㊢
各都道府県衛生主管部（局）事務連絡
令 和 ３ 年 ６ 月 28 日

御中

厚生労働省政策統括官付サイバーセキュリティ担当参事官室
厚生労働省医政局研究開発振興課医療情報技術推進室
厚生労働省医薬・生活衛生局医療機器審査管理課
厚生労働省医薬・生活衛生局医薬安全対策課

医療機関を標的としたランサムウェアによるサイバー攻撃について(注意喚起)

近年、国内外の医療機関を標的とした、ランサムウェアを利用したサイバー攻撃による被害が増加している（別添１参照）。ランサムウェアによるサイバー攻撃は国境を超えて実行されており、我が国においても、世界各国と同様にリスクが高まっているところである。医療機関の情報システムがランサムウェアに感染すると、保有する情報資産（データ等）が暗号化され、電子カルテシステムが利用できなくなって診療に支障が生じたり、患者の個人情報が窃取されたりする等の甚大な被害をもたらす可能性がある。
また、新型コロナウイルスに関連した医療機関へのサイバー攻撃や７月から開催されるオリンピック・パラリンピック東京大会においても、大会関係機関等を狙ったサイバー攻撃等が予見されるところである。
ついては、４月 30 日付けで発出された内閣官房内閣サイバーセキュリティセンタ
ーからの注意喚起（別添２参照）について、改めて、貴管内の医療機関に対し周知するとともに、下記に示したランサムウェアによるサイバー攻撃の解説及び対策例を参考に、関係医療機関に対し注意喚起をお願いする。

また、医療機関と医療機器製造販売業者の連携によって、医療機器に係る必要なサイバーセキュリティ対応が円滑に行われるよう、下記のうち「医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律」（昭和 35 年法律第 145 号）に関係する各種手続き（以下「薬事手続き」という。）について、改めて貴管下関係製造販売業者等に周知方お願いする。
記１

ランサムウェアについて
ランサムウェアはコンピュータに感染すると、コンピュータ内のデータを暗号化、もしくはシステムをロックして使用不可の状態にし、元に戻すための身代金（仮想通貨であることが多い。）を払うことを要求（脅迫）するコンピュータウイルスである。

２

最近の攻撃の手口
最近は、次のような２つの攻撃手口が多く見られる。
（１）二重脅迫
暗号化したデータを復旧するための身代金要求に加え、暗号化する前にデータを窃取し、窃取したデータの一部をインターネットに公開してデータの所持を誇示し、身代金を支払わなければ残りのデータを全て公開する、といった二重脅迫の被害が確認されている。
（２）人手によるランサムウェア攻撃
従来のランサムウェアは、ランサムウェア本体がダウンロードされたコンピュータ内の情報を暗号化したり、ランサムウェアを添付したメールを組織内にばらまいたりするような単純な感染拡大であったが、最近は攻撃者から遠隔でコントロールされたランサムウェアが、組織内のネットワークを探索し、ドメインコントローラ（LAN 内にあるコンピュータや利用者アカウントなどを集中管理するサーバ）やセキュリティパッチやソフトウェア等の配信サーバなどの重要なサーバをランサムウェアの管理下に置き、それらから一斉に組織内の端末やサーバ、特にバックアップサーバにランサムウェアを感染させるような攻撃が確認されている。
３

ランサムウェア攻撃への対策
主な対策としては、次のようなものが挙げられる。
（１）組織のネットワークへの侵入対策

①

攻撃対象領域の最小化
インターネットからアクセス可能な、あるいは公開するサーバやネットワーク機器を最低限にするとともに、インターネット経由で利用するアプリケーションも最低限にする。さらに、それらが乗っ取られる場合を考慮し、そこからアクセス可能な範囲を限定する。
② なりすまし、不正ログイン対策
組織外からの認証・認可の対象や範囲を特定し、限定する。多要素認証等の強固な認証方式を採用するとともに、アクセスや認証のログを取得し、監視する。
③ 脆弱性対策
端末及び利用ソフトウェア、ファームウェア（ハードウェアを直接操作するソフトウェアでハードウェア内にある）等を常に最新の状態に保つ。最近は、脆弱性が公開されてから、その脆弱性を悪用する手法が出回るまでの期間が短いため、迅速に対応できるよう体制や計画を整備する。
④

ウイルス対策ソフト
ウイルス対策ソフトを導入し、定義ファイルを最新の状態に保つ。
⑤ 拠点間ネットワークのアクセス制御
ランサムウェア攻撃に限らず、複数の拠点をネットワークで接続している場
合、対策の弱い拠点から侵入され、そこから侵入される事例が散見されるため、拠点間のアクセス制御を見直す。
⑥ 攻撃メール対策
攻撃メールへのセキュリティ装置等による対策や、職員の啓発や訓練を行う。
⑦ 内部対策攻撃者による侵害を早期に検知するため、統合ログ管理、内部ネットワーク監視、コンピュータの不審な動作を監視する仕組み（製品等）を導入する。
⑧ ログの取得と保存
感染経路、他の端末、サーバへの感染拡大の有無の確認等を行うため、各種のログを取得し、一定期間（1 年以上を推奨）保存する。
⑨ その他
夜間等に活動し、感染を広げるランサムウェアの被害を防止するため、使用していないパソコンの電源を切る。
（２）インシデント対応体制の構築
実被害を抑制するために、ウイルス等の不審な活動を検知した際に素早く対応できるインシデント対応体制を構築する。特に、迅速に意思決定を下すためには組織の意思決定層を含めた体制を構築することが必要である。

次の事項は、事前に決めておくべき項目の例となる。
① インシデント発生が疑われる不審な事象が確認された場合の対処の手順や報告手順の整理② 調査対象システムの保全方法（メモリダンプ、ディスクイメージの取得等）の整備③ システム停止やネットワーク遮断など、業務に大きな影響を与える対処の判断方法の明確化（３）データ・システムのバックアップ
事業継続のため、データやシステムのバックアップを行う。ランサムウェアの影響は、感染端末のみならず、感染端末からアクセス可能な別の端末やクラウド上のデータにも及ぶ可能性があるため、データをバックアップする際には、次の点に留意する必要がある。
① 重要なファイルは、定期的にバックアップを取得する。
②

バックアップに使用する装置・媒体は、バックアップ時及びバックアップデータの戻し時のみ対象機器と接続する。
③ バックアップ中に感染する可能性を考慮し、バックアップに使用する装置・媒体は複数用意する。
④ バックアップの妥当性（バックアップが正常に取得できているか、現状のバックアップ手法が攻撃に対して有効か）を定期的に確認する。
⑤ データのみならず、システムの再構築を含めた復旧計画を策定する。
（４）情報窃取とリークへの対策
情報が窃取され、公開される脅威については、次のような対策が考えられる。
① IRM（Information Rights Management）等の情報漏えい対策（情報が窃取されても被害を限定的な範囲に留める対策）を導入する。
② 重要データを取り扱うコンピュータを接続するネットワークと一般職員が扱うパソコンを接続するネットワークを別のネットワークアドレスにするなどによりネットワーク経由での侵害範囲拡大に対するハードルを上げる。
（５）医療情報システム等のセキュリティ対策
医療情報システム等では、安定稼働が優先され、閉域ネットワークであることを理由に、端末やアプリケーションへのセキュリティパッチの適用が見送られることがある。しかし、過去には、業務上の必要性により持ち込んだ USB メモリを介した感染事例や保守のために持ち込んだ端末が既にコンピュータウイルスに感染していて、そこから感染が拡大した事例がある。

また、医療情報システムを閉域ネットワークで運用している場合においても、医療機器業者が緊急保守等のために用意したリモートアクセス回線を限定的に使用させたこと等により、そこから感染した事例もある。
このため、医療機器の製造販売業者やシステムの保守業者にセキュリティパッチの適用による影響を確認し、セキュリティパッチを適用する。
（６）その他医療機器のサイバーセキュリティ対応に係る留意点
医療機器のサイバーセキュリティ対応については、医療機器の製造販売業者向けに、「医療機器のサイバーセキュリティの確保に関するガイダンスについて」（平成 30 年７月 24 日付け薬生機審発 0724 第 1 号、薬生安発 0724 第 1 号厚生労働省医薬・生活衛生局医療機器審査管理課長、医薬安全対策課長連名通知）（別添３参照）及び「国際医療機器規制当局フォーラム(IMDRF)による医療機器サイバーセキュリティの原則及び実践に関するガイダンスの公表について」（令和２年５月 13 日付け薬生機審発 0513 第１号・薬生安発 0513 第１号厚生労働省医薬・生活衛生局医療機器審査管理課長、医薬安全対策課長連名通知）（別添４参照）が発出されている。
また、医療機器プログラムにおけるセキュリティアップデートやセキュリティパッチ対応等を実施するにあったては、「医療機器プログラムの一部変更に伴う軽微変更手続き等の取扱いについて（平成 29 年 10 月 20 日付け薬生機審発1020 第 1 号厚生労働省医薬・生活衛生局医療機器審査管理課長通知）（別添５参照）等において、医療機器としての使用目的又は効果及びその性能に影響を与えない範囲においては、簡略化した薬事手続きにより迅速に対応できるとされており、医療機器プログラム以外の医療機器の薬事手続きにおいても参考にすることができる。
なお、個別の医療機器のサイバーセキュリティ対応に係る薬事手続きについては、必要に応じ、独立行政法人医薬品医療機器総合機構又は登録認証機関に相談すること。