医療機関へのランサムウェア攻撃：米国の 4200万人分の情報がダークウェブへ

Personal health information of 42M Americans leaked between 2016 and 2021

2022/12/31 SecurityAffairs — 2016年以降において、4200万人のアメリカ人の医療記録がダークウェブで販売されている。これらの情報は、医療機関へのサイバー攻撃により窃取されたものである。Jama Network の研究者たちは、米国の病院／診療所／医療提供組織に対する、2016年〜2021年のランサムウェア攻撃の傾向を分析した。攻撃による一般的な業務上の混乱としては、予約と手術のキャンセル／電子システムのダウンタイム／救急車の迂回などがあった。研究者たちは、業務上の混乱期間と、攻撃に関連する、その他のデータを算出した。

2016年から2021年にかけて、ランサムウェアの年間攻撃回数は、43回から91回の間で推移している。 

Jama Network が発表したレポートによると、「374件のランサムウェア攻撃を対象とした調査では、医療提供組織に対するランサムウェア攻撃の年間件数が、2016年から2021年にかけて２倍以上に増え、約 4200万人の患者の個人健康情報が流出している。この調査の期間において、ランサムウェア攻撃は、より大量の個人健康情報を暴露し、複数の施設を持つ大規模な組織に影響を与える確率が高くなっている」と記されている。

この調査期間中において研究者たちは、医療システムから 41 987 751人の個人健康情報 (PHI : Protected Health Information) を暴露した、374件のランサムウェア攻撃を記録している。個人の健康情報の漏洩については、2016年の訳 130万人から、2021年の約 1650万人へと、11倍以上に増加している。

ランサムウェアの攻撃を受けた医療機関の 20.6％ は、バックアップからのデータ復元を実現できた。また、ランサムウェア攻撃の 15.8% は、盗み出された PHI がダークウェブ・フォーラムで流出されている。

ランサムウェア攻撃は、主に診療所を標的としており、それに続くのが病院／デリバリー組織／外来外科センター／精神衛生組織／歯科診療所／後期治療組織となっている。 また、専門家たちは、全ランサムウェア攻撃の 52.9% が、組織内の複数の施設に影響を及ぼしていると報告している。

Jama Network は、「このコホート調査の結果は、2016年から2021年にかけて、医療提供組織に対するランサムウェア攻撃の頻度と精巧さが増加したことを示唆している。これらの攻撃により PHI が暴露され、医療提供が頻繁に中断させられた。これらの中断による、運用および臨床ケアの結果をより正確に理解するために、さらなる研究が必要だ。複数の業界にわたるランサムウェア攻撃の脅威に対抗するために、政策立案者が法案を作成する際には、業務上の混乱により、患者ケアの質と安全に甚大な影響を生じる、医療提供組織特有のニーズに注目するよう強く求める」と述べている。

医療機関を標的とするサイバー攻撃が止まりません。日本においても、大阪急性期総合医療センターに対するランサムウェア攻撃が発生しています。また、2022年10月30日の「医療機関とサイバー攻撃：犯罪者にとって魅力的なターゲットであり続ける理由は？」には、「ヘルスケア業界への攻撃は、成功の確率が高いため、脅威アクターにとって有利なターゲットである」と記されています。身代金については、2021年9月1日の「ある CISO の証言：ランサムウェアと身代金の関係は柔軟に考えるべき？」が、とても興味深い見解を提供しています。文中にある医療提供組織特有のニーズとも、合致する部分があるように思えます。よろしければ、カテゴリ Healthcare も、ご参照ください。