事例S=1:500S=1:100
つるぎ町立半田病院のランサムウェア被害：侵入経路と経過
業者のリモート保守のために置いた VPN 機器が修正されないまま使われ、そのログイン情報はすでにインターネット上に公開されていた。
1 概要
2021年10月31日未明、院内の複数のプリンタが「データを窃取し暗号化した」という文書を一斉に印刷し始め、電子カルテが使えなくなった。病院は救急と新規患者の受け入れを止めた。通常診療の再開は2022年1月4日である。有識者会議は、業者がリモート保守に使う VPN 機器から侵入された可能性が高いと結論した。
推定原因: 業者のリモート保守のために置いた VPN 機器が修正されないまま使われ、そのログイン情報はすでにインターネット上に公開されていた。
出典: 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案 有識者会議調査報告書 (printed pp.6–7, 13, 16, 21–22; pp.6–9, 13, 21, 37–38)
S=1:100 2 事実情報
2.1 侵入口
有識者会議は「侵入経路としては導入している仮想プライベートネットワーク（…「VPN」という。）装置の脆弱性を悪用して侵入したものと思われる」とし、技術編で「侵入経路は VPN 装置であると考えるのが合理的である」と結論している。
出典: 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案 有識者会議調査報告書 (printed pp.6–7, 13, 16, 21–22; pp.6–9, 13, 21, 37–38)
- 製品
- Fortinet FortiGate（リモート保守用 VPN 機器）
- CVE
- CVE-2018-13379
2.2 侵入後
発覚前の10月30日23時57分には、すでにリモートデスクトップの操作が記録されていた。Active Directory はパスワード5文字以上・ロックアウトなしの設定で、ビルトイン Administrator のパスワードは全 PC で共通、電子カルテの動作を優先してウイルス対策ソフトは止められていた。被害を受けた端末は40台。2018年以降のバックアップデータは削除され、2018年までのオフラインバックアップは残っていた。
2.3 被害
救急・新規患者の受け入れを止め、手術を延期し、事業継続計画に基づいて紙で診療を続けた。通常診療の再開は2022年1月4日で、約2か月かかった。身代金は払っていない。報告書に被害額の記載はない。
2.4 経過表
| 時刻 | 主体 | 出来事 | 出典 |
|---|---|---|---|
| 2021-10-30 23:57 | 侵入者 | 院内システムでリモートデスクトップ操作（後の調査で判明）。 | 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 |
| 2021-10-31 | 病院 | 未明、複数のプリンタがデータの窃取と暗号化を告げる文書を大量に印刷。 | 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 |
| 2021-10-31 00:30 | 病院 | 電子カルテの不具合を確認し、システム担当者に通報。 | 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 |
| 2021-10-31 03:00 | 病院 | 到着したシステム担当者が電子カルテのネットワークを遮断。 | 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 |
| 2021-10-31 08:00 | 病院 | ランサムウェア感染を確認。 | 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 |
| 2021-10-31 08:55 | 病院 | 徳島県警察本部に相談し、被害届が受理される。 | 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 |
| 2021-10-31 10:00 | 病院 | 災害対策本部を正式に発足。BCP に基づき紙で医療を続ける。 | 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 |
| 2021-11-03 15:00 | 保守事業者（A社） | FortiGate の VPN のファームウェアを更新。ログの保存などを考慮せずに行われた。 | 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 |
| 2022-01-04 | 病院 | 電子カルテシステムが再稼働し、通常診療を再開。 | 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 |
| 2022-06-07 | 有識者会議 | 調査報告書を提出。 | 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 |
S=1:100 3 分析
| 項目 | 判断 | 出典 |
|---|---|---|
| VPN 機器の CVE-2018-13379 が修正されていなかった。 | 記載 | 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 |
| 2021年9月に公開された約8.7万台分の FortiGate 認証情報に、病院のグローバル IP アドレス、ID、パスワードが含まれていた。 | 記載 | 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 |
| 接続元 IP アドレスの制限がなく、インターネット上のすべてのシステムから接続できた。 | 記載 | 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 |
| 有識者会議は侵入口を VPN 機器とした。ログと証跡が残っていないため、標的型メールや RDP の公開、内部犯行などと比べたうえでの推論である。 | 推定 | 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 |
| 最初に侵入された日時。 | 不明 | 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 |
S=1:100 4 結論
有識者会議は、病院の VPN 機器の脆弱性と流出した管理者の認証情報を使って侵入され、パスワードが共通で防御機能が止められた院内ネットワークで被害が広がった可能性が高いと結論した。また、VPN の脆弱性について事業者から病院への情報提供がなかったことを指摘している。
S=1:100 5 再発防止策
提言・実施の主体: 有識者会議
- VPN 機器を含むネットワーク機器の脆弱性を管理する。
- 保守用 VPN と管理画面への接続元 IP アドレスを制限する。
- バックアップをオフラインかつ別の場所に保管する。
- 利用者の権限を必要最小限にし、Active Directory の設定を強化する。
- セキュリティ情報を提供する事業者を選び、その責任を明確にする。
出典: 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案 有識者会議調査報告書 技術編 (printed pp.9–11, 14–15; pp.10–14)徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案 有識者会議調査報告書 (printed pp.6–7, 13, 16, 21–22; pp.6–9, 13, 21, 37–38)
出典
出典: 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案 有識者会議調査報告書 (printed pp.6–7, 13, 16, 21–22; pp.6–9, 13, 21, 37–38)徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案 有識者会議調査報告書 技術編 (printed pp.9–11, 14–15; pp.10–14)