鳥取県が運用する環境放射線モニタリングシステムの主監視局（主サーバ）がランサムウェア攻撃を受け、サーバ内の電子ファイルが暗号化されシステムが停止した。県は遠隔地に設置しているバックアップ用の副監視局（副サーバ）は被害を受けておらず、放射線のモニタリング業務に影響はないとしている。
事案の詳細
今回の事案は、鳥取県危機管理部原子力安全対策課が運用する「鳥取県環境放射線モニタリングシステム」がランサムウェアによるサイバー攻撃を受けたものだ。島根原子力発電所や人形峠環境技術センター周辺などに設置されたモニタリングポストから、放射線量率等の測定データを収集・監視するためのシステムである。
県によると、庁内に設置していた主監視局（主サーバ）がランサムウェア攻撃を受け、サーバ内の電子ファイルが暗号化されて主監視局に障害が発生し、システムが停止した。ランサムウェアは、システム内のデータや機能を利用できない状態にし、復旧と引き換えに金銭（暗号資産ビットコインなど）を要求する攻撃として知られる。
事象は、システムから自動送信される異常通知メールを担当職員が受信したことをきっかけに発覚し、主サーバを確認したところアクセス不能となっており、電子ファイルの暗号化と英文による金銭要求の脅迫文書ファイルが確認されたとされている。県は被害の拡大を防止するため、直ちにシステムの全ての外部通信経路を遮断し、封じ込め対策を実施している。
一方で、遠隔地に物理的に分離して設置・運用しているバックアップ用の副監視局（副サーバ）では同様の被害は発生しておらず、主系とは別に用意された副サーバが影響を受けなかったことが、監視業務の継続に直結した形となる。県は副監視局による監視を継続できているため、放射線モニタリングに影響はないと説明している。
その結果、少なくとも監視機能の提供という観点では継続性が確保されていることが示されている。攻撃者の特定、侵入経路、暗号化されたファイルの復旧見込み、影響を受けたデータの範囲など、より詳細な技術的な情報については、現時点で公表されていない部分もあり、詳細は現時点で不明とされている。
影響と背景
環境放射線のモニタリングは、原子力施設周辺などで平時から継続的に計測し、そのデータを蓄積・確認する性質の業務であり、災害時・異常時の早期検知にも直結する重要なインフラだ。停止や遅延が懸念されやすい領域であるが、今回はバックアップ用の副監視局が被害を免れており、「副サーバは被害を受けず、モニタリングに影響なし」と県が明言している点が重要で、監視の継続性に直接の支障は出ていない。
一方で、島根原子力発電所などの周辺放射線を監視する公共性の高いシステムがランサムウェア攻撃の対象となった事実は、重要インフラや自治体システムがサイバー攻撃の標的となるリスクが現実のものとなっていることを改めて示している。今回、主監視局が停止したものの、副監視局による冗長構成によりモニタリング機能を維持できた事例は、業務継続計画（BCP）やシステムのレジリエンス強化の重要性を浮き彫りにしている。
また、県による発表では、現時点で個人情報の流出などは確認されていないとされており、被害は主監視局内の電子ファイルの暗号化とシステム停止に限定されていると説明されている。今後の調査で追加の事実が判明する可能性はあるが、少なくとも報道時点では放射線監視・防災上の実質的な障害は生じていないとされている。
対策・今後の展望
- 冗長化と切替手順の整備：今回のように主監視局が停止した際でも、副監視局が被害を免れたことで監視を継続できた。今後も確実に運用を継続できるよう、主系・副系の役割分担と切替条件、手順をあらかじめ文書化し、訓練を通じて確認しておくことが重要となる。遠隔地への設置や物理的分離など、バックアップ環境の設計も含めた冗長化が求められる。
- バックアップの確実化：ランサムウェア被害では、暗号化されたファイルの復旧可否がバックアップの健全性に左右される。バックアップデータがランサムウェアの影響を受けていないか、復旧に利用できる形で保全できているかを定期的に検証することが欠かせない。世代管理されたバックアップや、オフライン・クラウドなど多様な保管形態の組み合わせも検討すべきだ。
- インシデント対応の平時訓練：攻撃を受けた際の連絡体制、初動での隔離やシステム停止の判断、外部通信経路遮断などの技術的措置、利用者や関係者への周知など、運用面の準備が被害の拡大抑止に直結する。今回県が実施した封じ込め対応のように、手順を事前に整備し、平時からインシデント対応訓練を繰り返すことが重要だ。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】CSRIのMDR運用や診断の現場では、ランサムウェア被害の入口として「外部公開された管理画面」「古い機器の更新遅れ」「権限が広すぎる共有フォルダ」が重なっている例をよく見ます。MDRアラートでは、不審な暗号化の兆候より先に認証失敗の急増や管理ツールの異常起動が出ることが多いです。今回の鳥取県の事案でも、外部からの攻撃を契機に主監視局のサーバ内ファイルが暗号化されており、こうした入口リスクへの備えの重要性が改めて示されています。
【観点②：平易な解説】ランサムウェアは、例えるなら「事務所の書類棚に鍵をかけ、鍵の代金を要求する」ようなものです。つまり、データや機能を人質に取って業務を止め、復旧の焦りにつけ込む攻撃ということです。今回、副監視局が無事だったのは、別の棚が残っていて仕事が続けられた状態に近いと言えます。主監視局が使えなくなっても、バックアップ環境があったことで、放射線監視という重要業務を途切れさせずに済んだ事例です。
【観点③：今週中にできること】まず、重要業務が止まったときに代替できるサーバや手順があるかを担当者に確認し、ない場合は「どこまでを最低限継続するか」だけでも決めます。次に、バックアップが実際に戻せるかを直近のデータで確認し、復旧担当と連絡手順を明文化します。最後に、管理者権限のアカウントを棚卸しして不要なものを止めます。こうした基本的な備えが、鳥取県の副監視局のように、攻撃を受けても業務継続を可能にするレジリエンス向上につながります。