「医療機関へのランサムウェア攻撃」が患者にもたらす「重大」な被害とは？

セキュリティ専門家は、米国の大手医療グループUniversal Health Services（UHS）に対するランサムウェア被害を深刻な事態と認識している。その理由は。

公開 2022年06月02日 05時00分

更新 2022年10月05日 10時18分

著者

Makenzie Holland

[TechTarget]

印刷する連載新着通知を受け取る

　米国の大手医療グループUniversal Health Services（UHS）は、2020年9月にランサムウェア（身代金要求型マルウェア）攻撃を受けてシステム障害が発生し、米国全土約400カ所の医療機関の運営に影響が及んだ。

　医療機関向けセキュリティベンダーCynergisTekのプレジデントであるケーレブ・バーロウ氏は、この事件を重く捉えている。被害規模はもちろんのこと、場合によっては患者を別の病院へ転院させる必要が生じるからだ。「もし約400カ所の医療施設が患者をよそへ回し始めたならば、国家として、この件について全く別のレベルで議論しなければならなくなる」（バーロウ氏）

医療機関がランサムウェア攻撃を受けた後、患者に及ぶ「重大」な被害とは

併せて読みたいお薦め記事

連載：ランサムウェアに狙われる医療機関　対抗策は

前編：ランサムウェアが医療機関のネットワークを止めた　その恐ろしい手口は

医療機関を狙うランサムウェア

　「救急医療には『ゴールデンアワー』がある」とバーロウ氏は説明する。重症外傷の場合、受傷から1時間以内に決定的治療（手術や止血など）を開始できるかどうかで生死が分かれる。この最初の1時間をゴールデンアワーと呼ぶ。その時間内に救急隊は外傷患者を安全に病院へ搬送しなければならない。患者の転送が必要になると、治療方針に影響を与えることになる。

　2020年9月に、ドイツのUniversitaetsklinikum Duesseldorf（デュッセルドルフ大学病院）がランサムウェア攻撃を受けた。攻撃の結果システムがダウンし、その影響で1人の患者が転院を余儀なくされ、近隣都市の病院に運ばれたが、後日死亡した。

　UHSの事件はデュッセルドルフ大学病院の事件と異なり、「犯人の非情さを見る限り、解読キーを渡しそうな気配を感じない」とバーロウ氏は言う。「新型コロナウイルス感染症（COVID-19）のパンデミック（世界的大流行）のさなかにこの規模のシステムを停止させようというのだから、もはや共感を期待できる相手ではない」（同氏）

　サイバーセキュリティの専門家は、UHSを狙ったランサムウェアは「Ryuk」だと推測している。Syracuse University（シラキュース大学）情報学部准教授のリー・マックナイト氏は、UHSに対するRyukの攻撃について「周到に計画されているだけでなく、金もうけが目的のように見える」と語る。マックナイト氏の見方では、この攻撃者集団はプロフェッショナルであり、サイバー攻撃が本業なのだと考えられる。一度に400カ所の病院を閉鎖させるという、いわゆる“大物狩り”だ。「UHSの事件はたまたま当たったようなものではなく、さらにひどいことになる予感がする」とマックナイト氏は言い添える。

　バーロウ氏も「ランサムウェア攻撃は急速に進化しているが、医療機関はその変化のペースに適応できていない」と警告する。当初、ランサムウェア攻撃が医療機関を標的にし始めた頃、要求される身代金は少額であったため、医療機関は身代金を支払い、損害を保険で回収できた。今日、その戦略はもはや金額的に通用しない。医療機関がこの問題を根絶する唯一の方法は、身代金の支払いを止めることだ。

　今やランサムウェアの身代金は数百万ドル単位になり、攻撃によって患者の生命が身体機能の面から脅かされていることが分かっている。「あらためて問い直すべきだ。今こそ、社会として、今後はこうした金を払わないことで合意すべきではないか」とバーロウ氏は強調する。「犯罪者の行為を変える唯一の方法は、悪人の経済学を変えることだ」（同氏）