公表された病院の調査報告書を読み比べると、侵入の入口として推定されているのは、ほとんどが業者の保守用のVPN装置です。
入られたあとに被害が広がった理由も、よく似ています。全員に管理者権限がついていた、パスワードが共通だった、ウイルス対策ソフトが止められた、の3つです。
だから、小さな医療機関がまずやることも3つに絞れます。外からの入口を把握して閉じる・更新する、入られても広がらないようにする、止まっても戻せるようにする、です。
公表された主な事例
調査報告書や公式の発表で、経緯が分かる主な事例をまとめます。
| 時期 | 医療機関（規模） | 診療への影響 | 入口として報告されたもの |
|---|---|---|---|
| 2021年10月 | つるぎ町立半田病院（120床） | 通常の診療に戻るまで約2か月強 | 保守用のVPN装置の弱点を悪用した可能性が極めて高い（推定） |
| 2022年10月 | 大阪急性期・総合医療センター（865床） | 基幹システムの再開まで43日、全体の復旧まで73日 | 給食業者の保守用VPN装置から入り、病院へのリモート接続を経由（推定） |
| 2024年5月 | 岡山県精神科医療センター（255床） | 電子カルテなどの完全復旧まで約3か月 | 保守用VPN装置の弱点の放置、推測できるID・パスワード（複数の可能性） |
| 2025年2月 | 宇都宮セントラルクリニック（診療所） | すべての診療・健診の通常再開まで約3か月 | 公表されていない |
| 2026年1〜2月 | 日本医科大学武蔵小杉病院（372床） | 外来・入院・救急は通常どおり継続 | 医療機器の保守用VPN装置の弱点を悪用した不正アクセス |
半田病院と大阪急性期・総合医療センターの報告書は、装置の記録（ログ）が残っていなかったため、侵入経路を断定できなかったとしています。表の「推定」はそのためです。
診療所でも、数か月止まる
診療所の事例として、2025年2月の宇都宮セントラルクリニックを見てみます。公式の発表によると、経緯は次のとおりです。
- 2月10日にシステム障害が起き、調査でサーバがランサムウェアの攻撃を受けたことが分かった
- サーバをインターネットや院内のネットワークから切り離したため、院内のシステムが使えない状態が続いた
- サーバには最大で約30万人分の個人情報（患者の氏名・住所・診療や健診の情報など）が記録されていた
- 個人情報保護委員会・厚生労働省・警察に報告し、外部の調査機関に調査を依頼した
- 5月14日に、すべての診療・健診が通常の業務に戻った
復旧にあたっては、サーバとパソコンを新しく買う、または初期化し直してシステムを作り直し、監視の仕組みを入れ、外部のネットワークから切り離したと発表しています。侵入経路は公表されていません。
規模が小さくても、止まれば数か月単位になる。この事例から読み取れるいちばん大きな教訓です。
共通する入口：業者の保守用VPN装置
半田病院：直されていなかった弱点
半田病院の報告書は、電子カルテなどのシステムがメールやWeb閲覧に使われていなかったことなどから、保守の際に接続するVPNだけが侵入経路と考えられるとしています。
そのVPN装置は、導入されてから一度もソフトの更新がされておらず、数年前に公表された弱点が残ったままでした。2021年9月に、この弱点を悪用して世界中の装置のIDとパスワードが公開され、その中に半田病院の装置の情報も含まれていたことが確認されています。
さらに、装置は接続元を制限しておらず、どこからでもつなげる設定で、VPNの接続に多要素認証もありませんでした。
大阪急性期・総合医療センター：取引先から入られた
大阪の事例では、入口は病院の外にありました。報告書の概要によると、推定される流れは次のとおりです。
- 給食業者のシステムに、保守のために設置されたVPN装置の弱点を使って侵入
- 給食業者の中で、病院のサーバの認証情報を手に入れる
- 常時つながっていたリモート接続を使って、病院の給食サーバに入る
- サーバ同士で共通だったID・パスワードを使って、電子カルテなどの基幹システムに広がる
報告書は、病院の側の課題として、外部との接続をすべては把握していなかったこと、VPN装置の更新を誰が担うかがあいまいだったことを挙げています。
警察庁の統計でも、VPN機器が最多
業種を問わない警察庁の統計でも、ランサムウェアの侵入経路が分かったもののうち、VPN機器からが令和7年は66.3%、令和8年上半期は50.0%でした。
令和8年上半期のランサムウェアの被害報告は123件で、そのうち医療・福祉は9件です。
「閉じたネットワークだから安全」は通用しない
3つの病院の報告書は、そろって同じ思い込みを原因に挙げています。医療機関のネットワークは閉じているから安全だ、という考えです。
半田病院の報告書は、医療機関で閉域網と呼ばれているものも、ソフトウェアの供給元に対しては開かれたネットワークであり、間接的にインターネットとつながっていると認識すべきだ、としています。
入ったあとに広がった理由
入口を突破されたあと、院内に一気に広がった理由も共通しています。大阪急性期・総合医療センターの報告書が挙げた初期設定の問題は、次のとおりです。
- すべての利用者に管理者権限がついていた
- サーバやパソコンのWindowsのパスワードが共通だった
- 何度間違えてもロックされない設定だった
- 電子カルテのサーバに、ウイルス対策ソフトが入っていなかった
岡山県精神科医療センターの報告書も、管理者パスワードの使い回し、管理者権限の付与、ウイルス対策の停止について、半田病院・大阪の事案と「まったく同じ」だったと指摘しています。そのうえで、多くは厚生労働省のガイドラインを守っていれば防げたと評価しています。
止まると、何が起きるか
大阪急性期・総合医療センターでは、被害の翌月（2022年11月）の実績が、前の年の同じ月の2割前後まで落ち込みました。
| 項目 | 2022年11月 | 前年同月に対する割合 |
|---|---|---|
| 初診の患者 | 465人 | 17.9% |
| 手術 | 168件 | 28.1% |
| 救急車の受け入れ | 88件 | 13.0% |
調査と復旧の費用で数億円、診療を制限したことによる収入の減少は十数億円以上を見込むとしています。
半田病院では、一時、救急や新しい患者の受け入れを止め、手術もできる限り延期しました。報告書は、病院としての機能が事実上止まった状態だったと書いています。
最初の3つの対策
ここまでの事例をふまえると、小さな医療機関が最初にやることは、次の3つにまとまります。
事例から分かる「最初の3つの対策」
- 1外からの入口を把握して、閉じる・更新する保守用のVPN装置など。どこにあるか、誰が更新するかを業者と確認する
チェックリスト 2-②・2-⑥・2-⑭ - 2入られても広がらないようにする管理者権限を絞る。パスワードを長く、使い回さない
チェックリスト 2-④・2-⑦・2-⑧ - 3止まっても戻せるようにするネットから切り離したバックアップと、紙で診療を続ける計画
チェックリスト 3-②・3-③
1. 外からの入口を把握して、閉じる・更新する
業者に、リモート保守に使っている機器と、その更新を誰が担うかを確認します。サポートが終わった装置や、常時つながったままの接続は、業者と相談して見直します。
確認の仕方は、リモートメンテナンスの確認の仕方で詳しく解説しています。
2. 入られても広がらないようにする
管理者権限は必要な人だけにし、パスワードは長く、機器ごとに変えて使い回さないようにします。業者が管理するサーバや機器のパスワードも、事業者確認用のチェックリストで確認します。
3. 止まっても戻せるようにする
バックアップは、最新のものだけでなく前のものも残し、一部はネットから切り離して保管します。あわせて、システムが止まったときに紙でどう診療を続けるかをBCPに書いておきます。
厚生労働省も、岡山の事案を受けた2024年8月の周知依頼で、パスワードの強化と使い回しの禁止、外部との接続点の確認、ネットワーク機器の速やかな更新を「最低限の措置」として挙げています。
攻撃でなくても、診療は止まる
最後に、少し違う事例を紹介します。2026年4月に市立奈良病院で起きたシステム障害は、サイバー攻撃ではありませんでした。
奈良市の報告書によると、セキュリティ監視装置のソフトが自動で更新され、院内の通常の通信を異常と判断して、自動的に遮断したことが原因でした。救急の受け入れが約53時間止まり、予定手術の一部が延期されています。
報告書は、緊急の遮断や診療の制限を誰が判断するのかを決めておくこと、必要な記録（ログ）を残しておくことなどを指摘しています。
守る仕組みも、止まったときの判断のルールとセットで考える必要がある、という教訓です。
今日やること
- 保守の業者に、リモート保守に使っている機器と、その更新の担当を確認する
- 院内のパソコンで、管理者権限を持っている人と、共通のパスワードがないかを確認する
- バックアップがどこに、何世代あるか、ネットから切り離したものがあるかを業者に確認する
3つとも、チェックリストの項目に直結しています。全体の進め方は医療機関のサイバーセキュリティ対策は義務？から確認してください。
