2022年10月31日に発覚、日本、医療

大阪急性期・総合医療センターランサムウェア被害

委託
認証
権限
更新

給食事業者の保守用VPNから侵入され、共通パスワードで病院のサーバーを乗っ取られた

何があったか

2022年10月31日午前6時50分、大阪急性期・総合医療センターで重症部門システムに障害が発生し、7時10分には基幹システムにも障害が出た。7時45分、システム管理委託職員がランサムノート(身代金要求文書)と暗号化の事実を確認した。システムベンダーの調査を経て、8時30分から40分にかけてネットワークを遮断し、幹部職員を招集して紙カルテ運用への切り替えを指示した。調査の結果、患者給食の委託事業者が運営する給食システムに、リモート保守用のVPN機器の脆弱性を使って侵入され、給食事業者内のID・パスワードが脆弱だったことからシステム情報を窃取されて攻撃が広がったことが分かった。

窃取した病院給食サーバーの認証情報でRDP通信を使って病院の給食サーバーに侵入し、サーバー・端末で共通だったパスワードを使って電子カルテを含む基幹システムなど他のサーバーにも侵入した。各サーバーでランサムウェアに感染し、暗号化されたファイルにランサムノートが置かれた。電子カルテを含む基幹システムサーバーの大部分が暗号化され、救急や予定手術、通常外来を制限した。病院は同日20時に記者会見を開き、11月4日に予定手術を再開、11月7日に2回目の記者会見を開いた。

基幹システムは12月12日に再稼働し、部門システムを含めた全体の診療システムは2023年1月11日に復旧した。情報漏洩の可能性は極めて低いとされた。

入口: 患者給食の委託事業者の給食センターに、リモート保守用のファイアウォール (SSL-VPN) の脆弱性か漏洩していたIDとパスワードで侵入され、常時接続のRDPで病院の給食サーバーに入られた
決め手の失敗: 全ユーザーに管理者権限を与え、サーバーと端末のWindowsパスワードが共通で、アカウントロックアウトもなかった。電子カルテサーバーにウイルス対策ソフトが入っていなかった。外部接続の保守と脆弱性管理の責任分界が曖昧だった
被害: 電子カルテを含む基幹システムのサーバーの大部分が暗号化され、救急や予定手術、通常外来を制限した。基幹システムの再稼働に43日間、全体の診療システム復旧に73日間を要した。調査・復旧費用は数億円以上、逸失利益は十数億円以上を見込む。情報漏洩の可能性は極めて低いとされた

攻撃の流れ

入口給食事業者が設置・運営する給食システムに、情報基盤構築事業者がリモート保守のために設置したVPN機器の脆弱性を用いて侵入された (漏洩され公開されていたID・パスワード情報を用いて侵入された可能性もある)
内部探索給食事業者内データセンターのID・パスワードが脆弱だったことから容易に不正アクセスされ、システム情報(IPアドレスやパスワード情報など)を窃取されて給食事業者内で攻撃が広がった
病院への侵入給食事業者の端末から窃取した病院のサーバーの認証情報により、RDP通信を用いて病院の給食サーバーに侵入し、ウイルス対策ソフトもアンインストールされた
横展開病院給食サーバーを踏み台に、病院内の他サーバーの認証情報をツールで窃取された。給食サーバーと他サーバーのID・パスワードが共通だったため窃取は容易だった。窃取した認証情報で電子カルテシステムなどの基幹システムや他のサーバーに侵入された
暗号化侵入されたサーバー等を経由してクライアントへのログオンが試みられた可能性があり、各サーバーでランサムウェアに感染・永続化し、ランサムノート(身代金要求文書)が表示された

数字で見る

43日間基幹システムサーバーの再稼働までの日数[2]
73日間部門システムを含めた全体の診療システム復旧までの日数[2]
約2,200台不正アクセスの痕跡があった院内PC端末[2]
558人 (33.3%) 新入院患者数 (2022年11月、前年同月比)[2]
10,191人 (52.9%) 延入院患者数 (2022年11月、前年同月比)[2]
465人 (17.9%) 初診患者数 (2022年11月、前年同月比)[2]
15,744人 (61.6%) 延外来患者数 (2022年11月、前年同月比)[2]
数億円以上調査・復旧費用[2]
十数億円以上診療制限に伴う逸失利益の見込み[2]

気づいたきっかけ

給食関連の委託職員が電子カルテシステムの不具合に気づいたのは、ネットワーク遮断の約3時間前だった。システム管理委託職員が午前7時45分にランサムノートと暗号化の事実を確認し、システムベンダーの調査後、午前8時30分から40分にネットワークを遮断した

対応と復旧

幹部職員を招集して紙カルテ運用への切り替えを指示し、大阪府立病院機構本部、大阪府健康医療部、警察、内閣サイバーセキュリティセンター(NISC)、厚生労働省医政局、大阪市保健所などに通報した。同日20時に1回目の記者会見を開き、11月7日に2回目の記者会見を開いた。感染経路や感染時期を断定できるログが十分になかったため、オフラインで保存していた患者データを使って端末とサーバーをすべて初期化する方針を立てた。予定手術は11月4日に再開し、電子カルテを含む基幹システムは12月12日に再稼働、部門システムを含めた全体の診療システムは2023年1月11日に通常診療を再開した

組織が認めた原因と、決めた対策

認めた原因

VPN機器やファイアウォールなど外部通信機器の保守や脆弱性管理の役割分担が曖昧で、サプライチェーンのVPN機器の脆弱性が放置されていた
リモート保守を許可するための基準が曖昧で、リモートデスクトップ(RDP)接続が常時接続になっていた
ユーザーすべてに管理者権限を与えていたため、攻撃者に管理者権限を利用されウイルス対策ソフトをアンインストールされた
Windowsのパスワードがサーバー、端末ごとにすべて共通で、一つのパスワードが窃取されると他のすべてが乗っ取り可能な状態だった
アカウントロックアウトの設定がなく、パスワードの総当たり攻撃や辞書攻撃でログオンが成功した
電子カルテシステムサーバーにウイルス対策ソフトが未設定で、容易に侵入されランサムウェアを実行された

公表した再発防止策

機器ごとに管理者と設置者が互いに保守の範囲や脆弱性管理の役割分担を文書で確認する
外部接続やリモート保守を許可する基準を定め、通信元のセキュリティ環境の確認と通信ログの確認を行う運用を構築する
ユーザーは管理者権限のない標準ユーザーアカウントに設定する
Windowsのパスワードをサーバー、端末ごとに個別化(ユニーク化)する
アカウントロックアウトの設定を有効化し、電子カルテシステムサーバーにもウイルス対策ソフトを導入する

自分のサービスで確かめること

委託先や関連事業者を含む外部接続とリモート保守の一覧を台帳で管理しているか確認する
外部接続機器の保守や脆弱性管理の責任者を契約書で明確にしているか確認する
全ユーザーに管理者権限を与えず、標準ユーザーで運用しているか確認する
サーバーや端末のパスワードを個別化し、アカウントロックアウトを有効にしているか確認する
電子カルテなど重要なシステムを含むすべてのサーバーにウイルス対策ソフトを導入しているか確認する

関わる攻撃とレッスン

攻撃の種類

学べるレッスン

時系列

2022年
10月31日発覚午前6時50分に重症システム障害、7時10分に基幹システム障害が発生し、7時45分にヘルプデスク職員がランサムノートと暗号化を確認した[1]
10月31日対応午前8時30分から40分にネットワークを遮断し、幹部職員を招集して紙カルテ運用へ切り替えた。17時にホームページで通常診療の停止を公表し、20時に1回目の記者会見を開いた[1]
11月4日復旧予定手術を再開した[1]
11月7日対応 2回目の記者会見を開いた[1]
12月12日復旧電子カルテを含む基幹システムが再稼働した[2]
2023年
1月11日復旧部門システムを含めた全体の診療システムが復旧し、通常診療を再開した[2]
3月28日公表調査委員会が調査報告書を公表した[1]

攻撃した側について

調査報告書は攻撃者を特定していない。感染した端末のランサムノートから、Elbieランサムウェアを用いた攻撃者グループ「Phobos」の可能性が高いと推察されたと記載している。身代金の支払いについての記載はない

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

大阪急性期・総合医療センター情報セキュリティインシデント調査報告書大阪急性期・総合医療センター情報セキュリティインシデント調査委員会、2023年3月28日、調査委員会の資料
情報セキュリティインシデント調査報告書概要大阪急性期・総合医療センター情報セキュリティインシデント調査委員会、2023年3月28日、調査委員会の資料

大阪急性期・総合医療センター ランサムウェア被害