第2章 攻撃はどう入ってくるか
執筆者／監修
菅沼 大樹 SUGANUMA Daiki
株式会社ウェブリク 代表取締役
情報処理安全確保支援士（国家資格 第024888号）
医業経営コンサルタント（登録番号8645号）
国立大学法人 電気通信大学卒。
大手 SIer でのシステム開発とシンガポールの広告代理店でのマーケティングを経て、2016年に株式会社ウェブリクを設立。病院専門のホームページ制作と採用支援に取り組む。
第 1 章で、入口の 9 割近くは「外から院内につながる機器」だと見ました。
この章では、調査報告書を公表した 4 つの病院の事例で、実際にどこから入られ、なぜ院内に広がり、何日止まったかを見ます。
4 件に共通したことが、第 3 章のチェックリストの項目そのものです。
4 件の年表
2018 年から 2024 年までに、報告書を公表した病院が 4 つあります。
国の対応は、事例のあとを追うように出てきました。
4 件で何が起きたか
4 件を同じ観点で並べます。
入口、院内に広がった理由、バックアップの 3 行を横に読んでください。
| 観点 | 宇陀市立病院 2018 年 10 月 一般病床 176 床 | 半田病院 2021 年 10 月 一般病床 120 床 | 大阪急性期・ 総合医療センター 2022 年 10 月、865 床 | 岡山県精神科 医療センター 2024 年 5 月、精神病床 255 床 |
|---|---|---|---|---|
| 入口 | 分かっていない。 記録を残さないままシステムを再設定したため、調べられなかった | VPN 装置の弱点（脆弱性）。 装置の管理者のパスワードは、インターネットの闇市場で公開されていた | 給食を委託していた事業者のデータセンター。 半田病院と同じ VPN 装置の脆弱性から事業者に入り、業務では使っていなかった保守回線（リモートデスクトップ）を通って病院へ | データセンターに置かれた保守用の VPN 装置（推定）。 ID とパスワードは推測しやすく、2018 年の設置以来、脆弱性が修正されていなかった |
| 院内に広がった理由 | パスワードが 5 桁、全員が管理者権限、サポートの切れた Windows 7、止まっていたウイルス対策ソフト | サーバと端末のパスワードが共通、全員が管理者権限 | VPN 装置の管理者パスワードが院内の全サーバと端末で共通、全員が管理者権限 | |
| バックアップと BCP | バックアップ用の磁気テープが装填されておらず、データが保存されていなかった | 地震用に作ってあった BCP を発動 | オフラインのバックアップが無事で、翌日から一部の診療情報を参照できた | オフラインバックアップが正しく取れておらず、中古のサーバで仮稼働するまで 2 週間 |
| 通常診療に戻るまで | システムは当日に再稼働。 患者 3,835 人分のうち 1,133 人分の診療データが消え、復元まで約 5 か月 | 65 日（電子カルテの再稼働まで） | 72 日（端末 2,200 台を初期化） | 90 日 |
| 費用 | 約 3,800 万円 | データ復旧会社に 7,000 万円 | 調査と復旧の費用が数億円以上、診療制限による逸失利益が数十億円以上 | 復旧の工数は 65 人月。 パソコン 200 台を新しくした |
横に読むと、入口と広がった理由は 4 件でほとんど同じで、戻るまでの長さを分けたのはバックアップです。
共通点は次の節で、日数と費用はその次の節で見ます。
以下は、表に入らない、それぞれの病院の経緯です。
宇陀市立病院（2018 年 10 月、一般病床 176 床）
電子カルテの運用開始から 2 週間後にランサムウェアに感染しました。
システムはその日のうちに再稼働しましたが、バックアップが保存されておらず、消えた診療データの復元に長くかかりました。
感染の 2 週間後には厚生労働省と奈良県の立入検査があり、行政指導を受けました。
半田病院（2021 年 10 月、一般病床 120 床）
徳島県つるぎ町立半田病院です。
院内が表の状態だったため、1 台に入られると全部に広がりました。
報告書は、ベンダーの責任の分担が曖昧だったことを強く指摘しています。
一方で、地震用に作ってあった BCP を発動し、当日に記者会見と警察への相談を行った初動は評価されています。
大阪急性期・総合医療センター（2022 年 10 月、865 床）
入口は病院ではなく、給食を委託していた事業者のデータセンターでした。
自院の機器を守っていても、取引先から院内につながる回線が入口になることを示した事例です。
画像や文書のシステムが感染を免れ、オフラインのバックアップが無事だったことが、復旧を支えました。
岡山県精神科医療センター（2024 年 5 月、精神病床 255 床）
攻撃者は 5 月 13 日に侵入し、6 日かけて院内を調べたあと、19 日にサーバと端末を暗号化しました。
最大約 4 万人分の要配慮個人情報が漏えいした可能性があり、記者会見とコールセンターの設置に至りました。
4 件に共通した入口
入口は、自院か取引先の VPN 装置と保守回線です。
宇陀市立病院は記録が無く分かりませんが、残る 3 件は「外につながる機器の弱点を放置していた」点で同じです。
しかも、大阪急性期・総合医療センターと岡山県精神科医療センターの VPN 装置の脆弱性は、半田病院の報告書がすでに公開していたものと同じでした。
入られた後に広がった理由も同じです。
図の「院内で広がった理由」の 4 つは、どれも第 3 章のチェックリストの 2-④（権限）、2-⑥（更新）、2-⑧（使い回し）に対応します。
報告書が共通して挙げるのが「閉域網神話」です。
「病院のネットワークは外につながっていないから安全だ」という思い込みが、病院とベンダーの双方にあり、VPN 装置や保守回線が「外への口」であることを誰も見ていませんでした。
ベンダーとの保守の範囲が曖昧で、脆弱性の情報を通知する取り決めが契約に無かったことも共通していて、これは第 4 章で扱います。
全国で見ても同じです。
警察庁が感染経路を把握できた件数では、VPN 機器とリモートデスクトップが 2021 年から 5 年続けて 7 割を超え、2025 年は 9 割近くになりました。
4 つの病院は例外ではなく、全国の傾向そのものです。
出典: 警察庁「サイバー空間をめぐる脅威の情勢等について」令和3年〜令和7年の統計データ（2026-10-02 取得）。
IPA「情報セキュリティ白書2026」図 1-1-17（p.16）を基に、元の件数で作成
止まった日数と費用
出典: 各病院の調査報告書（公表値のみ。
この章の末尾）
図は、表の「通常診療に戻るまで」の行を長さで並べたものです。
この間、外来の受付、会計、処方、検査はすべて紙と手作業に戻ります。
日数を分けたのはバックアップで、表の「バックアップと BCP」の行がその違いです。
警察庁の統計でも、バックアップを取っていた組織の多くが、そこから復元できていません（第 5 章の図 5-4）。
「取ってある」と「戻せる」は別です。
費用は、公表された範囲で表の「費用」の行のとおりです。
200 床に満たない 2 つの病院でも、数千万円かかりました。
身代金は、4 病院とも払っていません。
半田病院では、データ復旧会社が犯罪者集団に 300 万円を払って鍵を得たと見られています。
「払わない」と決めても、復旧の過程で間接的に金が渡ることがある、という教訓を残しました。
4 つの病院の病床は 120 床から 865 床までで、全国の統計でも被害は組織の大きさを選んでいません（第 1 章）。
出典: 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」統計編 P122（2026-09-24 取得）
病院の外で、2025 年に起きたこと
病院以外でも、2025 年には大きな被害が公表されました。
IPA の情報セキュリティ白書2026（IPAサイト）は、2 つの事例を公表資料にもとづいて紹介しています（p.21〜23）。
出典: 各社の公表資料。
IPA「情報セキュリティ白書2026」表 1-2-1、表 1-2-2（p.21〜22）を基に作成
経過は図のとおりで、アサヒグループが気づいたのは一斉に暗号化されたあとでした。
アスクルでは、多要素認証をかけていなかった業務委託先に渡していた管理者アカウントの ID とパスワードが漏れ、不正に使われました。
侵害されたデータセンターのサーバには EDR（端末の不審な動きを見つけて止める仕組み）が入っておらず、24 時間の監視もしていなかったため、すぐに気づけなかったとしています。
アスクルではバックアップの一部も暗号化され、侵入の原因は当時のログが削除されていて完全には究明できない、としています。
業種は違っても、病院の 4 件と同じ 3 点が並びます。
- 外につながる機器と、委託先に渡したアカウント
- 弱いパスワードと、強すぎる権限
- 戻せないバックアップ
もう 1 つ、ログが無いと、何が起きたかを後から確かめられません。宇陀市立病院で入口が分からなかったのと同じです。
第 3 章の 2-⑬（アクセスログ）の意味がここにあります。
攻撃は分業になっている
「うちのような病院が、なぜ狙われるのか」への答えの 1 つが、攻撃の分業です。
白書は、ランサムウェアを作って貸す者、盗んだ ID とパスワードなどの入口を売る者、それを買って攻撃を実行する者に分かれていると説明しています（p.19〜20）。
出典: 警察庁「令和6年上半期におけるサイバー空間をめぐる脅威の情勢等について」。
IPA「情報セキュリティ白書2026」図 1-2-2（p.20）を基に作成
白書の言葉では、この仕組みで「攻撃の実行者が技術的な専門知識を有する必要なく容易に攻撃可能」になりました。
病院だから狙われるというより、外につながる機器に弱点があれば、入られる側に回ります。半田病院の VPN 装置のパスワードが闇市場に出ていたのは、この「入口の売買」です。
暗号化せず、データを盗むだけで「公開する」と脅す手口もあり、警察庁は「ノーウェアランサム」と呼んでいます。
2025 年の報告は 17 件で、画面が止まらないので気づきにくいのが特徴です。
国が示した VPN 装置の確認 5 点
4 件目の岡山の事例のあと、厚生労働省は 2026 年 3 月 19 日の事務連絡（厚生労働省PDF）で、VPN 装置の脆弱性を突いた不正アクセスがランサムウェア感染の主要な原因だと明記し、5 つの確認事項を示しました。
事務長がベンダーに聞く形にすると、次のようになります。
押すと、原文の要旨と聞き方が開きます。
1VPN 装置の保守は、誰の責任か契約に書いてありますか
原文の要旨: 委託先との責任分界を契約で明確にしているか。
医療機関は保守されていると思い、事業者は保守対象でないと思っていた事例が多発している聞き方: 「うちの VPN 装置の更新は、御社の保守契約の範囲ですか。
契約書のどこに書いてありますか」。
半田病院で起きたのは、まさにこの食い違いでした。2VPN 装置は、メーカーのサポートが切れていませんか
原文の要旨: VPN 装置がサポート終了（EOS）の製品になっていないか。
サポート終了の直前の機器を買った事例もある聞き方: 「機種名とサポート終了日を教えてください」。
岡山の装置は 2018 年の設置以来、更新されていませんでした。3管理画面が、インターネット側から見える状態になっていませんか
原文の要旨: 不要なポートや SSH 等の管理機能がインターネット側に露出していないか
聞き方: 「外から装置の管理画面に入れる設定になっていませんか。
確かめた結果を書面でください」。4保守回線は、使うときだけつなぐ運用になっていますか
原文の要旨: VPN 接続が「常時接続」のまま放置されていないか。
業務上必要なとき以外は遮断する聞き方: 「保守のときだけつなぐ運用にできますか。
つないだ記録は残りますか」。
大阪急性期では、業務で使っていない保守回線が常時つながっていました。5VPN 装置に入るとき、パスワードだけになっていませんか
原文の要旨: 多要素認証やアクセスコントロールが実施されているか
聞き方: 「二要素認証にできますか。
できないなら、接続できる相手を制限できますか」。
岡山の装置のパスワードは、誰でも推測できるものでした。
人を狙う 2 つの手口
ここまでは機器から入る攻撃でした。
チェックリストの項目からは外れますが、事務長の部門が直接狙われる手口も増えています。
白書は、IPA の企業組織向けサイバーセキュリティ相談窓口（IPAサイト）に寄せられた相談から、2 つを挙げています（p.51〜53）。
- 1偽社長メール差出人の表示名は院長や理事長、アドレスはフリーメール。
「LINE のグループを作って QR コードを返信して」と指示し、やり取りを外に移します。
ホームページの「お問い合わせ先」に届く例が多く、2025 年 12 月から相談が寄せられています。
報道では、会社の資金を送金させられた被害が確認されています。白書 p.51〜52 - 2サポート詐欺サイトを見ているときに、偽のウイルス感染の警告と電話番号が出ます。
電話すると、遠隔操作のソフトを入れるよう誘導されます。
企業や組織からの相談のうち、約 6 割が遠隔操作まで進んでいました。白書 p.52〜53
AI で合成した社長の声で部下に電話をかけ、送金を指示した事例も、2025 年に日本企業で報告されています（p.71）。
守りは 3 つです。
- 振込は、承認を 2 人で行い、指示した本人にはメールと別の方法で確かめる。
- 画面に出た電話番号には電話しない。おかしいと思ったら、まず院内の担当に伝えます。
- ネットバンキングは、専用の端末で行う。
困ったときの相談先は、第 6 章の「頼れる先」にまとめています。
事例から、第 3 章の項目へ
4 件の報告書が指摘した不備は、そのまま令和8年度版チェックリストの項目になっています。
第 3 章で確かめるときの目印にしてください。
- VPN 装置と保守回線の把握 → 2-②（リモート保守の機器の有無をベンダーに確認）、2-⑬（アクセスログ）
- 共通のパスワードと全員が管理者 → 2-④（権限の区分）、2-⑦（パスワードの長さ）、2-⑧（使い回しの禁止）
- 更新していない端末、止まったウイルス対策 → 2-⑥（更新プログラム）、2-⑩（不要なソフトの停止）
- 戻せないバックアップ → 3-②（オフラインバックアップと復旧手順）
- 紙で診療を続けた BCP → 3-③（サイバー攻撃を想定した BCP）
- ベンダーとの責任の分担 → 第 4 章（事業者確認用チェックリストと役割分担確認表）
4 つの記事
それぞれの事例は、報告書をもとにした記事にまとめています。
経緯の日付、感染経路、報告書が挙げた課題を載せています。
自院で確かめること
この章で引いた資料
- 宇陀市立病院 令和元年度随時監査（ICT 監査）結果報告書、2020 年 2 月（宇陀市PDF）
- つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議調査報告書、2022 年 6 月（半田病院サイト）
- 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会報告書（大阪急性期・総合医療センターサイト）
- 岡山県精神科医療センター ランサムウェア事案調査報告書（岡山県精神科医療センターサイト）
- 医療機関等におけるサイバーセキュリティ対策の強化について（注意喚起）、令和 4 年 11 月 10 日（厚生労働省PDF）
- VPN 装置等のネットワーク機器におけるセキュリティ対策の徹底について（事務連絡）、令和 8 年 3 月 19 日（厚生労働省PDF）
- 令和7年におけるサイバー空間をめぐる脅威の情勢等について、2026 年 3 月、統計データ。
令和3年〜令和6年の統計データも同じページ（警察庁サイト） - 情報セキュリティ白書2026、2026 年 9 月（IPAサイト）
- 企業組織向けサイバーセキュリティ相談窓口（IPAサイト）
事例の日付、日数、費用は各病院が公表した調査報告書と監査報告書によります。
2 社の事例は各社の公表資料と IPA の白書の記載によります。
推定や非公表の数値は書いていません。
国の資料に沿って解説していますが、国が監修したものではありません。
公表された調査報告書などの公開情報をもとに執筆しています。記載の経緯や数値は掲載時点のものです。 内容の誤りは訂正受付窓口からお知らせください。