宇陀市立病院のランサムウェア被害

奈良県宇陀市の市立病院(一般病床:176床)で2018年10月に起きたランサムウェア被害。
身代金は支払っていない。

【参考サイト】

 

経緯

  •  2018年10月1日:電子カルテシステムの運用開始。
    電子カルテシステムの導入費用:3億2100万円(2019年3月支払済み)+1億1000万円(2020年?月支払済み)=4億3100万円
  • 2018年10月16日:ランサムウェアの感染を確認
    システムを全面停止し、システムベンダーが対応。
  • 2018年10月16日:システム復旧
  • 2018年10月30日:厚生労働省と奈良県による立入検査。その後行政指導。
  • 2019年3月:有限責任監査法人トーマツと支援業務委託契約(1200万円)
  • 2019年3月:トレンドマイクロ株式会社と調査分析委託契約(2600万円)
  • 2019年3月:暗号化された電子カルテデータの復号化に成功
  • 2020年2月28日:報告書公開

 

被害

  • 患者データ3,835名のうち1,133名分を消失。半年後に復旧。
  • 感染したサーバーは診療部門のサーバー4台、同門端末の2台、ウイルス対策のサーバー1台、看護部門のサーバー1台。他の30台のサーバーは無事。
  • 診療報酬請求に影響。対象患者の福祉医療費助成制度の償還が遅延。
  • 個人情報の漏洩、悪用されたとの被害報告はない。

 

感染経路

不明。
システムログの保全を行わないままシステムの再セットアップを行ったため。
外部インターネット不可のネットワークのため、誰かが「ルール違反」をしたという調査結果。
ランサムウェアの名前は「GandCrab(ガンクラブ)」。

 

ポイント

  • 外部インターネット不可なのにランサムウェアに感染した。
  • ウイルス対策サーバーを導入していても防げなかった。
  • 磁気テープ装填がされておらず、バックアップデータが保存されていなかった。