「どうしてうちが…」病院幹部の一言が示す危機意識の現実

日本医科大武蔵小杉病院がランサムウェア攻撃を受け、約1万人分の患者個人情報が流出した。攻撃者は1億ドルという高額な身代金を要求しており、医療機関を狙ったサイバー攻撃の深刻さが改めて浮き彫りになった。病院側の「どうしてうちが…」という反応は、医療現場に根深く残る危機意識の問題を象徴している。

VPN装置から侵入、ナースコールシステムが標的に

2026年2月13日に報じられた今回の攻撃では、医療機器保守用のVPN装置が侵入経路となった。攻撃者はナースコールシステムのサーバーから個人情報を外部へ送信し、複数の端末を暗号化した。幸い電子カルテへの被害は確認されておらず、診療への大きな支障は生じていないとのことだが、バックアップによる復旧が機能した可能性が高い。

VPN経由の侵入は、既知の脆弱性の放置やパスワード管理の不備を強く示唆する。一般的にVPN装置は外部からアクセス可能な性質上、攻撃者にとって格好の標的となりやすく、定期的なセキュリティパッチの適用と強固な認証設定が不可欠とされている。

1億ドル要求の背景にある医療機関の特殊性

攻撃者が要求した1億ドルという金額は、医療機関の特殊性を反映している。病院は患者の生命に関わるシステムを抱えており、システム停止による影響が他業種と比較して深刻になりやすい。そのため攻撃者は高額な身代金を要求する傾向にあり、医療機関は特に狙われやすい標的となっている。

今回の攻撃では約1万人分の患者個人情報が流出したが、これには氏名や生年月日、診療科などの機微な情報が含まれている可能性が高い。医療情報は個人のプライバシーに直結するため、流出による影響は長期にわたって続く恐れがある。

「どうしてうちが」発言が示す根本的課題

報道で伝えられた病院関係者の「どうしてうちが…」という発言は、依然として当事者意識の希薄さを物語っている。サイバー攻撃は特定の有名組織だけを狙うものではなく、対策が不十分で脆弱性を抱える組織を機械的に探索し、侵入後にランサムウェアを発動させて脅迫する手法が一般的だ。

過去にも徳島県半田病院や大阪急性期・総合医療センターなど、医療機関を標的としたサイバー攻撃が相次いでいる。これらの事例を経てもなお同様の被害が繰り返される背景には、「自分たちは狙われない」という楽観的な認識があると考えられる。

医療現場に求められる意識改革

今回の事件は、医療機関におけるサイバーセキュリティ対策の見直しを迫るものだ。VPN装置のような外部接続機器については、定期的な脆弱性診断と迅速なパッチ適用が基本となる。また、医療機器メーカーとの連携を強化し、保守作業時のセキュリティ確保も重要な課題だ。

何より重要なのは、例外なく自らが標的になり得るという前提に立った対策の実施である。「どうしてうちが」ではなく「いつ狙われても不思議ではない」という危機意識の転換が、医療現場には急務となっている。