事例・2022年
大阪急性期・総合医療センター ランサムウェア被害
大阪急性期・総合医療センター ランサムウェア被害（英語名 Osaka General Medical Center ransomware attack）は、医療で起きた事例です。侵入口、決定的な失敗、被害の順に、公表資料の記載だけで図にしました。
- 委託
- 認証
- 権限
- 更新
- 復旧
要点
- 侵入口 患者給食の委託事業者の給食センターに、リモート保守用のファイアウォール (SSL-VPN) の脆弱性か漏洩していたIDとパスワードで侵入され、常時接続のRDPで病院の給食サーバーに入られた
- 決定的な失敗 全ユーザーに管理者権限を与え、サーバーと端末のWindowsパスワードが共通で、アカウントロックアウトもなかった。
- 被害 電子カルテを含む基幹システムのサーバーの大部分が暗号化され、救急や予定手術、通常外来を制限した。
攻撃の道筋
入口から、決定的な失敗を経て、被害に至るまで。図の番号は下の説明と対応します。図の文言は事例の記録からの引用です。
- 1侵入口給食センター
患者給食の委託事業者の給食センターに、リモート保守用のファイアウォール (SSL-VPN) の脆弱性か漏洩していたIDとパスワードで侵入され、常時接続のRDPで病院の給食サーバーに入られた。
- 2決定的な失敗全ユーザーに管理者権限
全ユーザーに管理者権限を与え、サーバーと端末のWindowsパスワードが共通で、アカウントロックアウトもなかった。
- 3決定的な失敗電子カルテサーバー
電子カルテサーバーにウイルス対策ソフトが入っていなかった。
- 4被害救急や予定手術
基幹システムの再稼働に43日間、全体の診療システム復旧に73日間を要した。
- 1侵入口給食センター
患者給食の委託事業者の給食センターに、リモート保守用のファイアウォール (SSL-VPN) の脆弱性か漏洩していたIDとパスワードで侵入され、常時接続のRDPで病院の給食サーバーに入られた。
- 2決定的な失敗全ユーザーに管理者権限
全ユーザーに管理者権限を与え、サーバーと端末のWindowsパスワードが共通で、アカウントロックアウトもなかった。
- 3決定的な失敗電子カルテサーバー
電子カルテサーバーにウイルス対策ソフトが入っていなかった。
- 4被害救急や予定手術
基幹システムの再稼働に43日間、全体の診療システム復旧に73日間を要した。
被害
電子カルテを含む基幹システムのサーバーの大部分が暗号化され、救急や予定手術、通常外来を制限した。基幹システムの再稼働に43日間、全体の診療システム復旧に73日間を要した。調査・復旧費用は数億円以上、逸失利益は十数億円以上を見込む。情報漏洩の可能性は極めて低いとされた
決定的な失敗
- 1全ユーザーに管理者権限を与え、サーバーと端末のWindowsパスワードが共通で、アカウントロックアウトもなかった。
- 2電子カルテサーバーにウイルス対策ソフトが入っていなかった。
- 3外部接続の保守と脆弱性管理の責任分界が曖昧だった。
経過
2022年10月31日から148日間の記録。軸は日数の平方根で縮めています。
- 2022.10.310日目
サイバー攻撃で大規模システム障害が発生。ホームページで通常診療の停止を公表し、記者会見を開いた
- 2022.11.044日目
予定手術を再開
- 2022.12.1242日目
電子カルテを含む基幹システムが再稼働
- 2023.01.1172日目
全体の診療システムが復旧
- 2023.03.28148日目
調査委員会が調査報告書を公表
防げた手立て
番号は攻撃の道筋の図と対応します。
-
委託先を含む外部接続とリモート保守の台帳管理
効く場所 1 -
VPN機器の脆弱性管理の役割分担の文書化
効く場所 1 -
標準ユーザー運用と個別のパスワード
効く場所 2 -
アカウントロックアウト
効く場所 2 -
全サーバーへのウイルス対策ソフト導入
効く場所 3
関係するページ
手口、グループ、事例のつながりは、収録データの記録だけから引いています。
関係するグループ
収録データにはまだ出ていない
出典
- 大阪急性期・総合医療センター 情報セキュリティインシデント調査報告書 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会・2023-03-28
- 情報セキュリティインシデント調査報告書 概要 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会・2023-03-28
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）