【2021年】半田病院、ランサムウェアで通常診療まで65日 請求も止まる

何が起きたのか

つるぎ町立半田病院は徳島県の町立病院で、病床は120床です。2021年10月31日未明、院内の複数のプリンターが犯行声明を一斉に印刷し始め、被害が分かりました。LockBit2.0 というランサムウェアに感染し、電子カルテなどのデータが暗号化されました。

当日は地域の救急当番でしたが、救急の受け入れを止めました。午前10時に災害対策本部を置いて、主に地震用に作っていた事業継続計画を動かし、記者会見も当日に開きました。身代金は払わない方針を固め、11月22日に正式に決めています。プリンターから出た文書のほかに、犯人からの具体的な要求は確認されていません。

会社に何が起きたのか

• 通常診療の再開：2022年1月4日（発生から65日）
• 先に再開：小児科は11月15日、産科は11月19日、放射線科は11月30日、消化器内視鏡は12月1日、健診は12月13日
• 診療の制限：外来は基本的に予約の再診のみ。救急と新規は受けず、手術は可能な限り延期
• 影響を受けた端末：40台
• 紙カルテ：11月から12月で約5,000冊。再開後に電子カルテへ手で入力
• 診療報酬の請求：10月分は1月10日、11月分は2月10日、12月分は3月10日
• 1月から3月の分：4月10日にまとめて請求し、5月20日に入金
• 個人情報の漏えい：病院のお知らせは確認されていないとしている。報告書は、漏えいの可能性は高いとも考えるとしたうえで、データが公開された事実は確認できていないとしている
• 損害の総額：報告書に記載なし

復旧に65日かかった理由

調査と復旧を頼んだ事業者はエンジニアの派遣の要請に応じず、病院はサーバーや端末を梱包して東京へ送りました。院内では病院の職員が端末のウイルスを確かめていきました。12月20日には、バックアップサーバーの2018年以降のデータが物理的に削除されていたことが分かりました。2018年までオフラインで保管していたバックアップは無事でした。

電子カルテのデータの復元を確認できたのは12月29日です。修復の方法は事業者の独自の調査のため詳細が分からず、報告書は何らかの方法で必要な手段を入手した可能性があると書いています。病院は身代金を払っていません。

11月3日には VPN 装置のファームウェアの更新が、ログを保存しないまま行われました。そのため、侵入の経路を記録で確かめることができませんでした。報告書は、関係する事業者の知識と経験が浅く対応がちぐはぐだったとし、連携が取れていれば2か月強もかけずに対応できたと考える、としています。

なぜそこまで広がったのか

有識者会議の報告書は、侵入の経路について VPN 装置の脆弱性を悪用したものと思われるとしています。VPN 装置のソフトは導入のときから更新されておらず、脆弱性 CVE-2018-13379 が残っていました。この脆弱性で取得された管理者の資格情報は、ダークウェブで公開されていました。

院内の設定にも課題がありました。パスワードの最小の桁数は5桁で、ログオンの失敗による締め出しはなく、管理者のアカウントは共通でした。電子カルテの導入時に不具合が出たため、ウイルス対策ソフトは動かしていませんでした。電子カルテの事業者は Windows の更新を無効にするよう指示していました。

報告書は、閉じたネットワークなら安全という考えが背景にあったと指摘し、これは同院に限らないとしています。システムの担当者は事実上1人でした。機器とソフトで契約が分かれ、導入後の運用の支援を含まない形で、責任があいまいな部分もありました。VPN 装置の脆弱性について2つの事業者は認識があったと答えましたが、病院への説明はされていませんでした。

その後の再発防止

同院は事業継続計画に第9章として「サイバー攻撃対策」を書き足し、有識者の監修で院内の医療情報セキュリティ規程を作りました。電子カルテが止まっても見られる簡易の参照の仕組みも整えています。院内のシステムから PDF や CSV をバックアップサーバーへ出しておき、非常時に USB で取り出して、切り離した端末で見る形です。2023年12月には電子カルテを止めて ID とパスワードを更新し、紙カルテの準備も行いました。

国の制度も変わりました。厚生労働省は主なランサムウェアの事例の表で、同院の攻撃経路を保守用 VPN 装置の脆弱性の放置などと整理しています。2023年4月施行の医療法施行規則の改正で、サイバーセキュリティの確保が病院の管理者の守るべき事項に入りました。立入検査ではチェックリストの記入を確認し、そこにはサーバーやネットワーク機器の台帳管理、リモート保守に使う機器の確認などの項目があります。2024年度の診療報酬改定には、事業継続計画の策定とオフラインのバックアップの要件が盛り込まれました。

中小企業が学ぶこと

止まるのは本業だけではありません。同院では請求の仕組みも止まり、入金が数か月遅れました。システムが止まった場合に何か月分の運転資金が要るかを見積もっておきましょう。

IT の担当が1人の会社では、保守を業者に任せることが多くなります。VPN 機器の更新やウイルス対策を誰が担当するのか、契約書で確かめておきたいところです。VPN 機器の版を管理画面で確かめ、脆弱性の情報を誰が受けるかも決めます。

事故のあとは作業の順番が結果を分けます。機器の更新や初期化の前に、ログを別の場所へ写しましょう。手順はランサムウェアに遭ったら 最初の1時間にすることにまとめています。バックアップも、中身が本当に残っているかを定期的に確かめます。

同院は地震に備えて用意していた紙カルテの運用で診療を続けました。予約表など、手元に残す書類を決めておきましょう。同院の例では予約票を2週間先まで印刷しておくこと、予定を紙のカレンダーにも書くことが役立つとしています。