙げられるのは、攻撃の容易さです。医療機関は往々にして旧式のITシステムを使用しており、ソフトウェアの更新もほとんど行いません。そのため、これらのシステムには数百もの危険な脆弱性が存在し、高度な技術を持たない、かつて軽微なマルウェア活動しか経験のないようなハッカーでさえ侵入できてしまいます。攻撃のコストが極めて低いうえ、魅力的な患者データが豊富にあることから、この要素が決定的な引き金となっています。

さらに、医療機関には経験豊富なサイバーセキュリティ人材が在籍していないことも大きな問題です。データ漏洩は、データベースが闇市場で売却されたり、公表されたりして初めて発覚するケースが少なくありません。

Black Bookの調査によると、2019年時点で専任のセキュリティ責任者を置いている病院はわずか21%、最高情報セキュリティ責任者（CISO）を擁しているのはわずか6%でした。

有能なIT専門家の不足により、医療機関は突発的な危機（ウイルスによって全データが暗号化され、復元と引き換えに身代金を要求されるなど）への対応ができません。こうした状況下では、病院はハッカーに身代金を支払い、アクセスを回復させ、公表を避ける道を選びがちです。しかし、その対応こそが攻撃者をさらに刺激することに気づいていないのです。

医療データの価値も高まり続けています。カスペルスキー社の調査によると、ダークネット上での医療情報の価格はクレジットカード情報を上回ります。Cybersecurity Venturesの推定では、盗まれた患者の医療記録は1件あたり最大60ドル（クレジットカード情報の10〜20倍）の価値があるとされています。

こうした個人情報を手にすることで、サイバー犯罪者は本人やその親族を巧みに騙すことができます。さらに、ハッカーは診療記録を改ざんして病気の診断を困難にしたり、病歴データを公開すると脅して患者を恐喝したりすることもあります。

加えて、サイバー犯罪者は治療費用に関する情報にも関心を持っており、クリニックの提携先や顧客の資金力を査定するなど、自己の目的のために悪用します。

ハッカーは何を最も狙うのか？

公開データによると、2019年に医療機関で発生した情報セキュリティ問題の大半は、メールシステムとフィッシング攻撃に関連していました。

また、専門家は、外部からの接続が可能な医療機関のサービスに対する大量のブルートフォース攻撃（総当たり攻撃）と、その後の不正アクセスについても指摘しています。この攻撃ベクトルは、リモートアクセスに最も広く使われているRDPプロトコルを悪用するものであり、テレワークが普及したパンデミック期において特に重要な標的となっています。

この手法の仕組みは、攻撃者が防御の弱い従業員アカウントを探し出し、それを乗っ取って組織の公開サービスへのアクセス権を取得し、ネットワーク境界を突破するというものです。その結果、攻撃者はデータ窃取だけでなく、マルウェアの投入まで行えるようになります。

医療システムへのサイバー攻撃がもたらす結果

医療分野への攻撃は極めて深刻な結果をもたらします。英国の専門家による調査では、Windows OSの脆弱性を標的としたWannaCryランサムウェアのわずか一回の攻撃で、英国の病院に約1億ポンドの損失が生じ、患者ケアに重大な混乱が起こりました。具体的には、約1万9千件の予約や予定されていた手術がキャンセルされ、英国国民保健サービス（NHS）施設の少なくとも3分の1、一般開業医の8%が影響を受けました。

Black Bookの専門家は、2019年の米国病院におけるデータ漏洩による損失が平均して1レコードあたり423ドルに上ると算出しています。また、大手医療機関のマーケティング幹部58名への調査では、過去18か月間に、データ漏洩や情報窃取によるネガティブな報道の影響除去に5万1千〜10万ドルを費やしていたことが明らかになりました。

ハッカーによる医療施設への介入が引き起こした最悪の事例は、患者の死亡に関わるものです。ヴァンダービルト大学の研究チームは、保健福祉省（HHS）が作成した健康データ漏洩リストを用いて、3,000を超える病院の患者死亡率を分析しました。その結果、こうしたインシデントが発生した数百の病院では、毎年心筋梗塞1万件あたり36件の追加死亡が確認されました。特に、システム障害が発生した医療センターでは、心筋梗塞が疑われる患者が心電図検査を受けるまでに通常より長い時間を要していました。

ドイツのデュッセルドルフ大学病院では、院内コンピュータがランサムウェアに感染したため患者への救急対応が不可能であると発表され、搬送先の別の都市の病院へ向かう途中で女性患者が亡くなりました。

結論：今後に向けた対策の必要性

医療機関は、サイバー攻撃の数と巧妙さが今後ますます増大することを認識しなければなりません。インシデントを公表せずに自力で情報セキュリティ問題を解決しようとすればするほど、事態は悪化していきます。

今この瞬間にも、医療施設への攻撃は数百万ドル規模の経済的損失だけでなく、人命の喪失をもたらしています。パンデミック下では、状況はさらに悪化するでしょう。

さらに専門家は、近い将来、インターネットに接続された院内の各種医療機器や診断センターに関連するインシデントが増加すると確信しています。

医療サービスのデジタル化は着実に進んでいます。より多くのソフトウェアや情報システムが導入され、遠隔医療（テレメディシン）サービスの人気と需要も高まっています。これらすべての要因がハッカーに新たな機会を与えており、彼らは間違いなくそれを利用するでしょう。

今後5年間、医療機関にとってセキュリティ意識の向上が最重要課題となるはずです。政府、大規模医療機関、小規模クリニックが一丸となって力を合わせ、有能なIT専門家を確保し、共に問題を解決するための対話を今すぐ始める必要があります。