管理者パスワードの使い回しでランサムウェアの被害が院内に広がった事案

2024 年 5 月 19 日、公立の精神科病院で、電子カルテを含む病院情報システムが、ランサムウェア(データを暗号化して身代金を要求するウイルス)の攻撃で停止しました。病院の依頼で設けられた外部の専門家による調査委員会の報告書は、翌年の 2 月 13 日に公表されました。報告書は、記録が失われた部分は推測にもとづく、と断っています。

何が起きたか

報告書によると、最初の侵入は 5 月 13 日でした。攻撃者は院内のネットワークを調べ、バックアップを壊し、Windows のユーザー情報を盗み、ウイルス対策ソフトを止めたうえで、19 日に暗号化を始めました。病院は紙のカルテで診療を続け、発生から 90 日で病院情報システムが完全復旧しています。

個人情報は、サーバーの共有フォルダーの文書から、氏名・住所・病名などを含む最大 40,000 人分が漏えいしたと推定されています。病院は 6 月 11 日に公表し、本人に通知しました。電子カルテそのものへの不正なログインは、記録から可能性が「極めて低い」とされています。

公表された原因

報告書が「原因」の章で確認した事実は 4 つです。

1. 保守用の SSL-VPN 装置(外から院内につなぐための機器)の ID とパスワードが、administrator と P@ssw0rd だった。
2. 院内のすべての Windows の管理者の ID とパスワードも、同じ組み合わせが使い回されていた。
3. SSL-VPN 装置の欠陥が 2018 年の設置以降直されていなかった。
4. すべてのサーバーと端末の利用者に管理者権限が与えられていた。

初期侵入の経路は、VPN 装置への辞書攻撃(よく使われる語を順に試す攻撃)、盗まれた ID・パスワードの購入、装置の欠陥のいずれかと推測されています。院内で被害が広がった原因は、管理者の ID・パスワードの使い回しです。攻撃者は同じ ID・パスワードで別のコンピューターに次々と入り、管理者権限でウイルス対策ソフトを止めて暗号化しました。また VPN 装置には接続元の制限がありませんでした。

報告書は、原因の多くは厚生労働省のガイドラインを守っていれば容易に防げた、と書いています。「過去事例との共通点」の節では、管理者パスワードの使い回し、サーバーと端末の利用者への管理者権限の付与、それによるウイルス対策ソフトの停止という点で、過去の 2 つの病院の事案とまったく同じだ、としています。

公表された再発防止策

報告書が掲げた復旧の原則には、最小特権(管理者アカウントの使い回しを禁じ、管理者権限は一時的・限定的に与える)と、ID・パスワードの保護があります。後者は、複雑さや定期変更を求めず、長いパスフレーズ(文のように長いパスワード)を使い、漏えいを定期的に確かめることです。具体策は次のとおりです。

• VPN 接続の ID・パスワードを推測しにくいものにし、よく使われるものを禁止する。16 桁以上のパスフレーズにする。
• 管理者のパスワードは 1 台ごとに別のものにし、Windows の仕組みで自動的に個別化する。
• 一般の利用者は標準ユーザーで運用し、管理者権限が要るアプリは見直す。
• ログインに 5 回連続で失敗したらアカウントを止める。
• VPN 装置と遠隔操作の接続に、接続元の制限をかける。
• サーバー管理の専用端末に多要素認証を入れる。

あわせて、厚労省などのガイドラインにもとづいて、ベンダーとの契約と役割分担を見直すとしています。

同じ型の事故で一般に問われる管理

報告書が「守っていれば防げた」と書いたのは、厚生労働省の「医療情報システムの安全管理に関するガイドライン」です。報告書が引いたのは第 6.0 版で、現行は第 7.0 版です。第 7.0 版のシステム運用編は、関係する遵守事項(守るべき決まり)を 2 つの章に置いています。

「8. 利用機器・サービスに対する安全管理措置」の章は、情報機器のパスワードを出荷時のものから変更することを求めています。「14. 認証・認可に関する安全管理措置」の章の遵守事項は 3 つです。類推されやすいパスワードを使わせないよう、設定できるパスワードに制限を設けること。一定回数ログインに失敗したら、一定時間ログインできなくすること。令和 9 年度時点で稼働するシステムの新規導入・更新では、二要素認証か相当する対応を行うことです。

同じ章の解説は、VPN 装置にも二要素認証(2 つの方法でログインを確かめる仕組み。詳しくは二段階認証とは)などを入れることが望ましい、と書いています。パスワードの桁数は、二要素認証がある場合は 8 桁以上、ない場合は 13 桁以上とし、定期的な変更は不要としています。

管理者権限については、IPA の「中小企業の情報セキュリティ対策ガイドライン」第 4.0 版に一般の水準があります。ユーザー ID と管理者 ID(管理者権限を持つ ID)の発行から削除までを管理する手続きを定め、どちらの ID も必要最小限の人にだけ与える、という内容です。

自分の現場を点検する問い

1. 外から社内につなぐ機器の ID とパスワードは、設置時のまま、または推測できるものになっていないか。
2. 管理者用のパスワードを、複数のサーバーや端末、サービスで同じにしていないか。
3. 日常の業務に管理者権限が本当に要るか。要らない人にも与えていないか。
4. ログインの失敗が続いたときにアカウントを止める設定があるか。
5. 保守業者が使う接続の経路と ID を把握し、接続元を制限しているか。