2019年10月1日、米国の医療機関「DCH Health System」運営の病院3施設がランサムウェアの被害に見舞われ、ITシステムの復旧期間中、重篤でない患者の転院が強いられる事態となりました。しかもこの被害は、米国食品医薬品局（Food and Drug Administration, FDA）が、医療機器や病院内ネットワークの脆弱性に関する11件のセキュリティリスクについて、患者や医療従事者、その他の関係者へ注意喚起を実施していた矢先に発生しました。
DCH Health Systemの公表によると、被害を受けた3施設は、同医療機関傘下でアラバマ州に拠点を置く「DCH Regional Medical Center 」、「 Northport Medical Center」、「Fayette Medical Center」で、いずれも一定の制限下で医療処置を継続せざるを得ない事態となり、入院患者への医療行為は継続される一方、連邦当局による復旧作業中、重篤でない患者へは転院措置がとられました。
さらに公表では、「院内システムは部分的にしか使用できず、サイバー犯罪者が指定するであろう金額の身代金を支払わない限り、当面復旧の見通しが立たない状況にある」といったランサムウェアの手口を示唆する内容にも言及されていました。本記事執筆時点、この公表の他、同機関からは本件に関する追加情報は提供されていません。
■ヘルスケア業界を狙うランサムウェア
ほぼ同時期、オーストラリアのビクトリア州のギプスランドおよび南西部地域でも、多数の病院や医療サービス施設において、ITシステムへのランサムウェア感染被害が報じられました。オーストラリア政府の説明では、ランサムウェア感染に伴う患者の個人情報漏えいは確認されなかったとしていますが、一方では、多数のシステムにおいて感染拡大を阻止するためのネットワーク切断や隔離などの処置が余儀なくされました。
実際、この数か月間、そのほか多数の医療機関においてランサムウェアの感染被害が報じられています。2019年8月下旬、米国ペンシルベニア州の北フィラデルフィアの医療機関「Temple University Health System」がサイバー攻撃の被害に見舞われ、医療機関内のメールシステムや、患者のスケジュール管理システム、その他の機能が利用不能に陥りました。同年9月には、米国ワイオミング州の医療機関「Campbell County Memorial Hospital」においてランサムウェアの攻撃による被害が発生し、医療サービスの一部が機能不全に陥り、手術やその他の医療処置のスケジュール変更が余儀なくされました。
■インターネット接続される医療機器やシステムのセキュリティ対策
インターネットに接続された医療機器の利用が増加するにつれ、これらの機器は、インターネット上のさまざまな脅威にさられることになります。そして金銭目的で攻撃対象を探し続けているサイバー犯罪者にとっても、これらの機器は格好の標的となります。
トレンドマイクロでは、インターネットに接続された医療関連機器やシステムを分析する調査を実施しました。この調査により、インターネットに露出した医療システムや、医療用ソフトウェアインターフェイス、病院内ネットワークの設定ミス等の実態が明らかになりました。これら露出したシステムや医療機器は、サイバー犯罪者に悪用され、医療業務を停止させるような被害をもたらす可能性があります。前述のDCH Health System傘下の病院3施設がランサムウェアの感染によりITシステム停止を引き起こした被害がその一例といえます。
インターネットに接続された医療機器やシステムを保護するため、医療機関等の組織は、セキュリティ侵害が起こり得ることを前提とした上で、インシデント対応を速やかに実行できる効果的なセキュリティ対策が必要です。
- サイバー犯罪者が不正利用可能なすべての手段にセキュリティ対策を講じること
- セキュリティ侵害が確認された際、速やかに原因特定とインシデント対応の処置を講じること
- あらゆるセキュリティ侵害に対し、機密情報漏えいを阻止する対策を講じること
- セキュリティ対策を強化し、インシデントの再発を防止するため、過去の事例から教訓や知見を積極的に活用すること
さらに医療機関は、医療機器やシステムのセキュリティ対策のためにネットワークのセグメント化や暗号化を実行し、脆弱性管理ソフトウェアやその他のセキュリティ対策製品をインストールすることが必要です。
個人ユーザのレベルでは、以下のベストプラクティスに従ってランサムウェアの脅威から個人情報を保護することを推奨します。
- 不審なメールや添付ファイルを開いたり、メッセージ内の不審なリンクをクリックしないこと
- 以下の3-2-1ルールを実践して、重要なファイルをバックアップすること
- ３つ以上のバックアップ用コピーを作成する
- 2つの異なる種類の端末に保存する（例：ハードドライブおよびUSB）
- その1つは他の2つとは異なる場所で保存する
- 最新の脆弱性を利用する脅威を阻止するため、ソフトウェア、プログラム、およびアプリケーションを定期的な更新を怠らないこと
■トレンドマイクロの対策
トレンドマイクロでは、ヘルスケア業界向け総合セキュリティソリューションを提供しています。以下のリンクのページをご参照ください。
また、現在の医療機関におけるセキュリティの課題と対策について考察したホワイトペーパーも提供しています。自組織の課題を診断できるチェックリストなどの内容も含んでおりますのでご活用ください。
【更新情報】
| 2019/10/25 13:45 | ■トレンドマイクロの対策の箇所を「ヘルスケア業界向け総合セキュリティソリューション」および、ホワイトペーパー「医療情報セキュリティにおける5つの迷信」の紹介文に置き換え、リンク先を追加しました。 |
by Trend Micro
翻訳：益見 和宏（Core Technology Marketing, Trend Micro™ Research）