事例S=1:500S=1:100
大阪急性期・総合医療センターのランサムウェア被害：侵入経路と経過
給食委託事業者の修正されていない VPN 機器から侵入され、常時接続のリモートデスクトップを通って病院の中に入られた。
1 概要
2022年10月31日（月）7時45分、出勤したヘルプデスク職員が電子カルテの障害と身代金要求のメッセージを確認した。病院は紙カルテに切り替え、救急の受け入れを止めた。基幹システムの再稼働まで43日、全体の復旧まで73日かかった。調査委員会は、侵入口を給食委託事業者側の VPN 機器と推定した。
推定原因: 給食委託事業者の修正されていない VPN 機器から侵入され、常時接続のリモートデスクトップを通って病院の中に入られた。
出典: 大阪急性期・総合医療センター 調査委員会 大阪急性期・総合医療センター 情報セキュリティインシデント調査報告書 概要 (pp.1–3)
VPN 機器は病院の給食委託事業者側のもの。侵入者はそこから常時接続の RDP で病院に入った。
S=1:100 2 事実情報
2.1 侵入口
調査委員会は、給食システムに「情報基盤構築事業者がリモート保守のために設置したVPN機器の脆弱性を用いて侵入（漏洩され公開されていたID・パスワード情報を用いて侵入された可能性もある）」とし、その後 RDP で病院の給食サーバに侵入したと推定している。
出典: 大阪急性期・総合医療センター 調査委員会 大阪急性期・総合医療センター 情報セキュリティインシデント調査報告書 概要 (pp.1–3)
- 製品
- 給食事業者側の Fortinet FortiGate
- CVE
- CVE-2018-13379
2.2 侵入後
給食事業者側では、共通で弱い管理者パスワードが辞書攻撃で破られた。給食事業者側から病院の給食サーバの管理者パスワードを解析され、RDP でログインされてウイルス対策ソフトをアンインストールされた。他のサーバも ID・パスワードが共通だったため、電子カルテを含む基幹システムに広がり、サーバの大部分が暗号化された。調査委員会は、個人情報漏洩の可能性は極めて低いとしている。
2.3 被害
電子カルテを含む基幹システムの再稼働は43日目（2022年12月12日）、全体の診療システムの復旧は73日目（2023年1月11日）だった。院内に約2,200台ある端末の一部に不正アクセスの痕跡があった。1台ずつ安全を確かめることはできないため、すべてのサーバと端末をクリーンインストールした。2022年11月の新入院患者数は前年同月比33.3%。調査・復旧費用は数億円以上、逸失利益は十数億円以上と見込まれている。
2.4 経過表
| 時刻 | 主体 | 出来事 | 出典 |
|---|---|---|---|
| 2022-10-31 04:07 | 侵入者 | 給食事業者側のサーバから病院の給食サーバへ大量の RDP 通信（4時10分まで）。 | 大阪急性期・総合医療センター 調査委員会 |
| 2022-10-31 06:50 | 病院 | 重症システムに障害。 | 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 |
| 2022-10-31 07:10 | 病院 | 基幹システムに障害。 | 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 |
| 2022-10-31 07:45 | ヘルプデスク | 職員が出勤し、障害と身代金要求のメッセージを確認。 | 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 |
| 2022-10-31 08:30 | システムベンダー | ランサムウェア感染を確認し、遮断。 | 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 |
| 2022-10-31 08:50 | 病院 | 幹部職員を招集し、紙カルテ運用への切り替えを指示。 | 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 |
| 2022-10-31 17:00 | 病院 | ホームページに初報を掲載。 | 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 |
| 2022-10-31 18:00ごろ | 給食側の構築事業者 | VPN 機器のファームウェアをバックアップなしで更新し、ログが消失。 | 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 |
| 2022-12-12 | 病院 | 電子カルテを含む基幹システムが再稼働（43日目）。 | 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 |
| 2023-01-11 | 病院 | 全体の診療システムが復旧（73日目）。 | 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 |
| 2023-03-28 | 調査委員会 | 調査報告書を公表。 | 大阪急性期・総合医療センター 調査委員会 |
S=1:100 3 分析
| 項目 | 判断 | 出典 |
|---|---|---|
| 給食事業者の VPN 機器には CVE-2018-13379 があり、管理者の ID とパスワードを保存したファイルを窃取できた。 | 記載 | 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 |
| 同機器のアドレス、ID、パスワードは公開されたリストに載っており、委員会はそれを使った侵入を「合理的」と判断した。 | 記載 | 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 |
| 給食事業者と病院の間の RDP 接続が常時接続になっていた。 | 記載 | 大阪急性期・総合医療センター 調査委員会 |
| Windows のパスワードはサーバ・端末ですべて共通で、アカウントロックアウトの設定もなかった。 | 記載 | 大阪急性期・総合医療センター 調査委員会 |
| 侵入者が潜んでいた期間。10月31日夕方にバックアップを取らずにファームウェアを更新したため、VPN 機器の Syslog が失われた。 | 不明 | 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 |
S=1:100 4 結論
調査委員会は、給食事業者の VPN 機器から脆弱性または公開された認証情報で侵入され、RDP で病院に入り、パスワードの共通化とロックアウトの未設定によって広がったと結論した。「VPN機器の管理やRDP接続の運用などが適切になされていれば被害を免れた可能性がある」としている。
S=1:100 5 再発防止策
提言・実施の主体: 調査委員会
- 外部通信機器ごとに、保守の範囲と脆弱性管理の役割分担を文書で確認する。
- リモート保守を許可する基準を定め、許可の前に接続元のセキュリティ環境を確認する。
- リモート保守のたびに目的と時間を確認し、通信ログを確認する。
- Windows のパスワードをサーバ・端末ごとに個別化し、アカウントロックアウトを有効にする。
- 利用者は管理者権限のない標準ユーザーにし、電子カルテサーバにもウイルス対策ソフトを入れる。
- 診療系ネットワークにつながる機器をすべて情報資産として洗い出し、リスク分析を行う。
出典: 大阪急性期・総合医療センター 調査委員会 大阪急性期・総合医療センター 情報セキュリティインシデント調査報告書 概要 (pp.1–3)
出典
出典: 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 調査報告書 (pp.11–12, 18–19, 36–41, 45–47; pp.11, 37, 45–46, 71)大阪急性期・総合医療センター 調査委員会 大阪急性期・総合医療センター 情報セキュリティインシデント調査報告書 概要 (pp.1–3)