# 管理者パスワードの使い回しでランサムウェアの被害が院内に広がった事案

保守用の外部接続機器と院内すべてのパソコンで、同じ推測しやすい ID とパスワードが使われ、全利用者に管理者権限がありました。調査報告書は、原因の多くは国のガイドラインを守っていれば防げたとしています。

更新日: 2026-09-18

2024 年 5 月 19 日、公立の精神科病院で、電子カルテを含む病院情報システムが、ランサムウェア(データを暗号化して身代金を要求するウイルス)の攻撃で停止しました。病院の依頼で設けられた外部の専門家による調査委員会の報告書は、翌年の 2 月 13 日に公表されました。報告書は、記録が失われた部分は推測にもとづく、と断っています。

## 何が起きたか

報告書によると、最初の侵入は 5 月 13 日でした。攻撃者は院内のネットワークを調べ、バックアップを壊し、Windows のユーザー情報を盗み、ウイルス対策ソフトを止めたうえで、19 日に暗号化を始めました。病院は紙のカルテで診療を続け、発生から 90 日で病院情報システムが完全復旧しています。

個人情報は、サーバーの共有フォルダーの文書から、氏名・住所・病名などを含む最大 40,000 人分が[漏えい](/guides/incidents/what-is-data-breach)したと推定されています。病院は 6 月 11 日に公表し、本人に通知しました。電子カルテそのものへの不正なログインは、記録から可能性が「極めて低い」とされています。

## 公表された原因

報告書が「原因」の章で確認した事実は 4 つです。

1. 保守用の SSL-VPN 装置(外から院内につなぐための機器)の ID とパスワードが、administrator と P@ssw0rd だった。
2. 院内のすべての Windows の管理者の ID とパスワードも、同じ組み合わせが使い回されていた。
3. SSL-VPN 装置の欠陥が 2018 年の設置以降直されていなかった。
4. すべてのサーバーと端末の利用者に管理者権限が与えられていた。

初期侵入の経路は、VPN 装置への辞書攻撃(よく使われる語を順に試す攻撃)、盗まれた ID・パスワードの購入、装置の欠陥のいずれかと推測されています。院内で被害が広がった原因は、管理者の ID・パスワードの使い回しです。攻撃者は同じ ID・パスワードで別のコンピューターに次々と入り、管理者権限でウイルス対策ソフトを止めて暗号化しました。また VPN 装置には接続元の制限がありませんでした。

報告書は、原因の多くは厚生労働省のガイドラインを守っていれば容易に防げた、と書いています。「過去事例との共通点」の節では、管理者パスワードの使い回し、サーバーと端末の利用者への管理者権限の付与、それによるウイルス対策ソフトの停止という点で、過去の 2 つの病院の事案とまったく同じだ、としています。

## 公表された再発防止策

報告書が掲げた復旧の原則には、最小特権(管理者アカウントの使い回しを禁じ、管理者権限は一時的・限定的に与える)と、ID・パスワードの保護があります。後者は、複雑さや定期変更を求めず、長いパスフレーズ(文のように長いパスワード)を使い、漏えいを定期的に確かめることです。具体策は次のとおりです。

- VPN 接続の ID・パスワードを推測しにくいものにし、よく使われるものを禁止する。16 桁以上のパスフレーズにする。
- 管理者のパスワードは 1 台ごとに別のものにし、Windows の仕組みで自動的に個別化する。
- 一般の利用者は標準ユーザーで運用し、管理者権限が要るアプリは見直す。
- ログインに 5 回連続で失敗したらアカウントを止める。
- VPN 装置と遠隔操作の接続に、接続元の制限をかける。
- サーバー管理の専用端末に多要素認証を入れる。

あわせて、厚労省などのガイドラインにもとづいて、ベンダーとの契約と役割分担を見直すとしています。

## 同じ型の事故で一般に問われる管理

報告書が「守っていれば防げた」と書いたのは、厚生労働省の「医療情報システムの安全管理に関するガイドライン」です。報告書が引いたのは第 6.0 版で、現行は第 7.0 版です。第 7.0 版のシステム運用編は、関係する遵守事項(守るべき決まり)を 2 つの章に置いています。

「8. 利用機器・サービスに対する安全管理措置」の章は、情報機器のパスワードを出荷時のものから変更することを求めています。「14. 認証・認可に関する安全管理措置」の章の遵守事項は 3 つです。類推されやすいパスワードを使わせないよう、設定できるパスワードに制限を設けること。一定回数ログインに失敗したら、一定時間ログインできなくすること。令和 9 年度時点で稼働するシステムの新規導入・更新では、二要素認証か相当する対応を行うことです。

同じ章の解説は、VPN 装置にも二要素認証(2 つの方法でログインを確かめる仕組み。詳しくは[二段階認証とは](/guides/shared-accounts/what-is-two-step-verification))などを入れることが望ましい、と書いています。パスワードの桁数は、二要素認証がある場合は 8 桁以上、ない場合は 13 桁以上とし、定期的な変更は不要としています。

管理者権限については、IPA の「中小企業の情報セキュリティ対策ガイドライン」第 4.0 版に一般の水準があります。ユーザー ID と管理者 ID(管理者権限を持つ ID)の発行から削除までを管理する手続きを定め、どちらの ID も必要最小限の人にだけ与える、という内容です。

## 自分の現場を点検する問い

1. 外から社内につなぐ機器の ID とパスワードは、設置時のまま、または推測できるものになっていないか。
2. 管理者用のパスワードを、複数のサーバーや端末、サービスで同じにしていないか。
3. 日常の業務に管理者権限が本当に要るか。要らない人にも与えていないか。
4. ログインの失敗が続いたときにアカウントを止める設定があるか。
5. 保守業者が使う接続の経路と ID を把握し、接続元を制限しているか。


## よくある質問

**P@ssw0rd のようなパスワードはなぜ危ないのですか**

攻撃者は、よく使われるパスワードの一覧を順に試します。報告書は、初期侵入の経路を、外部接続機器への辞書攻撃、盗まれた ID・パスワードの売買、機器の欠陥のいずれかと推測しています。

**医療機関の二要素認証はいつまでに要りますか**

第 7.0 版は、令和 9 年度時点で稼働する医療情報システムを新規導入・更新する際に採用するとし、技術的に困難な場合は令和 9 年度以降の直近の更新までを期限としています。

**管理者権限を外すと診療システムは動きますか**

報告書は、管理者権限が要るアプリは見直しを検討し、使うサーバーと端末を限るよう勧めています。動作の確認はベンダーへの問い合わせが要ります。

## 参考資料

- [厚生労働省「医療情報システムの安全管理に関するガイドライン 第 7.0 版 システム運用編」](https://www.mhlw.go.jp/content/10808000/001716295.pdf)
- [厚生労働省「医療情報システムの安全管理に関するガイドライン」関係資料一式](https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html)
- [IPA「中小企業の情報セキュリティ対策ガイドライン」第 4.0 版(2026 年 3 月)](https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0.pdf)

## Junify の場合

**人手で続けると** 同じ型の事故を避けるなら、退職や契約終了のたびにその人が使えた ID をすべて止め、共有のパスワードを配り直し、記録を点検する人を決めて回し続けることになります。

**Junify なら** 侵入の入口になったのは、人が覚えて使い回せるパスワードです。Junify が預かるアカウントでは、これは起きません。パスワードは管理者が登録し、担当者は見ないまま使うので、人づてに広がりません。誰がいつ使ったかは一人ひとり残ります。社内の機器やパソコンの設定は Junify の外です。

Junify は、パスワードを渡さずに社内外の担当者へ仕事を任せるためのアクセス管理サービスです。担当者はスマホで本人認証し、カードをクリックするだけで必要なアカウントにログインできます。パスワードは開示されず、誰がいつどのアカウントを使ったかは個人単位で記録されます。

- [登録不要の体験デモを見る](https://www.junify.jp/bpo/try)
- [30 分デモを予約する](https://www.junify.jp/bpo/demo)

## 同じテーマの記事

- [退職を申し出てから退職日までに技術情報を持ち出された事案から分かる、退職予定者の権限の扱い](/guides/incidents/access-between-resignation-notice-and-last-day): 秘密保持契約を結んでいた元社員が、退職を申し出てから退職するまでの間に営業秘密に当たる技術情報を持ち出したとして逮捕されました。会社は再発防止策に、退職予定者のアクセス権限の停止・制限の強化を挙げています。
- [代行会社の Google アカウントへの不正アクセスで公式 X と YouTube が乗っ取られた事案](/guides/incidents/agency-google-account-breached): 代行会社が使用・管理する Google アカウントへの不正アクセスをきっかけに、公式 X で無関係な投稿が、YouTube でチャンネル名の変更や動画の削除が行われました。
- [委託先のパソコンの感染が社内システムへの侵入につながった事案から分かる、ログインの仕組みの共有](/guides/incidents/contractor-pc-malware-shared-auth): 委託先の従業者のパソコンが悪意のあるプログラムに感染し、関係会社と共通のログインの仕組みでつながっていた社内システムに侵入されました。ユーザー・取引先・従業者の情報 44 万件が漏えいしました。委託先と何を共有しているかが問われました。