FireEye傘下のMandiantで最高技術責任者（CTO）を務めるチャールズ・カルマカル氏によると、病院がランサムウェア攻撃を受ける典型的な流れには複数のステップがある。

　攻撃者はまず病院のシステムへの侵入口を見つける。そのためにメールによるフィッシング攻撃や、ソフトウェアの脆弱（ぜいじゃく）性を利用するのが一般的だ。システムに侵入するとバックドアを仕掛け、ユーザーのPCにマルウェアをインストールする。COVID-19の拡大防止のために医療従事者が在宅勤務をするようになり、セキュリティ保護が十分でない自宅のPCから病院のシステムに接続したり、業務用PCで個人的なメールを閲覧したりする機会が出てきたことはリスク要因になる。企業ITに比べるとセキュリティが弱くなりがちな個人向けメールシステムを狙うフィッシング攻撃もある。

　次に、攻撃者は権限昇格を目的としてシステム内を移動する。そしてバックアップシステムやドメイン管理、「Windows」のOSそのものなど、止まると病院運営に重大な影響を与えるシステムにアクセスする管理者権限を奪取しようとする。

　最後に、攻撃者はITスタッフが手薄になりがちな週末のうちに、アクセスできる全てのシステムを暗号化する。

　ランサムウェア「NotPetya」によるサイバー攻撃が多発していた2017年6月、医療機関Heritage Valley Health Systemの関連病院が被害に遭った。その原因は、Heritage Valley Health Systemのネットワーク外部から不正アクセスがあり、ネットワーク内の1台のPCがマルウェアに感染したことだった。

　この攻撃で起訴されたのはロシアの攻撃者集団「Sandworm Team」だった。起訴状によると、マルウェアはHeritage Valley Health Systemから盗み出したユーザー資格情報を使って自己増殖し、最初に感染したPCからネットワーク内の別のPCへと感染が広がった。

　被害に遭った病院はマルウェアによってHDDやPCがロックされ、患者リストや診察記録、過去の検査記録といった中核的なシステムにアクセスできなくなった。システムの停止は機能によって1週間から1カ月に及んだ。

　セキュリティベンダーCybereasonで最高情報セキュリティ責任者（CISO）を務めるイスラエル・バラク氏によると、最近のランサムウェア攻撃はもはやファイルの暗号化にとどまらず、業務に支障を引き起こすことを目指している。

　ランサムウェア攻撃は、被害者を無力化して圧倒する。攻撃者は「被害者の基本的な業務能力を停止させることで最大限の効果が得られるように計画を設計している」とバラク氏は語る。大企業に攻撃を仕掛ければ、攻撃者は被害企業の業務能力を回復させることを条件として「総額数十万ドルから数百万ドルの身代金を要求できる」と同氏は指摘する。攻撃者はデータのロック解除や、盗み出したデータを公開しないことを引き換えに交渉することもあるという。

　第4回は、ランサムウェア攻撃に立ち向かうために医療機関が優先的に取り組むべきセキュリティ対策を紹介する。