コラム・インタビュー

クリニックには極めてセンシティブな個人情報があり、情報漏えいは万全の態勢で阻止しなければなりません。しかし逆に、そこを弱点として突かれ、金銭を要求する悪質なサイバー犯罪の標的となりやすいのも事実です。ここでは3つの事例を見ながら、サイバー犯罪への対応策を解説します。

近年では、個人情報の取り扱いの重要性が周知されつつありますが、具体的な対策や取扱い方法を知らないスタッフが多ければ、適切な個人情報保護体制を敷くことは容易ではありません。この問題は、いずれの組織においても重要な課題のひとつとなっています。

ここでは、組織におけるサイバーテロの問題を考えるとともに、しばしば仕掛けられる攻撃とその内容、具体的なリスクについて見ていきます。

「ランサムウェア」とは、ファイルを暗号化してシステムの障害を引き起こすマルウェアのことです。

ランサムウェアに感染すると、ファイルの暗号化を解除する対価として金銭や仮想通貨での支払いを要求されます。ランサム（身代金）を要求するマルウェアであることから、ランサムウェアと名付けられました。

2022年10月、某医院にて電子カルテが暗号化されて使用できなくなり、診察が行えないなど、患者様に大きな影響が及んだ事例がありました。院内の端末がVPN機器を経由してランサムウェアに感染したことが原因でした。

もしランサムウェアに感染したら、診察に支障が出るだけではなく、個人情報流出に対する対応も必要となり、業務に多大な影響が及びます。

2023年におけるランサムウェアによる被害は197件と多く、また、医院や病院は業務の性質から被害が大きくなりやすいため、十分な注意が求められます。

VPN機器経由のランサムウェアへの感染事例は多く、セキュリティに配慮したVPN機器を利用しているとの安心感から、導入後の対策がおろそかになっていることが原因だと推測されます。VPN機器のファームウェアを最新にしておくなど、導入後にもきめ細かい対策が必要です。

Emotetとは、情報の窃取を行うマルウェアで、窃取された情報はそのまま漏洩するだけではなく、その情報から得たメールアドレスといった連絡先にスパムメッセージが送信されることで、さらなる深刻な感染拡大のリスクを孕んでいます。

2019年5月、T医療センターにて医師の端末がEmotetに感染し、メールボックス内の情報が流出しました。これはメールに添付されたファイルを職員が開いたことが原因でした。

Emotetに感染した場合、感染したPC端末などで利用されているメールアカウントの情報が流出し、過去にやり取りしていた取引先など多方面に影響が及ぶ事例が多くあります。

Emotetへの感染は、メールの添付ファイルが原因となるケースが多くあります。感染予防としては、メール本文に不審な点（日本語の表現が不自然など）がないかを確認し、少しでもおかしな点があれば、添付ファイルに操作を加えず、システム担当者に対応を依頼するようにします。

また、Excelファイルが添付されていた場合、必要がない限り「マクロを有効にする」「コンテンツの有効化」というボタンをクリックしないことも、有効な防御策です。

これは、強固なセキュリティ対策を行っている組織を標的に、同一サプライチェーン上の「セキュリティが脆弱な組織」を経由して行われるサイバー攻撃です。

2022年10月、K医療センターで、電子カルテをはじめとするさまざまなシステムがランサムウェアに感染し、使用できなくなる事例がありました。これは、すでにランサムウェアに感染していた給食センターに、院内の給食システムの構築を委託していたことが原因でした。

サプライチェーンの弱点を悪用した攻撃は、対策が困難な一方で、標的にならなければ、対策への切迫度合いは低くなります。

ただし、個人情報を多く保有するシステムはしばしば標的とされることから、患者様の個人情報を多く扱い、蓄積しているクリニックは、標的にされやすいといえます。

サプライチェーンの弱点を悪用した攻撃は、さまざまなケースが想定されるため、対策も一筋縄ではないため、あらゆるセキュリティ対策を徹底することが重要です。

保有している端末やネットワークを厳しく管理し、マルウェアへの感染を防御していても、業務委託先や外部への情報提が行われている場合は、そちらから情報が流出するリスクがあります。そのため、取引先や業務委託先のセキュリティ環境についても確認しておくことが大切です。

組織内の個人情報を保護するには、VPNを使用できる端末やアプリケーションを制限するほか、メールの添付ファイルへの警戒も重要です。

一度感染すれば被害の拡大は必至であることから、常に警戒を忘れないようにしましょう。そして、院内だけではなく、取引先のセキュリティ対策についても、ぜひ一度確認することをお勧めします。