ゆめさくセキュリティ

2017年5月12日に発覚、海外、公的医療(国民保健サービス)

WannaCry による英国NHSの診療停止

更新していないWindowsが残り、診療が止まり約1万9000件の予約が中止された

何があったか

2017年5月12日、ランサムウェア「WannaCry」が世界的に拡散し、英国の国民保健サービス(NHS)にも大きな被害を与えた。英国会計検査院(NAO)の報告書によると、同日昼前から複数のトラストで不具合の報告が始まり、午後1時6分にNHSイングランドの緊急対応チームへ最初の通報が入った。午後4時にNHSイングランドは国家規模の重大インシデントと宣言し、午後6時45分にNHSデジタルなどと連携して対応にあたることを決めた。その日の夕方、1人のセキュリティ研究者が「キルスイッチ」を見つけて作動させ、ランサムウェアがそれ以上広がるのを止めた。

被害を受けた組織は感染してデバイスがロックされたトラストが34、感染はしていないが予防的に業務を止めたトラストが46など、少なくとも236のトラストのうち80に及び、さらに一般医のクリニック595件を含む603の医療機関にも感染が広がった。感染した組織はいずれもWindowsの更新プログラムが当たっていないか、サポートが切れた古いOSを使っており、インターネットに面したファイアウォールの管理で防げた可能性があるとNHSデジタルは説明している。被害により少なくとも6912件の予約が中止されたことが確認され、推定では約1万9000件以上とみられる。5つのトラストは救急患者を他の病院へ回さざるを得なかった。

身代金を支払った組織は無かったが、サービス停止による費用の全体像はNHSも把握していない。NHSは事前にリスクを指摘されていたが、地域の医療機関が指示に従っているか確かめる仕組みが整っていなかった。この攻撃について、英NCSCは2017年12月、米国などと歩調を合わせ北朝鮮のLazarus Groupによるものと評価したと公表している。

入口
NHSの医療機関の多くが、更新プログラムの当たっていないWindows 7や、サポートが終了した古いWindows XPを使い続けており、そこへWannaCryが感染した
決め手の失敗
更新プログラムの適用状況やインターネットに面したファイアウォールの管理が組織ごとにばらつき、地域の医療機関が国の指示や警告にどこまで従っているかを確かめる正式な仕組みが無かった。全国規模のサイバー攻撃を想定した対応計画も現場レベルでは訓練されていなかった
被害
少なくとも236のトラストのうち80が影響を受け、34トラストでデバイスがロックされ、46トラストが予防的に業務を止めた。一般医のクリニックなど603の医療機関にも感染が広がり、確認できただけで6912件、推定で約1万9000件以上の予約や手術が中止された。5つのトラストは救急患者を他の病院へ転送した

攻撃の流れ

  1. 入口更新プログラムの当たっていないWindows 7や、サポートの切れたWindows XPを使っていた医療機関のデバイスに、WannaCryがインターネットやNHS内の通信網(N3ネットワーク)経由で感染した
  2. 拡大ファイアウォールの管理が不十分な組織を中心に、ネットワークを通じて感染が広がり、同じ脆弱性を持つ他の医療機関にも波及した
  3. 暗号化感染したデバイスがロックされ、カルテや予約システムなど日常業務に使う端末が使えなくなった組織が相次いだ
  4. 拡大の停止同日夕方、1人のセキュリティ研究者が「キルスイッチ」を発見して作動させ、それ以上の感染拡大を止めた
  5. 影響診療や手術の予約が多数中止され、5つのトラストが救急患者を他の病院へ転送するなど、約1週間にわたり医療サービスに混乱が生じた

数字で見る

  • 80トラスト以上(236中) 影響を受けたトラスト[1]
  • 34トラスト 感染しデバイスがロックされたトラスト[1]
  • 603機関(うちGP595) 感染した一般医クリニック等[1]
  • 6,912件 確認された中止予約件数[1]
  • 約1万9,494件 推定される中止予約件数(合計)[1]
  • 1,220台(全体の約1%) 感染した診断機器[1]
  • 1週間 対応にかかった期間[1] 5月12日の発覚から5月19日の対応終了までを資料の記述に基づく

気づいたきっかけ

2017年5月12日の昼前から複数のNHSトラストで不具合の報告が始まり、午後1時6分にNHSイングランドの緊急対応チームへ最初の通報が入った

対応と復旧

午後4時にNHSイングランドが国家規模の重大インシデントと宣言し、午後6時45分にNHSデジタル等と連携した対応体制を敷いた。同日夕方にセキュリティ研究者がキルスイッチを作動させ感染拡大を止めた。NHSデジタルは5月14日付で全トラストに身代金を支払わないよう助言する文書を送付し、身代金を支払った組織は無かった。NHSイングランドは3段階の対応(救急医療の確保、プライマリケアの安定化、復旧)を経て、5月19日午後5時30分にインシデント対応を終了した

組織が認めた原因と、決めた対策

認めた原因

  • 感染した組織はいずれも更新プログラムが当たっていないか、サポートが終了した古いWindowsを使っておりランサムウェアに対して脆弱だった
  • 更新の有無にかかわらず、インターネットに面したファイアウォールの管理ができていれば感染を防げた可能性がある
  • 保健省は国からNHS組織が実際に指示や助言に従っているかを確かめる正式な仕組みを、攻撃以前には持っていなかった
  • 全国規模のサイバー攻撃を想定した対応計画はあったが、地域レベルでは訓練されておらず、誰が対応を主導すべきか当初明確でなかった

公表した再発防止策

  • サイバー攻撃発生時にNHSが取るべき対応計画を整備し、国と地域の役割分担を定める
  • NHSデジタルが出す重要な警告(CareCERTアラート)の実施(パッチ適用、ウイルス対策ソフトの更新)を各組織に徹底させる
  • システムが停止した際にも重要な連絡が届く通信手段を確保する
  • 各組織の理事会や職員がサイバー攻撃のリスクを自分たちの問題として理解し、前もって備える

自分のサービスで確かめること

  • 基本ソフト(OS)への更新プログラムが組織全体で漏れなく適用されているか確かめる
  • サポートが終了した古いOSが、重要な業務端末に残っていないか棚卸しする
  • インターネットに面したファイアウォールの設定が適切に管理されているか確かめる
  • システムが停止した際にも機能する代替の連絡手段(電話等)をあらかじめ用意しているか確かめる
  • 全国規模のサイバー攻撃を想定した対応計画を、現場レベルで訓練しているか確かめる

関わる攻撃とレッスン

攻撃の種類

学べるレッスン

時系列

  1. 5月12日 発覚 昼前から複数のNHSトラストで不具合が報告され、午後1時6分にNHSイングランドへ最初の通報が入った[1]
  2. 5月12日 対応 午後4時にNHSイングランドが国家規模の重大インシデントを宣言し、午後6時45分に対応体制を敷いた[1]
  3. 5月12日 対応 夕方、セキュリティ研究者がキルスイッチを発見・作動させ、感染拡大を止めた[1]
  4. 5月14日 対応 NHSデジタルが全トラストに身代金を支払わないよう助言する文書を送付した[1]
  5. 5月16日 復旧 救急患者を他院へ転送しているトラストが2つにまで減った[1]
  6. 5月19日 復旧 午後5時30分、NHSイングランドがインシデント対応を終了した[1]
  7. 7月 公表 保健省が、前年に受けていたサイバーセキュリティに関する指摘への正式な回答を公表した[1]
  8. 10月27日 公表 英国会計検査院(NAO)がWannaCryとNHSに関する調査報告書を公表した[1]
  9. 12月 公表 英国家サイバーセキュリティセンター(NCSC)が、WannaCryは北朝鮮のLazarus Groupによるものと高い確度で評価したと米国などと歩調を合わせて公表した[2]

攻撃した側について

公的機関が名指しした攻撃者 Lazarus Group

英国家サイバーセキュリティセンター(NCSC)は、2021年2月の米司法省・FBIによる北朝鮮工作員の訴追を受けた発表の中で、2017年12月に米国・オーストラリア・カナダ・ニュージーランド・日本と歩調を合わせ、WannaCryをLazarus Groupによるものと評価していたと説明している。NAOの本報告書自体は攻撃者の身元には触れていない

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

  1. Investigation - WannaCry cyber attack and the NHS National Audit Office (英国会計検査院)、2017年10月27日、公的機関の資料
  2. UK supports US charges against North Korean cyber actors National Cyber Security Centre (英国家サイバーセキュリティセンター)、2021年2月17日、公的機関の資料