山形県内で、サイバー攻撃により約2万7000件の個人情報が漏えいしたおそれがあると報じられました。対象には県職員や入院患者などが含まれ、氏名・生年月日といった重要な個人情報が影響を受けた可能性があります。医療や行政に関わる情報は、本人確認やなりすまし、標的型詐欺など二次被害につながりやすく、社会的影響も大きい領域です。
本記事では、報道内容を踏まえつつ、医療・行政を狙うサイバー攻撃の背景、漏えい時に想定すべきリスク、組織としての実務的な再発防止策、そして個人が取るべき対策を専門的観点で整理します。
医療・行政が狙われる理由：データの価値と業務停止リスク
医療機関や自治体は、攻撃者から見て「支払いに応じやすい」「復旧を急ぐ必要がある」「個人情報が多い」という条件がそろいやすい標的です。特に医療は診療停止が人命に直結し、自治体は住民サービスの停止が社会機能の停滞に直結します。このため、ランサムウェアなどの恐喝型攻撃により、暗号化で業務を止めたうえで、窃取したデータの暴露をちらつかせて二重に金銭を要求する「二重恐喝」が常態化しています。
また、氏名・生年月日といった基本属性情報は、単体ではクレジットカード番号のように直接換金しづらい一方、他の漏えい情報と組み合わせることで「本人らしさ」を高め、口座開設・キャリア契約・各種申請のなりすましに悪用される可能性があります。攻撃者はこの“組み合わせ価値”を重視します。
今回のポイント：漏えい「のおそれ」が示すインシデント対応の難しさ
報道では「漏えいのおそれ」とされています。これは、侵入や不正アクセス、データへのアクセス痕跡が確認された一方で、「どのファイルが」「どこまで」「実際に外部へ持ち出されたか」を断定するにはフォレンジック（デジタル鑑識）やログ分析が必要で、初動段階では確定できないケースが多いためです。
この局面で重要なのは、確証が得られるまで情報開示を遅らせることではなく、影響範囲を絞り込みながら住民・患者・職員が取るべき対策を早期に提示することです。特に医療情報や公的機関の情報は、漏えいの有無にかかわらず「狙われた事実」自体が二次被害（詐欺電話・フィッシングの増加）を誘発します。
想定される二次被害：なりすまし、フィッシング、標的型詐欺
氏名・生年月日が漏えいした場合、次のような被害を想定して備える必要があります。
なりすまし・本人確認の突破
氏名・生年月日・住所（もし含まれる場合）などがそろうと、各種サービスの本人確認や秘密の質問の突破に悪用されることがあります。単独の情報では限定的でも、過去の漏えい情報と突合されることで精度が上がります。
標的型フィッシング・スミッシング
「県からのお知らせ」「医療費還付」「入院費の精算」など、もっともらしい文面でSMSやメールが送られ、偽サイトに誘導して認証情報を奪う手口が増えます。実在する組織名と個人属性が一致していると、被害者は真偽判断が難しくなります。
電話による詐欺（ビッシング）
生年月日などを知っている攻撃者が電話口で「本人確認」を装い、追加情報（口座、マイナンバー、保険情報等）を聞き出す可能性があります。情報を“少し知っている”ことが信頼の根拠として悪用されます。
組織が取るべき再発防止策：技術・運用・体制を一体で
再発防止は「ウイルス対策ソフトを入れる」といった単発の対策では不十分です。医療・行政の現場では、複数システムが連携し、委託先・関連機関・端末が広範に存在します。攻撃者はその“弱い継ぎ目”を狙うため、以下を一体で設計する必要があります。
ゼロトラストの考え方でアクセスを再設計
内部ネットワークを信頼する従来型モデルは、侵入後の横展開（ラテラルムーブメント）を許しやすい構造です。重要データへのアクセスは、端末の健全性確認、最小権限、強固な認証（多要素認証）を前提に再設計します。
多要素認証（MFA）と特権ID管理の徹底
侵入の起点として、VPNやリモートアクセス、メールアカウントが狙われることが多いのが実情です。MFAの適用範囲を「一部」ではなく「原則全体」に広げ、特権IDは払い出し・棚卸し・使用記録（監査ログ）をセットで管理します。
ログの収集・保全と検知の高度化
「漏えいの確定」に必要なのはログです。EDR（端末検知・対応）、SIEM（ログ統合分析）、SOAR（自動対応）などの導入は目的ではなく、何を検知し、誰が判断し、どう封じ込めるかの運用設計が本体です。ログは長期保全し、改ざん耐性も考慮します。
バックアップの3-2-1と復旧訓練
ランサムウェア対策では、オフラインまたはイミュータブル（改ざん困難）なバックアップが鍵です。3-2-1（媒体2種以上、3コピー、1つはオフサイト）を基本に、定期的な復旧訓練でRTO/RPO（復旧時間・復旧時点目標）を現実の業務要件に合わせます。
委託先・関連団体を含むサプライチェーン管理
医療・行政はベンダーや委託先との接点が多く、遠隔保守用アカウントや共有ストレージが弱点になりがちです。契約でセキュリティ要件（MFA、ログ提出、脆弱性対応期限、インシデント報告SLA）を明記し、年次の監査・評価を実施します。
インシデント対応計画（IR）と住民・患者向けコミュニケーション
被害の拡大を防ぐ初動（封じ込め、証拠保全、関係機関連携、通知・公表）は、平時に演習していないと機能しません。特に個人情報漏えいでは、対象者への案内（注意喚起、問い合わせ窓口、想定される詐欺手口、公式情報の確認方法）を迅速に整備することが、二次被害の抑制に直結します。
個人ができる対策：被害が確定していなくても備える
漏えいの可能性がある場合、個人側は「自分には関係ない」と放置せず、次の実務的対策を取ることが望まれます。
- 不審なメール・SMS・電話に注意：公的機関や病院を名乗る連絡でも、リンクを開かず、公式サイトや代表番号から確認する。
- パスワードの使い回しを止める：メールアカウントは特に重要。可能ならパスワードマネージャーの利用を検討する。
- 多要素認証を有効化：メール、主要SNS、金融関連は優先度が高い。
- 個人情報の追加提供に慎重になる：生年月日や住所を相手が知っていても信用しない。必要なら折り返し確認する。
まとめ：重要なのは「被害の有無」だけでなく「次の被害」を止めること
医療・行政を狙うサイバー攻撃は、情報漏えいと業務停止を同時に狙う点で深刻です。今回のように大量の個人情報が影響を受けるおそれがある事案では、技術的な封じ込めと調査に加え、住民・患者・職員に対する注意喚起と支援体制が不可欠になります。
再発防止は、単一の製品導入ではなく、アクセス設計、認証、ログ、バックアップ、委託先管理、そして机上・実動の訓練までを含む「運用の仕組み化」が成否を分けます。攻撃が常態化した時代においては、平時からの準備こそが最大の防御です。
参照リンク：サイバー攻撃で約2万7000件の個人情報漏えいのおそれ…県職員・入院患者らの氏名・生年月日など 山形 – FNNプライムオンライン