今回は近年、脅威を増しているサイバー攻撃を取り上げます。

■事例：サイバー攻撃を受けた組織

総務担当のAさんは、最近のサイバー攻撃に関するニュースに関心を持っています。昨年2月のロシアによるウクライナ侵攻が始まってから既に1年半以上が経過し、それに関連したサイバー攻撃がロシアからウクライナに向けて多数行われていることは既知の通りです。日本は当事国ではないものの、日本政府機関や企業への攻撃はすでに多数確認されており、今後の状況によっては日本への攻撃が増える可能性もあると言われています。

実は、Aさんは、友人が勤務する医療機関が数年前にサイバー攻撃を受け、その対応に苦労したことを最近聞かされました。

その医療機関で、ある日突然電子カルテシステムとつながるプリンターが一斉に英文のメッセージを印刷し始めました。その内容は「データを盗み、暗号化した。身代金を支払わなければデータをTor（匿名ネットワーク）にさらす」といったものでした。ほどなく、院内の電子カルテシステムが利用できなくなっていることにスタッフが気づきました。電子カルテシステムの障害により、同システムのデータを参照する会計システムなども連鎖的に利用できなくなってしまい、診療報酬の算定や請求の業務も止まってしまったのでした。

原因は特定されていないとのことですが、おそらく導入しているVPN装置の脆弱性を悪用してランサムウェアが侵入した可能性が高いのではないかと言われています。

その医療機関ではその後、再発防止策の検討のため有識者会議を設置し、その報告書が提出されました。そこで「組織的な課題」として以下の項目が指摘されました。

 少しパソコンに詳しい庶務係がIT担当であった
 経営状況からサイバーセキュリティーへの予算確保が十分でなかった。
 自分たちがサイバー攻撃の標的になるというリスクが欠如していた
 知識がないためセキュリティ対策を具体的に落とし込めていなかった

これを聞いたAさんは「その指摘は、我が社にそのまま当てはまる」と愕然としました。その医療機関では、データ復旧を依頼した会社に数千万円の支払いを行ったともいわれていて、そのこともAさんを驚かせました。

「ニュースにならないだけで、実は今、多くの会社でサイバー攻撃を受けているとも聞いている。わが社も決して他山の石ではない。サーバーセキュリティに関する社内の啓蒙も含め、早急に対策を強化しなければならない」とAさんは思っています。