【2025年最新版】病院を狙うサイバー攻撃と情報漏洩の実態・リスク・対策まとめ

近年、病院や医療機関を狙ったサイバー攻撃が急増しています。患者情報など極めて機密性の高いデータを扱う医療機関は、サイバー犯罪者にとって格好の標的となっています。サイバー攻撃は情報漏洩だけでなく、診療業務や経営にも深刻な影響を及ぼします。

本記事では、病院が直面する脅威の実態、攻撃の手口、被害のリスク、そして具体的な対策までを網羅的に解説します。

▶おすすめの調査会社はこちら▶【フォレンジック調査会社一覧｜選び方・依頼の流れを解説】

病院・医療機関がサイバー攻撃の標的となる背景

病院は、診療記録・保険情報・支払いデータなど膨大な個人情報を保有しており、攻撃者にとって「価値あるデータの宝庫」です。加えて、旧式システムの継続利用や予算不足により、脆弱なセキュリティが放置されがちです。

また、データを暗号化し、身代金を要求するランサムウェアなどは一度感染すると、復旧に数か月の時間を要する場合があります。しかし、病院側は診療停止を避けるために身代金を支払う傾向があり、それが攻撃者に狙われる要因となっています

病院における主なサイバー攻撃の手口

病院で発生する可能性があるサイバー攻撃には様々な種類があります。サイバー攻撃の中には電子カルテや予約システムの停止に直結し、診療の継続が困難になりかねないものもあります。

病院・医療機関が被害に遭う可能性のある主なサイバー攻撃の種類は以下の通りです。

• ランサムウェア感染
• マルウェア感染
• フィッシング詐欺
• 標的型攻撃・ビジネスメール詐欺
• DDoS攻撃
• 内部不正・職員による情報漏洩

ランサムウェア感染

ランサムウェアは、端末内のファイルやシステム全体を暗号化し、元に戻すための“身代金”を要求するマルウェアです。医療機関が狙われる理由の一つは、「診療の継続性」が人命に直結するため、多少の金額であれば支払ってでも復旧を急ごうとする傾向があるからです。

実際、電子カルテや予約システム、画像診断装置が暗号化されて使えなくなると、診療が完全に停止します。また最近では、単なる暗号化にとどまらず、「データ窃取＋脅迫（リークサイトでの公開予告）」という二重脅迫型の手法が主流になっています。ランサムウェア攻撃は、メール添付やVPN機器の脆弱性を悪用して侵入するため、入口対策とバックアップ体制の両立が重要です。

マルウェア感染

マルウェアとは、「悪意あるソフトウェア」の総称であり、スパイウェア、トロイの木馬、バックドア型マルウェアなど、さまざまな種類があります。病院におけるマルウェア感染は、メール添付ファイルやUSBメモリ、外部サイト経由などを通じて発生します。感染したマルウェアは、内部ネットワークをスキャンして別の端末に広がったり、キーロガー機能でログイン情報を盗んだりします。

特に注意すべきは、気づかれないように長期間潜伏する「ステルス型マルウェア」です。これにより、攻撃者は一定期間にわたって機密データを継続的に外部へ送信することがあります。

フィッシング詐欺

フィッシング詐欺は、病院職員を偽のログインページや不審なサイトに誘導し、IDやパスワードを盗み取る攻撃手法です。盗まれた認証情報は、そのまま電子カルテや医療会計システムへの不正アクセスに悪用されることがあります。

標的型攻撃・ビジネスメール詐欺

フィッシング詐欺よりも悪質な手口が標的型攻撃やビジネスメール詐欺（BEC）です。これは病院の管理職や経理担当者、厚生労働省の職員などに攻撃者がなりすまし、病院内の特定の人物を狙って行われる攻撃です。攻撃者は事前に対象の役職、関係者、会話のやり取りなどをリサーチし、あたかも実在する上司や業者になりすましたメールを送ってきます。

特に医療業界では、日常的に多くの業者や行政機関と連絡を取っているため、違和感を持たれずにやり取りが進むケースが少なくありません。攻撃者がメールアカウントを乗っ取り、送金指示や請求書変更を行わせて金銭を騙し取られるビジネスメール詐欺（BEC）に発展する場合もあります。

DDoS攻撃

DDoS（分散型サービス拒否）攻撃は、複数の感染端末（ボット）から一斉に大量の通信を送りつけ、ターゲットのWebサーバやネットワークをダウンさせる攻撃です。病院のWeb予約システムや外部アクセス用のポータルサイトが停止すると、診療予約や検査依頼などに支障をきたします。

また、DDoS攻撃は他の攻撃（たとえばランサムウェアやデータ侵害）のカモフラージュとして行われることもあり、注意が必要です。クラウド型WAFやDDoS防御サービスを導入することで、トラフィックを正常なものと異常なものに分離・遮断する仕組みを構築できます。さらに、自施設の公開システムの可用性監視も重要です。

内部不正・職員による情報漏洩

退職者や関係者によるデータ持ち出しや、不注意によるメール誤送信など、内部からの情報漏洩も深刻な問題です。監視体制の甘さが原因となるケースもあります。

病院で漏洩する可能性のある情報の具体例には以下の物があります。

• 患者の氏名・住所・病歴・検査結果
• 職員の個人情報や給与データ
• 保険証番号や支払情報
• 処方箋や診断書
• メールやチャットなどの内部コミュニケーション記録

サイバー攻撃や情報漏洩により診療停止や賠償が発生すれば、病院の経営に大打撃を与えます。また、対応によっては報道や風評被害により地域社会からの信頼も失われかねません。日々サイバー攻撃は進化し、防御も困難になってきています。もしも病院や医療機関を狙ったサイバー攻撃に遭遇した場合は、すぐに専門家までご相談ください。

病院におけるサイバー攻撃の原因と脆弱性

病院や医療機関を狙って発生するサイバー攻撃は、セキュリティが原因であったり、人的ミスや院内の規則の不備を狙う場合があります。

• ネットワーク機器・SSL-VPNの脆弱性
• 私物デバイスの持ち込み・内部統制の不備
• セキュリティ教育・運用ルールの未徹底

ネットワーク機器・SSL-VPNの脆弱性

病院におけるITインフラは、他業種と比べて更新サイクルが長く、古いネットワーク機器やソフトウェアが使われ続けている傾向があります。特にSSL-VPN（仮想プライベートネットワーク）は、職員のリモートアクセスや外部ベンダーの接続に使用されますが、古いファームウェアのまま運用されているケースが多く、深刻な脆弱性が放置されていることも少なくありません。

これらの機器に対する脆弱性（たとえばCVEが公開されているにもかかわらず未対処）を悪用されると、攻撃者はVPN経由でネットワーク内部へ不正に侵入し、ファイルサーバや電子カルテなど重要システムにアクセスすることが可能となります。過去にはFortinetやPulse Secure製品など、複数のVPN製品に深刻な脆弱性が確認されており、医療機関を狙った攻撃でも実際に悪用されています。

私物デバイスの持ち込み・内部統制の不備

病院では、医師や看護師が個人所有のスマートフォンやノートPCを業務に使用する「BYOD（Bring Your Own Device）」の運用が黙認されていることがあります。これにより、私物デバイスから無許可で院内ネットワークにアクセスされたり、外部クラウドへデータを持ち出したりといったリスクが高まります。

また、勤務時間外に私物端末で医療記録を扱うケースもあり、こうした運用がルール化されていないことも少なくありません。

このように意図せぬ情報漏洩やマルウェア感染の原因になることがあります。加えて、USBメモリの使用制限が不徹底であったり、印刷物管理のルールが曖昧だったりすることで、内部関係者による情報持ち出しも発生しやすくなります。

セキュリティ教育・運用ルールの未徹底

医療機関では診療や看護といった本業の忙しさゆえに、情報セキュリティ教育の優先度が後回しにされがちです。特に地方の中小病院では、IT部門の人員が限られており、最新の脅威に対応した教育体制を整備できていないケースも珍しくありません。

その結果、「不審なメールに添付されたファイルを開いてしまう」「パスワードを使い回す」「機密情報を私用メールに転送する」といったヒューマンエラーが多発します。また、情報取り扱いに関する就業規則やマニュアルが存在していても、内容が古かったり、周知されていなかったりすることで形骸化しているケースもあります。

病院でサイバー攻撃が発生した場合の対処法

病院でサイバー攻撃が発生した場合の対処法は以下の通りです。

• ネットワークを遮断する
• 厚生労働省へ連絡する
• 個人情報保護委員会へ報告する
• 専門家によるフォレンジック調査を実施する

ネットワークを遮断する

サイバー攻撃が発覚したら、まず行うべきは感染拡大を防ぐためのネットワーク遮断です。ランサムウェアやマルウェアの多くは、感染端末から他のネットワーク機器やサーバーに自動的に拡散します。

攻撃を検知した時点で、被害を最小限に抑えるには、該当端末だけでなく、場合によっては院内ネットワーク全体やインターネット接続の一時遮断も検討する必要があります。

ネットワークの遮断により、通信経路を絶つことでデータの流出や攻撃の進行を一時的に止めることができます。ただし、診療業務や医療機器への影響も大きいため、ネットワーク構成を事前に把握し、「どこを止めれば何が止まるか」を整理しておくことが重要です。

厚生労働省へ連絡する

医療機関がサイバー攻撃を受けた場合、その内容や影響によっては厚生労働省へ速やかに報告する必要があります。特に、診療業務の停止や電子カルテの閲覧不能といった医療提供体制に影響を及ぼす事案では、行政機関による支援や周知が必要になるためです。

厚生労働省は過去にも、医療機関向けにランサムウェア対策のガイドラインや注意喚起を発信しており、感染が確認された場合は、被害状況・初動対応・今後の見通しなどを整理し、所轄の地方厚生局や医政局へ報告します。

また、報告と同時に、他の医療機関への影響を防ぐ観点から、攻撃手法や使われたマルウェアなどの情報を共有することが、業界全体のリスク軽減にもつながります。こうした報告体制を日頃から確認し、万一の際に慌てないよう、平時から連絡先リストや報告フローを整備しておくと安心です。

個人情報保護委員会へ報告する

サイバー攻撃により個人情報が漏洩、または漏洩の可能性があると判断される場合は、個人情報保護法に基づき「個人情報保護委員会」への報告義務が発生します。具体的には、「漏洩等報告・本人通知の義務」があり、漏洩対象人数が1,000人を超える場合や、要配慮個人情報（病歴・診療情報など）の漏洩が疑われる場合には、原則として速やかに報告書を提出しなければなりません。

報告には、「事案の概要」「漏洩対象となる情報の内容」「影響の範囲」「今後の対応策」などの詳細を含める必要があり、迅速かつ正確な情報整理が求められます。加えて、該当する患者や関係者に対しても、個別に通知を行うことが義務付けられています。通知の遅れや不備は行政指導や罰則の対象となる可能性があるため、法的要件を十分に理解し、専門家と連携して対応することが求められます。

専門家によるフォレンジック調査を実施する

サイバー攻撃の被害が発生した際に最も重要な対応の一つが、「原因の特定」と「被害範囲の把握」です。そのためには、デジタルフォレンジックの専門家による調査が不可欠です。フォレンジック調査では、攻撃者の侵入経路、使用されたマルウェア、侵害された端末やサーバー、持ち出された情報などを技術的に分析し、時系列で証拠を復元します。

この結果をもとに、攻撃の全体像や被害規模を明らかにすることで、今後の再発防止策の設計や、必要な報告書の作成、保険会社や監査対応にも役立ちます。また、第三者調査報告は、社会的信用を維持するうえでも重要な材料となります。病院にとっては非日常の技術領域であるため、実績のあるフォレンジック調査会社を選定し、平時から連携体制を構築しておくことが重要です。

編集部おすすめ調査会社：デジタルデータフォレンジック(おすすめ度)

24時間365日相談を受け付けており、突然のサイバー攻撃の相談も受け付けている調査会社を紹介します。

こちらの調査会社は、民間の調査会社でありながら官公庁や大手企業との取引実績も多く、スピード対応により、最短30分でWeb打合せ+最短１日で診断結果のご報告まで可能な場合もあります。

また、万が一不正アクセスを受けて「セッションハイジャック攻撃」を受けてしまった場合、「フォレンジック調査」と呼ばれるサイバー攻撃などの原因調査などを実施してもらえるため、攻撃後のセキュリティ対策が必要な場合も利用することができます。

まずは無料で相談・見積りまで行ってくれるようなので、不安な方は一度相談してみるとよいでしょう。

デジタルデータフォレンジック

デジタルデータフォレンジックは、国内トップクラスの調査力を有しており、累計3万9千件以上の豊富な実績があります。

規模が大きな調査会社でありながら、ハッキング調査などの実績もあるようですし、24時間365日の相談体制、ニーズに合わせたプランのカスタマイズなど、サービスの利用しやすさも嬉しいポイントです。

相談・見積りを“無料“で行っているので、まずは電話かメールで問合せをしてみることをおすすめします。

↓調査項目・プラン・料金などは公式サイトへ↓

病院が取るべきサイバーセキュリティ対策

病院のサイバー攻撃対策として有効とされるサイバーセキュリティ対策は以下の通りです。

• VPN機器のセキュリティの確保
• 多要素認証の導入
• サプライチェーン全体でのセキュリティの確保
• 攻撃に速やかに検知・対処するシステムの導入
• 被害発生時の対応計画の策定

VPN機器のセキュリティの確保

最新のファームウェアに更新し、不要なポートを閉じるなど、VPN機器の設定を適切に保つことが基本です。SSL-VPNの脆弱性を狙った攻撃が多発しています。

多要素認証の導入

ID・パスワードだけでなく、スマホ認証や生体認証などの多要素認証を導入することで、不正ログインのリスクを大幅に低減できます。特にリモートアクセス時には必須です。

サプライチェーン全体でのセキュリティの確保

外部委託業者やシステムベンダーのセキュリティ体制も確認することが重要です。取引先が攻撃を受けた結果、自院が被害を受けるケースが増加しています。

攻撃に速やかに検知・対処するシステムの導入

EDR（Endpoint Detection and Response）やSIEMといったセキュリティ監視システムを導入し、異常を早期に検知・対応できる体制を構築しましょう。

被害発生時の対応計画の策定

インシデント発生時の対応フローや連絡先リスト、報告手順などを事前に整備しておくことで、混乱を最小限に抑えた迅速な初動対応が可能になります。

まとめ

医療機関を狙ったサイバー攻撃は今や他人事ではなく、日常業務を脅かす現実的なリスクです。被害を未然に防ぐためには、技術的な対策と職員への教育、そして万一のための備えが不可欠です。この記事を参考に、自院のセキュリティ体制を見直し、万が一の事態に陥った時に患者と職員を守る万全な体制構築を進めてください。