2022年10月31日、大阪急性期・総合医療センターがランサムウェア攻撃を受け、電子カルテを含むシステムが使えなくなりました。緊急以外の手術や外来を一時停止し、診療が完全に戻ったのは翌年1月11日です。
調査・復旧費用は数億円以上、診療制限による逸失利益は十数億円以上と見込まれています。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
調査委員会が2023年3月28日に公開した報告書の概要版をもとに、どこから入られ、どう院内に広がったかを整理します。委託先とつながる構造やWindowsのパスワードの扱いは、一般の企業と同じです。
報告書が示す攻撃者の7つの手順
入口は病院の外、委託先の給食事業者でした。
- 給食事業者に侵入 — リモート保守用のVPN機器の脆弱性を使って侵入（漏えいしたID・パスワードの可能性もある）
- 給食事業者内で探索・情報窃取 — データセンターのID・パスワードが脆弱で、IPアドレスやパスワードなどを窃取された
- 病院の給食サーバーに侵入 — 窃取した病院サーバーの認証情報で、RDP（リモートデスクトップ）を使って病院の給食サーバーに侵入。ウイルス対策ソフトもアンインストール
- 病院内の認証情報を窃取 — 給食サーバーを踏み台に、院内の他サーバーの認証情報をツールで窃取。給食サーバーと他サーバーのID・パスワードは共通で、窃取は容易だった
- 他のサーバーに侵入 — 窃取した認証情報で、電子カルテなどの基幹システムのサーバーに侵入
- 端末へのログオン試行 — 侵入したサーバーを経由して、端末（クライアント）へのログオンを試みた可能性
- ランサムウェア感染 — 各サーバーで感染・永続化し、身代金要求文書を表示
VPNだけでなく、社内のWi-Fiも同じ「入口」です
社内のWi-Fi（無線LANのルーター・アクセスポイント）も、VPN機器と同じく社内ネットワークへの入口です。次のような状態だと、そこから社内に入られるおそれがあります。
- 機器の脆弱性：Wi-Fiルーターやアクセスポイントにも脆弱性が見つかり、修正版が出ます。更新しないまま使い続けると、VPN機器と同じように悪用されかねません。
- 共有のパスワード：全員で同じWi-Fiのパスワードを使い、退職者・来訪者・業者に知られたまま変えていない。
- 電波は建物の外にも届く：駐車場や隣の建物からでも、パスワードが分かればつながります。WEPなど古い暗号化方式は短時間で解読されます。
VPNから入られても、Wi-Fiから入られても、その先の社内のPC・サーバーがパスワードだけで入れる状態なら、被害は広がります。入口の対策とあわせて、全PC・サーバーのログイン記録を1か所で見られるようにしておくと、見覚えのない接続にすぐ気づけます。さらにPC・サーバーへのログインを2要素認証にしておくと、パスワードだけでは入れなくなります。
社内Wi-Fiから入られる形と確認リストを見る電子カルテを含む基幹システムのサーバーの大部分が暗号化され、PC端末（院内に約2,200台）にも不正アクセスの痕跡がありました。全サーバーと端末をクリーンインストールし、基幹システムのサーバーの再稼働に43日、部門システムを含む診療システム全体の復旧に73日かかっています。
手順3〜6はすべて「ログイン」
脆弱性を突いたのは最初の1回だけです。
手順3から6は、すべて盗んだID・パスワードでのログインです。RDPと共通のパスワードで、正規の利用者のように次々とサーバーに入っています。
報告書は、院内の問題を「横展開を許した初期設定」として次の4点にまとめています。
- ユーザーすべてに管理者権限を与えていたため、ウイルス対策ソフトをアンインストールされた
- Windowsのパスワードが、サーバー・端末ごとにすべて共通で、1つのパスワードが窃取されると他のすべてのサーバー（端末）が乗っ取り可能な状態だった
- アカウントロックアウトの設定がなく、総当たり攻撃や辞書攻撃でログオンが成功した
- 電子カルテのサーバーにウイルス対策ソフトが入っていなかった
報告書の結論
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
中小企業でもまったく同じ状態が起きやすい
「全台でパスワードが共通」は、病院に限った話ではありません。
PCを一括で設定するとき、同じ管理者パスワードを全台に入れるのは珍しくありません。保守業者が覚えやすいように共通にしている例もあります。
1つ盗まれると、全部に入れる
さらに進めるなら、パスワードが盗まれても、それだけではログインできない状態にします。ログインに2つ目の要素があれば、手順3〜6のように次々に入ることはできません。
自社で今日確認できること
報告書の4つの指摘を、自社に当てはめた確認項目です。
- Windowsの管理者パスワードが、複数のサーバー・PCで共通になっていないか
- 社員が普段使うアカウントに、管理者権限が付いていないか（管理者承認モードとUAC）
- アカウントロックアウトが設定されているか（ローカルアカウントのロックアウト設定）
- 委託先・保守業者とのRDP接続が常時つながったままになっていないか（リモートデスクトップで接続できるユーザーの制限）
- サーバー・PCへのログインがパスワードだけで通る状態になっていないか（Windows OSログインの2要素認証）
自社なら普段の管理のどこで気づけるか
報告書の手順を、普段の管理の画面に置きかえて考えてみます。手順3〜6は「ログイン」と「防御の停止」の積み重ねでした。こうした動きは、記録が1か所にまとまっていれば、日々の確認の中で目に入ります。
- 見慣れない接続元からのログイン（手順3・5）：ログイン記録に、日時・利用者・接続元のPC名とIPアドレスが並びます。リモートデスクトップでのログインも同じ一覧です。「委託先とつながるサーバーから、別のサーバーへ入っている」といった動きを、サーバーを1台ずつ開かずに確かめられます
- ウイルス対策ソフトの停止や認証情報の窃取（手順3・4）：アプリップリキーは、偵察→パスワード窃取→防御の無効化→バックアップ破壊というランサムウェアの前兆を、暗号化の前に検知して担当者のLINEに知らせます。LINEのボタンから画面を確かめ、ネットワークから切り離せます
- 総当たりのログイン（報告書の指摘3）：ログインの連続失敗を検知すると、相手のIPを自動で遮断し、LINEで知らせます
異変があるときだけ知らせが届くので、夜間や休日に担当者が画面を見に行く必要はありません。ふだんは、PCの台数・更新漏れ・ログインの記録を同じ画面で確かめるだけです。インターネットにつながっていないPC・サーバーは対象外です。
他の事例：侵入経路と入られた後の広がり方
公表資料をもとに整理した他の事例です。入口はそれぞれ違っても、入られた後にPC・サーバーへのログインで広がる点は共通しています。
- 八王子学園 — ファイアウォールを突破し、リモートデスクトップでサーバーにログイン
- サカタのタネ — リモートアクセス用の公開サーバーを起点に、管理者権限を取得された可能性
- アサヒ — ネットワーク機器から侵入、管理者権限を奪われ約10日間サーバーへのログインが繰り返された
- アスクル — 多要素認証のない委託先の管理者アカウントから侵入、サーバーの認証情報を集めて移動
- 岡山県精神科医療センター — 保守用SSL-VPNから侵入、全コンピューター同一の管理者パスワードで水平展開
- つるぎ町立半田病院（2021年） — 保守用VPN機器の未修正の脆弱性から侵入（ID・パスワードはネット上に流出済み）。院内はパスワード最小5桁・ロックアウトなし・全PC共通のAdministratorで、40台に被害が広がった
- オーミケンシ — 盗まれた認証情報でVPNから侵入、サーバーとファイルサーバーが暗号化
- 両毛システムズ — VPNアカウントの悪用で侵入、委託元の情報にも影響
- フェース — VPN機器から夜間に侵入、社内のサーバーとPCが操作された
- 第一興商（委託先） — 委託先のPC1台の感染で872万件が漏えいのおそれ
出典
- 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会「情報セキュリティインシデント調査報告書 概要」（2023年3月28日）
- 同「調査報告書」（2023年3月28日）
- つるぎ町立半田病院「コンピュータウイルス感染事案有識者会議調査報告書」（2022年6月）
いまの運用を棚卸ししてみる
共通のパスワードや、パスワードだけで通るログインが残っていないか。applippliの無料棚卸しでは、10問・約3分で、PCログインまわりで何が手当て済みで、何がパスワードだけのまま残っているかを一覧にできます。
自社の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。