岡山県精神科医療センターのランサムウェア被害：侵入経路と経過

岡山県精神科医療センター病院（地方独立行政法人、精神科）JPランサムウェア

S=1:100 2 事実情報

2.1 侵入口

調査委員会は「保守用 VPN 装置への接続元 IP アドレス制限がなく、インターネット上から誰でも攻撃が可能であった」とし、原因として SSL-VPN への辞書攻撃、初期アクセスブローカーからの認証情報の購入、SSL-VPN の脆弱性の悪用の3つを挙げている。

出典: ソフトウェア協会 Software ISAC 岡山県精神科医療センター ランサムウェア事案調査委員会 ランサムウェア事案調査報告書 (pp.12–13, 16–17, 20–21, 30–31)

製品

Cisco ASA 5506-X（保守用 SSL-VPN）

CVE

記載なし

2.2 侵入後

約6日間、侵入者はネットワークをスキャンし、バックアップを探して破壊し、Active Directory から利用者とコンピュータの情報を窃取し、ウイルス対策ソフトを停止・削除し、共有フォルダの Office 文書を持ち出した。暗号化は5月19日13時10分から17時34分に行われ、仮想サーバ23台、共有ストレージ、仮想基盤の物理サーバ3台、その他の物理サーバ6台、端末244台が被害を受けた。共有ストレージのデータは全喪失した。契約していたオフラインバックアップは正しく取得されていなかった。

2.3 被害

病院と診療所で電子カルテが停止した。紙カルテで診療を続け、診療は止めなかった。岡山県警が情報の窃取と漏洩を確認し、推定で氏名、住所、生年月日、病名を含む最大4万人分の個人情報が漏洩した。復旧には約3か月かかり、暗号化を免れた DWH サーバからデータを戻した。

2.4 経過表

S=1:100 3 分析

S=1:100 4 結論

S=1:100 5 再発防止策

提言・実施の主体: 病院（調査報告書に記載の実施済み対策）

1. 多要素認証と接続元制限のある仕組みで VPN を置き換える。
2. ビルトイン Administrator の使用をやめ、管理者は個別の ID と16桁以上のパスワードにする。
3. リモートデスクトップに接続元制限とロックアウトを設定する。
4. 電子カルテシステムを標準ユーザーで運用できるよう改修する。
5. ベンダー独自の VPN 機器について、ファイアウォールを刷新し接続元 IP アドレスを制限する。
6. 5回連続で認証に失敗したらロックアウトする。

出典: ソフトウェア協会 Software ISAC 岡山県精神科医療センター ランサムウェア事案調査委員会 ランサムウェア事案調査報告書 (pp.12–13, 16–17, 20–21, 30–31)

出典

出典: ソフトウェア協会 Software ISAC 岡山県精神科医療センター ランサムウェア事案調査委員会 ランサムウェア事案調査報告書 (pp.12–13, 16–17, 20–21, 30–31)