岡山県精神科医療センターのランサムウェア被害まとめ

地方独立行政法人岡山県精神科医療センター（精神病床：255床）で2024年（令和6年）5月19日に起きたランサムウェア被害。
データーセンターの保守用VPN装置が侵入口と強く推測。
病院情報システムが完全に復旧するまで3ヶ月。

徳島県つるぎ町立半田病院、大阪急性期・総合医療センターの報告書の指摘事項とまったく同じ脆弱性が招いたランサムウェア被害。

本記事は参考サイトの調査報告書をまとめたもの。
（調査報告書PDFをAIに読み込ませて聞きたいことを質問した方が分かりやすい）

侵入経路: データーセンターに設置されていた保守用のSSL-VPN装置が侵入口と強く推測。
原因: 以下のいずれか、または複合的な要因が考えらる。
1. 弱いパスワード: ID/パスワードが「administrator/P@ssw0rd」という非常に推測されやすいものであったため、辞書攻撃を受けた可能性。
2. 脆弱性の放置: VPN装置に、2018年の設置以降修正されていない複数の脆弱性が存在した。
3. 資格情報の購入: 攻撃者が、不正なルートで売買される認証情報を購入して侵入した可能性。

原因: 以下の2点が内部での感染拡大を容易にした。
1. パスワードの使いまわし: VPN装置の管理者パスワードが、病院内のすべてのサーバー・端末の管理者パスワードと共通だった。
2. 不適切な権限管理: すべての一般ユーザーに管理者権限が付与されていた。
手口: 攻撃者は窃取した管理者権限を悪用し、各コンピューターに容易に侵入。
ウイルス対策ソフトを無効化・削除しながら、ランサムウェアを実行してファイルを暗号化。

国内で販売されている主要なウイルス対策ソフト60製品以上で検出・防御が可能な、既知のランサムウェア。
脅迫状（ランサムノート）は、病院内の一部のサーバーの特定フォルダにのみ保存されていた。
これにより、被害発覚の初動でランサムウェア攻撃であると特定するのが遅れる一因となった。

具体的な被害総額は報告書に明記されていない。
また身代金の支払いは行っていない。
直接的な対策費用だけでも数千万円規模に上る可能性が非常に高い。

「閉域網神話」の蔓延: 「病院のネットワークは閉域網だから安全だ」という誤った思い込みが病院とベンダー双方にあり、セキュリティ対策を軽視する根本原因となっていた。
ベンダーへの丸投げ体質: セキュリティ管理をベンダーに依存し、病院側で仕様や設定をチェックする体制がなかった。
過去事例からの学習不足: 他病院の類似事案を認識していながら、具体的な対策に繋げられていなかった。

侵入防止: 多要素認証の導入、長く推測困難なパスフレーズの採用、VPN装置の脆弱性管理を徹底する。
被害拡大防止: ユーザー権限を必要最小限に限定し、管理者権限の付与を厳格化。Windows Updateを定期的に実施し、ネットワークをシステムごとに分離（セグメント化）する。
迅速な復旧: オフライン・バックアップ及びクラウドバックアップを確実に取得し、定期的に復旧テストを実施する。