ゆめさくセキュリティ

2021年10月31日に発覚、日本、病院 (公立)

つるぎ町立半田病院 ランサムウェア被害

VPN装置の既知の脆弱性が放置され、電子カルテが暗号化され2か月以上診療が止まった

何があったか

2021年10月31日未明、徳島県のつるぎ町立半田病院で、院内の複数のプリンタが一斉に犯行声明を印字し始め、インシデントが発覚した。0時30分に電子カルテの不具合が確認され、システム担当者がネットワークを遮断、8時にランサムウェアへの感染を確認した。Lockbit2.0と呼ばれるランサムウェアに感染し、電子カルテをはじめ院内の多数のサーバーと端末のデータが暗号化され、使用できなくなった。病院は地震災害用に定めていた事業継続計画を発動して災害対策本部を設置し、徳島県警察本部に相談して被害届を出し、救急や新規患者の受け入れを中止した。

侵入経路は、リモート保守のために設置されたFortinet社のVPN装置の既知の脆弱性とみられ、2021年9月に世界で約8万7000台分流出した認証情報の中に半田病院の情報も含まれていたことが後の調査で確認された。病院は事件発生当日と11月29日に記者会見を開き、経過を公表した。外部業者による調査と復旧作業を経て、2022年1月4日に電子カルテシステムが再稼働し、通常診療を再開した。2022年6月7日、病院が設置した有識者会議が調査報告書を公表した。

入口
リモート保守用に設置されていたFortinet社のVPN装置FortiGate 60Eの既知の脆弱性(CVE-2018-13379)が放置されており、2021年9月に世界で公開された漏洩データの中に半田病院のグローバルIPアドレスとID、パスワードが含まれていた。この認証情報を使って侵入されたとみられる
決め手の失敗
VPN装置の脆弱性と流出した認証情報のID、パスワードの変更を長期間放置していた。VPN装置への接続元IPアドレス制限と多要素認証を設定していなかった。電子カルテシステムの動作を優先し、Windowsアップデートやアンチウイルスソフト、サーバーの個人ファイアウォールを無効にしていた
被害
電子カルテをはじめ院内の多数のサーバーと端末のデータが暗号化され、救急と新規患者の受け入れを中止し、診療が大きく制限された。通常診療の再開は2021年10月31日の発覚から2022年1月4日までかかった。情報の漏えいについては、公開や要求の事実が確認できず断定されていない

攻撃の流れ

  1. 入口リモート保守用のFortinet社VPN装置FortiGate 60Eの脆弱性(CVE-2018-13379)が是正されておらず、2021年9月に世界的に流出した認証情報の中に半田病院のID、パスワードが含まれていた。これを使って外部から侵入されたとみられる
  2. 広がりVPN装置への接続元IPアドレス制限がなく、院内サーバーの個人ファイアウォールもすべて無効になっていたため、侵入後の水平展開が容易だった。Active Directoryのパスワードの桁数設定も短かった
  3. 暗号化多数のサーバーと端末にLockbit2.0によるランサムウェアが仕掛けられ、一斉にデータが暗号化された。院内のプリンタから犯行声明が大量に印字されたことで発覚した
  4. 影響電子カルテ、医事会計、検査機器など院内システムが広く使用できなくなり、救急と新規患者の受け入れを中止するなど診療が大きく制限された状態が2022年1月4日の通常診療再開まで続いた

数字で見る

  • 約2か月 発覚から通常診療再開まで[1] 報告書の表現。日数で数えると2021年10月31日から2022年1月4日までの65日
  • 約8万7000台 VPN機器の認証情報が世界で流出した台数[1] 2021年9月に公開された漏洩データ全体の件数。この中に半田病院の情報が含まれていた
  • 2022年6月7日 有識者会議報告書の公表日[1]

気づいたきっかけ

2021年10月31日未明、院内の複数のプリンタから犯行声明が一斉に印字され、これをきっかけにインシデントが発覚した。直後に電子カルテの不具合も確認された

対応と復旧

電子カルテのネットワークを即座に遮断し、地震災害用に定めていた事業継続計画を発動して災害対策本部を設置した。徳島県警察本部に相談して被害届を提出し、IPA、総務省、内閣サイバーセキュリティセンターにも報告した。外部のフォレンジック業者と電子カルテベンダーによる調査復旧を経て、2022年1月4日に電子カルテシステムを再稼働し通常診療を再開した

組織が認めた原因と、決めた対策

認めた原因

  • VPN装置FortiGate 60Eの脆弱性(CVE-2018-13379)が放置されていた
  • 同脆弱性を利用して認証情報が漏洩していたにもかかわらず、ID、パスワードを変更していなかった
  • VPN装置への接続元IPアドレス制限を行っていなかった
  • VPN接続の際の多要素認証を行っていなかった
  • 電子カルテシステム、医事会計システムの動作を優先し、Windowsアップデートやアンチウイルスソフトの運用を停止していた
  • サーバーの個人ファイアウォールがすべて無効になっていた

公表した再発防止策

  • サイバー攻撃によるリスクを含めた事業継続マネジメントシステムの導入を進める
  • 情報システムにおけるセキュリティ・コントロール・ガイドラインを参考に、情報資産、設定情報、ログ管理、脆弱性対応状況などを管理する体制を整える
  • セキュリティに関する専門知識を持ち、安全管理に協力する事業者及びベンダーを選定、管理する
  • 医療情報システム従事者のコミュニティを創設し、脅威情報や対策情報を交換する

自分のサービスで確かめること

  • リモート保守用のVPNやネットワーク機器のファームウェアが最新か、既知の脆弱性情報を定期的に確認しているか
  • VPN機器の認証情報がダークウェブなどで流出していないか確認し、流出の疑いがあれば速やかに変更しているか
  • 業務アプリの動作を理由にOSアップデートやアンチウイルスソフト、ファイアウォールを無効にしている端末やサーバーが無いか棚卸しする
  • VPNへの接続元IPアドレス制限や多要素認証など、認証情報だけに頼らない仕組みがあるか確認する
  • 事業継続計画にサイバー攻撃によるシステム停止を想定したシナリオが含まれているか確認する

関わる攻撃とレッスン

攻撃の種類

学べるレッスン

時系列

  1. 2021年
  2. 10月31日 発覚 複数のプリンタから犯行声明が一斉に印字され発覚。電子カルテのネットワークを遮断し、8時にランサムウェア感染を確認。徳島県警察本部に被害届を提出し、災害対策本部を設置した[1]
  3. 11月1日 対応 IPAに連絡し、ウイルス対策の助言を受けた[1]
  4. 11月4日 公表 徳島県を通して総務省自治行政局デジタル基盤推進課と内閣サイバーセキュリティセンターにインシデントを報告した[1]
  5. 11月29日 公表 病院の方針を決定し、記者会見を開催した[1]
  6. 12月14日 対応 フォレンジック業者の解析レポートで、7台の端末に不正アクセスの痕跡が確認された[1]
  7. 2022年
  8. 1月4日 復旧 電子カルテシステムが再稼働し、通常診療を再開した[1]
  9. 6月 公表 病院が設置した有識者会議が調査報告書を公表した[1]

攻撃した側について

攻撃者の身元については徳島県警察本部の捜査が報告書公表時点でも続いており、公的機関による名指しの公表はない。有識者会議の報告書は、使われたランサムウェアをLockbit2.0と記載しているが、これは侵入した者の身元の公式な特定ではない。身代金の要求や交渉、データ公開の事実は確認されておらず、病院は身代金を支払わない方針を決め、実際に支払っていない

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

  1. 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案 有識者会議調査報告書 つるぎ町立半田病院コンピュータウイルス感染事案有識者会議、2022年6月7日、調査委員会の資料
  2. コンピュータウイルス感染事案有識者会議調査報告書について つるぎ町立半田病院、2022年6月7日、被害組織の資料