なぜ病院はサイバー攻撃でよく狙われるのか？

病院が近年サイバー攻撃と対象になっており、病院の医療記録は個人の健康情報、診断、治療履歴、保険情報などを含むため、サイバー犯罪者にとって非常に価値のあるものです。

これらの情報を盗むことで、犯罪者は被害者になりすまし、医療サービスの不正利用、保険詐欺、さらには身代金要求のための情報としてダークウェブで販売することが可能になります。医療記録は他の個人識別情報（PII）と比較して、発見されにくく、そのため犯罪者にとってはより魅力的な対象となります。

この記事では、病院の医療記録がサイバー攻撃を仕掛けた犯人によってどう悪用されるのか、犯人がどのようにして病院の医療記録を盗み出すのか、そして私たちがどのようにして医療記録をサイバー犯罪者から守ることができるのかについて、詳しく説明します。

なぜ、病院の医療記録がサイバー攻撃で狙われるのか

病院の医療記録には、患者さんの個人情報や健康に関する大切なデータが含まれています。具体的には、患者さんが過去に受けた薬の処方、治療の履歴、診断結果など、医療に関する詳細な情報が記録されています。医療の専門家たちは、この記録をもとに患者さんの健康状態を正確に理解し、最適な治療を行うことができます。

医療提供者らは、医療記録を使用して患者の身元を特定して健康状態を把握し、適切な治療を提供することができます。

患者の医療記録の情報には、以下が含まれます。

病院の患者の医療記録の情報には、以下が含まれます。

• 名前
• 住所
• 重要な日付（生年月日、死亡日、入退院日）
• メールアドレス
• 電話番号
  
• 病歴
• 健康保険情報
• 財務情報
• 医療記録番号
• 処方情報
• マイナンバー番号

これらの情報は、個人情報の保護に関する法律（個人情報保護法）によって、医療情報を含む個人情報全般の取り扱いに関する規制を定めています。加えて、医療分野における個人情報の取り扱いに関しては、医療法による規制があります。医療法は、医療提供者が患者の秘密を守ることを義務付けています。

病院の医療記録を使って悪用する手口や内容

クレジットカード情報やログイン情報と違って、病院の医療記録は長期間にわたって存在し、改ざんも比較的簡単に行えるため、よくサイバー攻撃を仕掛けられる対象になっています。盗まれた病院の医療記録を使った不正行為は、特定が難しく、長期間発見されずに済むことが多いです。これにより、サイバー攻撃を仕掛けた犯人は病院の医療記録を様々な悪意ある目的で利用することが容易になります。

例えば、サイバー犯罪者は盗んだ医療記録を使って、偽の身元を作り上げたり、医療サービスを不正利用したりすることができます。このような状況を理解しやすく説明します。

個人情報の盗難

身元情報の盗難とは、不正行為者が他人の個人データを悪用し、その人物に成りすます詐欺行為です。特に、病院がサイバー攻撃を受けて盗まれた医療記録を用いることで、サイバー犯罪者は被害者の社会保障番号や生年月日などの重要な情報を入手し、インターネット上でその人物に成りすますことが可能になります。このような身元情報の盗難は、被害者に対して信用情報の損失、重大な借金、金銭的な損害、評判の悪化、さらには犯罪歴を背負わせるリスクをもたらすことがあります。

病院がサイバー攻撃を受けて、盗まれた医療記録を悪用することで、サイバー犯罪者は被害者の名前でローンを申し込んだり、被害者の銀行口座に侵入したり、失業給付金を不正に受け取るなどの行為を行うことがあります。こうした犯罪者は、主に盗んだ医療記録を使用して、不正に医療サービスを受けたり、福利厚生を享受したり、医薬品を入手したりすることで、被害者に成り代わります。

ランサムウェア

サ病院をサイバー攻撃を仕掛けるよくある手口には、ランサムウェアを使った攻撃があります。これは、医療機関のデータやデバイスを暗号化し、アクセスできないようにするマルウェアです。この攻撃により、犯罪者は医療提供者が保持する患者の医療記録を盗み出すことができます。犯罪者は、身代金を支払えばデータやデバイスの暗号化を解除すると約束しますが、支払いがなされない場合は盗んだデータを決して返さない、または公開すると脅迫します。

病院を狙ったサイバー攻撃として、ランサムウェアの被害は甚大で、Healthcare Diveの報告によると、2016年以降、医療業界に約775億ドルの損害を与えています。このような攻撃は、医療機関にとって重大なセキュリティ上の脅威となっており、患者の医療記録の安全性を脅かしています。

ダークウェブ

ダークウェブはインターネットの隠された部分で、通常の検索エンジンではアクセスできない特殊なエリアです。ここでは、ユーザーの身元を隠して安全な通信を可能にすることで、匿名性が保たれます。そのため、サイバー犯罪者たちはダークウェブを利用して、盗んだ個人情報の販売、違法薬物や武器の取引など、様々な違法行為を行います。

特に病院から盗まれた医療記録は、含まれる情報量が豊富であるため、ダークウェブで高い価値を持ちます。例えば、一般的な個人情報（社会保障番号やメールアカウントのログイン情報など）はダークウェブで1〜3ドル程度で売買されることがありますが、医療記録はその内容の重要性から、1,000ドル以上で取引されることもあります。これは、医療記録が提供する詳細な個人情報がサイバー犯罪にとって非常に価値があるためです。

病院にサイバー攻撃が仕掛けられる主な手口

サイバー犯罪者は、病院にサイバー攻撃を仕掛けて、医療提供者や利用者から貴重な医療記録を盗むために様々な手法を駆使します。医療機関では、患者の情報をオンラインで保存し、これらの医療記録にはしばしばリモートデスクトッププロトコル（RDP）を利用してアクセスされます。しかし、このRDPが安全でない場合、サイバー犯罪者はその脆弱性を突いて医療記録を奪うことがあります。病院によく仕掛けられるサイバー攻撃におけるリスクを把握することは、医療情報を守るために重要です。

総当たり攻撃（ブルートフォース攻撃）

総当たり攻撃（ブルートフォース攻撃）とは、試行錯誤し、サイバー犯罪者が照合できるまでユーザーのログイン認証情報を推測するサイバー攻撃の一種です。 サイバー犯罪者は、同じパスワードを再利用したり、組織のセンシティブデータにアクセスすると簡単に推測できる脆弱なパスワードを使用したりすることに頼っています。 不正アクセスに使用されるさまざまな種類の総当たり攻撃には、単純な総当たり攻撃、辞書攻撃、パスワードスプレー、クレデンシャルスタッフィングなどがあります。 組織が脆弱なパスワードを使用して医療記録やRDPを保護すると、サイバー犯罪者は総当たり攻撃を使用してパスワードを侵害し、患者の医療記録を盗むことができます。

中間者攻撃（MITM攻撃）

中間者攻撃（MITM攻撃）は、サイバー犯罪者が他の二者間の通信を盗聴して情報を盗む方法です。犯罪者は、通信している二人の間にこっそり入り込み、送られているデータを見たり、盗んだり、場合によっては内容を変えたりします。特に公共のWiFiネットワークは暗号化されていないことが多く、犯罪者はこれを利用して、そこに繋がっている人のインターネット使用状況を覗き見ます。

このサイバー攻撃の手法を使って、犯罪者は暗号化されていないWiFiネットワークを通じてアクセスされた病院の医療記録などの貴重なデータを盗み出すことができます。また、安全でないリモートデスクトップ接続（RDP）からも情報を盗むことがあります。多くのRDP接続が同じ「3389ポート」を使っているため、このポートが十分に守られていなければ、犯罪者は接続を乗っ取り、通過するデータを盗み見ることができます。

フィッシング攻撃

フィッシングは、人々をだまして個人情報を渡させる詐欺の手口で、ソーシャルエンジニアリング攻撃の一種です。犯罪者は、危険な添付ファイルやリンクが含まれたメールやメッセージを送ります。これらのリンクをクリックすると、悪意あるソフトウェアがダウンロードされたり、ログイン情報を盗むための偽のウェブサイトに誘導されたりします。

特に病院などの医療業界では、忙しさのあまり従業員がサイバーセキュリティの教育を受けられないことがあります。このため、知識がない、またはセキュリティ意識が低い従業員がサイバー攻撃の狙いやすい標的となり、組織の重要な情報をうっかり漏らしてしまうことがあります。

エクスプロイトキット

エクスプロイトキットは、サイバー犯罪者がコンピューターやデバイスのセキュリティ上の弱点を利用して、悪意のあるソフトウェア（マルウェア）を広めるために使うツールのセットです。人々が危険なウェブサイトや偽のウェブサイト、または悪意のある広告をクリックすると、彼らはエクスプロイトキットが用意したページへと誘導されます。このページで、システムの弱点を利用してマルウェアがこっそりとインストールされます。

医療機関のネットワークにマルウェアを仕込むのに、サイバー犯罪者がこのエクスプロイトキットをよく使用します。多くの医療機関が古いソフトウェアをそのまま使い続けたり、ソフトウェアのアップデートを怠ったりしているため、犯罪者は修正されていないセキュリティの弱点を見つけ出して攻撃することができます。このようにして医療機関のシステムにマルウェアが入り込むと、患者の医療記録などの貴重な情報が盗まれる可能性があります。

病院の医療記録をサイバー攻撃から保護する対策と方法

病院の医療記録をサイバー攻撃から保護するために、以下の対策を実行する必要があります。

いくつかのサイバー攻撃からの対策方法をご紹介します。

定期的にデータをバックアップする

病院などの組織は、クラウドサービスや外付けハードドライブで定期的にデータをバックアップし、常にデータにアクセスできるようにする必要があります。 データの紛失、盗難、漏洩などの不運な状況が発生した場合、組織はバックアップされたデータを常に利用することができます。これは特に、ランサムウェア被害の対策にとても効果的です。

インシデント対応プランを作成する

インシデント対応プランは責任を割り当て、セキュリティ侵害が発生した場合に従う手順を一覧表示します。 組織はサイバーセキュリティインシデントを処理するためにインシデント対応プランを作成する必要があります。 インシデント対応プランにより、組織はサイバー攻撃を特定し、被害を改善し、将来のサイバー攻撃の発生を防ぐことができます。

医療記録へのアクセスを制限する

組織は最小特権の原則を実践し、不正アクセスから機密情報を保護する必要があります。 最小特権原則は、従業員が個人情報データやリソースに十分なアクセスを提供し、仕事以上のことをさせないというコンセプトです。 最小特権の原則を実装することで、組織は医療記録にアクセスできる人を制限し、サイバー攻撃を仕掛けた犯人が組織のネットワーク内で横移動するのを防ぐことができます。

強力なパスワードで機密情報を保護する

組織は強力でユニークなパスワードで、センシティブデータを保護する必要があります。 組織は強力なパスワードを使用することで、サイバー犯罪者がパスワードを解読したり、機密情報にアクセスできるアカウントやシステムへの侵害したりすることを困難にします。 組織はRDP接続に強力なパスワードを使用して、サイバー犯罪者が不正アクセスするのを防ぐ必要があります。

強力なパスワードとは、大文字と小文字、数字、および少なくとも 16 文字の特殊文字をユニークでランダムな組み合わせにしたものです。 個人情報、連続した数字、文字、よく使用される辞書の単語は使用しないようにします。

従業員にサイバー攻撃について教育する

サイバー犯罪者は、サイバー攻撃に対して警戒心がなかったり、無知な従業員を標的にします。 従業員にサイバー攻撃について教育することで、病院の重要な個人情報データがサイバー攻撃を仕掛けた犯人の手に渡るのを防ぐことができます。 従業員はサイバー攻撃について学んで認識し、攻撃を避ける必要があります。

ウイルス対策ソフトウェアを使用する

ウイルス対策ソフトウェアとは、デバイスから既知のマルウェアを検出、防止、削除するプログラムです。 広告内の悪意のある添付ファイル、リンク、隠れたマルウェアからユーザーを保護できます。 ウイルス対策ソフトウェアは、着信マルウェアを検出し、デバイスに感染する前にそれを削除します。 強力なウイルス対策ソフトウェアを使用することで、組織はマルウェアにより医療記録が盗まれるのを防ぐことができます。

組織のソフトウェアを最新の状態に保つ

多くのサイバー犯罪者は古いソフトウェアを使用している組織を標的にしており、そのような組織は、悪用してマルウェアを感染させられるような脆弱なセキュリティ状態のことが多いものです。 サイバー犯罪者にマルウェアを感染させられないようにするために、組織はソフトウェアを最新の状態に保つ必要があります。 ソフトウェアアップデートは、既知のセキュリティ上の欠陥にパッチを適用し、組織への保護を強化する新しいセキュリティ機能を追加します。

まとめ：Keeper®を使用して医療記録を保護する

近年、病院を狙ったサイバー攻撃が特に顕著に増えています。

病院の医療記録が犯人の手に渡らないように、組織は特権アクセス管理（PAM）ソリューションに投資して守るのが効果的です。

PAMとは、センシティブデータやシステムにアクセスできる特権アカウントの管理と保護を意味します。 PAMソリューションにより、組織はデータインフラ全体を完全に可視化できるようになります。 このソリューションにより、特権アクセスを必要とするシステム、アプリケーション、アカウント、デバイスを追跡し、制御できます。 PAMソリューションは、センシティブデータへのアクセスが制限され、保護されるようにします。

KeeperPAM™は、​​エンタープライズパスワード管理（EPM）、Keeper シークレットマネージャー（KSM）、そしてKeeperコネクションマネージャー（KCM）という3つを組み合わせた特権アクセス管理ソリューションです。 KeeperPAMを使用すれば、組織は攻撃対象域を減らし、横方向の移動を最小限に抑え、病院の重要な個人情報データを制御できます。

無料版お試し版を配布しているので、まずは無料体験版をリクエストしてお試しください。