医療機関を狙うサイバー攻撃は近年いっそう巧妙化し、診療や研究の継続性だけでなく、患者や治験関係者のプライバシー・安全にも直結する問題となっています。東北大学が4月に公表していた不正アクセス事案について続報を出し、連絡が取れない元入院患者や治験医師に申し出を呼びかけたことは、被害の有無そのもの以上に「医療機関が直面する連絡不能リスク」と「説明責任の果たし方」を浮き彫りにしました。
続報が示すポイントは「被害者連絡」の難しさ
一般に情報漏えい事案の公表は、侵害範囲の特定、影響評価、関係者への通知、再発防止策の提示という流れで進みます。しかし医療分野では、退院後に連絡先が変わっている患者、既に通院していない患者、研究や治験の関係者など、組織の通常の連絡網に乗らない対象が多く存在します。今回のように「連絡が取れない可能性のある関係者」に向けて申し出を呼びかける動きは、個別通知の限界を補うための現実的な手段であり、同時に医療機関が負う説明責任の重さを示しています。
医療情報はなぜ狙われるのか
医療機関が扱う情報は、氏名・住所・連絡先といった個人識別情報に加え、傷病名、処方、検査結果、入院歴などの機微情報を含みます。さらに大学病院や研究機関では、治験や研究データ、共同研究先との契約情報、研究者のアカウント情報など、金銭的価値や戦略的価値を持つデータも混在します。
攻撃者の目的は、ランサムウェアによる業務停止を梃子にした身代金要求だけではありません。窃取したデータを脅迫材料として二重恐喝に用いたり、なりすまし・詐欺に転用したり、研究成果や知財に関連する情報を狙うケースもあります。したがって、漏えいの可能性が生じた段階で、対象者の安全確保を最優先にした注意喚起と、長期的な見守り体制が必要になります。
「連絡不能」の対象が生む二次被害リスク
連絡が取れない関係者が残ると、本人がリスクを知らないままフィッシングや詐欺に遭う恐れが高まります。医療機関を装うメールやSMS、電話による社会工学は非常に現実味があり、「追加検査が必要」「返金手続き」など不安を煽る文言で個人情報や認証情報を引き出そうとします。治験関係者に対しても、研究手続きや倫理審査を装った偽連絡、アカウント誘導などが起こり得ます。
このため、組織が行うべきは「連絡できる人にだけ説明して終わり」ではなく、連絡不能者がいる前提で、広報・相談窓口・FAQなどを整備し、本人が自発的に確認できる導線を用意することです。今回の申し出呼びかけは、まさにその導線づくりにあたります。
医療機関が取るべき初動対応の要点
不正アクセスが疑われた場合、初動の質が被害の大きさと信頼回復速度を左右します。重要なのは、技術対応と対外対応を同時に進める体制です。
封じ込めと証拠保全
ネットワーク隔離、侵害アカウントの停止、アクセス経路の遮断を行いつつ、ログやディスクイメージなどの証拠を保全します。医療機関では診療継続の要求が強く、拙速な復旧で証拠を失うと原因究明と再発防止が不十分になりがちです。診療影響を最小化しながらも、保全を優先する意思決定が不可欠です。
影響範囲の特定とリスク評価
漏えい「確定」まで待つのではなく、漏えい「可能性」でも対象者保護の観点で必要な注意喚起を行います。特に医療情報は機微性が高いため、漏えいの有無だけでなく、漏えいした場合に想定される二次被害を具体的に評価する必要があります。
相談窓口と本人確認プロセス
問い合わせ窓口は、混乱期のセキュリティ境界でもあります。なりすましによる情報引き出しを防ぐため、本人確認の手順、回答範囲、折り返しルール、記録の取り方をあらかじめ整備し、委託先コールセンターを使う場合も同等の統制をかけることが重要です。
再発防止は「技術」だけで完結しない
再発防止策として注目されがちなのはEDRや多要素認証などの技術導入ですが、医療機関では組織・業務の複雑さがボトルネックになります。診療系、研究系、事務系でネットワークが混在し、外部共同研究者や委託業者のアクセスも多い環境では、アカウント統制と権限管理が最重要課題になります。
有効な方向性は、特権IDの厳格管理、ゼロトラストを意識したセグメンテーション、バックアップの分離と復旧訓練、パッチ適用の可視化、そしてインシデント対応手順の定期演習です。特に大学病院は人の入れ替わりが多く、異動・退職・卒業に合わせたID棚卸しが追いつかないと、侵入経路や横展開の温床になります。
患者・治験関係者が取るべき自衛策
医療機関からの案内を待つだけではなく、当事者側でも基本的な防御を強化しておくべきです。
- 医療機関や公的機関を名乗る連絡でも、個人情報や認証情報の提示を急かすものは疑い、公式窓口に確認する
- SMSやメールのURLは安易に開かず、ブックマークや公式アプリからアクセスする
- 主要サービスのパスワードを使い回している場合は変更し、多要素認証を有効化する
- 不審な請求、身に覚えのない手続き案内があれば記録を残し、相談窓口に共有する
治験や研究関係者については、共同研究用のアカウントやクラウドストレージの監査、端末のセキュリティ更新状況の確認、研究室内の共有IDの廃止など、組織外からでもできる対策を進めることが望まれます。
信頼回復の鍵は「透明性」と「継続対応」
情報漏えい対応で最も評価されるのは、完璧さよりも誠実さです。影響範囲の説明、連絡不能者への配慮、相談体制、再発防止の進捗公開など、時間をかけて継続的に情報を更新する姿勢が信頼回復につながります。今回の続報が示すように、医療機関のインシデントは単発の発表で終わりません。連絡が取れない人が一定数いる前提で、後からでも本人が事実確認できる仕組みを整え、注意喚起を継続することが、二次被害を減らす実務的な解となります。
医療の現場は「止められない」からこそ狙われます。だからこそ、技術対策と同じ重みで、連絡・説明・相談という運用面を鍛え、患者と社会に対する責任を果たすことが、次の被害を防ぐ最短ルートになります。