2024年5月19日、岡山県精神科医療センターはランサムウェア攻撃を受け、電子カルテを含む総合情報システムに障害が起きました。センターは2025年2月13日に第三者調査委員会がまとめた調査報告書を公表し、岡山県も翌14日付で県内の医療関係団体に周知しています。
この記事では報告書の概要をもとに、侵入と院内での広がりの原因を整理します。
報告書が推定した2つの原因
報告書の概要は、原因を「ネットワークへの侵入」と「ネットワーク内での水平展開」に分けて推定しています。
ネットワークへの侵入原因
- 保守用SSL-VPN装置の脆弱性の放置
- 推測可能なID・パスワードの使用など
ネットワーク内での水平展開の原因
- 全コンピューターの管理者ID・パスワードが同一だったこと
- 一般ユーザーに管理者権限を付与していたことによる、ウイルス対策ソフトの停止など
背景として、次の3点が挙げられています。
- センターとシステムベンダーの、厚生労働省ガイドラインへの理解不足
- 過去のサイバー攻撃事例の軽視
- 閉域網（限られた利用者だけがアクセスできるネットワーク）への過信
「水平展開」はログインの繰り返し
被害が院内全体に広がった理由は、特別な技術ではなく「同じパスワードでのログイン」でした。
同一の管理者パスワードで広がる流れ
- 1
1台に入る
保守用VPNから
- 2
管理者のパスワードを得る
1台目で取得
- 3
全台にログイン
全PCで同じなので通る
約1年半前と同じ原因
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
報告書が挙げた対策から読み取れること
報告書は、厚生労働省ガイドラインに基づく技術的対策を2つに分けて挙げています。
- 侵入の対策：VPN装置の脆弱性修正プログラムの即時適用、パスワードの複雑化など
- 水平展開の対策：パスワードの使い回しの禁止、管理者権限の限定的な付与など
「入られないこと」と「入られた後に広げさせないこと」を、別の対策として扱っている点が重要です。VPN装置の脆弱性は、修正版が出る前に悪用されることもあります。
VPNだけでなく、社内のWi-Fiも同じ「入口」です
社内のWi-Fi（無線LANのルーター・アクセスポイント）も、VPN機器と同じく社内ネットワークへの入口です。次のような状態だと、そこから社内に入られるおそれがあります。
- 機器の脆弱性：Wi-Fiルーターやアクセスポイントにも脆弱性が見つかり、修正版が出ます。更新しないまま使い続けると、VPN機器と同じように悪用されかねません。
- 共有のパスワード：全員で同じWi-Fiのパスワードを使い、退職者・来訪者・業者に知られたまま変えていない。
- 電波は建物の外にも届く：駐車場や隣の建物からでも、パスワードが分かればつながります。WEPなど古い暗号化方式は短時間で解読されます。
VPNから入られても、Wi-Fiから入られても、その先の社内のPC・サーバーがパスワードだけで入れる状態なら、被害は広がります。入口の対策とあわせて、全PC・サーバーのログイン記録を1か所で見られるようにしておくと、見覚えのない接続にすぐ気づけます。さらにPC・サーバーへのログインを2要素認証にしておくと、パスワードだけでは入れなくなります。
社内Wi-Fiから入られる形と確認リストを見る入口とは別に、ログインの側でも備える
自社で今日確認できること
報告書の原因を、そのまま自社の確認項目に置き換えます。
- 全PCで、管理者のID・パスワードが同じになっていないか（ローカル管理者パスワードの管理（LAPS））
- 社員の普段のアカウントに管理者権限が付いていないか（Windowsの管理者ユーザーを一覧で確認する方法）
- 保守用のVPN・リモート接続の機器と、その更新状況を把握しているか（VPN脆弱性対策）
- 推測しやすいID・パスワードが残っていないか
- PC・サーバーのログインがパスワードだけで通る状態になっていないか（Windows OSログインの2要素認証）
自社なら普段の管理のどこで気づけるか
この事例の水平展開は、管理者のパスワードでのログインが繰り返されたものでした。普段から全PC・サーバーのログイン記録を1か所で見られるようにしておけば、「夜中に管理者で何台にも入っている」ような普段と違う動きに、1台ずつイベントログを開かずに気づけます。更新漏れやサポートの切れたOSも深刻な順に並ぶので、VPN装置以外のPC・サーバーで、どこから直すかも迷いません。何もない日は画面を見に行く必要はなく、異変があるときだけ担当者のLINEに届きます。
他の事例：侵入経路と入られた後の広がり方
公表資料をもとに整理した他の事例です。入口はそれぞれ違っても、入られた後にPC・サーバーへのログインで広がる点は共通しています。
- 八王子学園 — ファイアウォールを突破し、リモートデスクトップでサーバーにログイン
- サカタのタネ — リモートアクセス用の公開サーバーを起点に、管理者権限を取得された可能性
- アサヒ — ネットワーク機器から侵入、管理者権限を奪われ約10日間サーバーへのログインが繰り返された
- アスクル — 多要素認証のない委託先の管理者アカウントから侵入、サーバーの認証情報を集めて移動
- 大阪急性期・総合医療センター — 給食委託先のVPNから侵入、全サーバー共通のWindowsパスワードで横展開
- オーミケンシ — 盗まれた認証情報でVPNから侵入、サーバーとファイルサーバーが暗号化
- 両毛システムズ — VPNアカウントの悪用で侵入、委託元の情報にも影響
- フェース — VPN機器から夜間に侵入、社内のサーバーとPCが操作された
- 第一興商（委託先） — 委託先のPC1台の感染で872万件が漏えいのおそれ
出典
- 岡山県保健医療部医療推進課「岡山県精神科医療センターにおけるサイバー攻撃に係る調査報告書の公表について」（2025年2月14日、別紙「調査報告書の概要について」）
- 地方独立行政法人岡山県精神科医療センター「ランサムウェア事案調査報告書について」（2025年2月13日）
- 同「当センターの電子カルテシステムの障害発生について（第２報）」（2024年5月21日）
いまの運用を棚卸ししてみる
applippliの無料棚卸しでは、10問・約3分で、PCログインまわりで何が手当て済みで、何がパスワードだけのまま残っているかを一覧にできます。