岡山県精神科医療センターがランサムウエア被害の調査報告書を公表した。攻撃者の侵入経路はデータセンターに設置した保守用のVPN装置だった。同装置の更新を怠り、推測されやすいIDやパスワードを使い回していた。他の病院で被害が出ているにもかかわらず、過去の教訓を生かせなかった。背景に浮かび上がるのは、関係者の危機意識の低さや悪しき慣習の存在だ。
「VPN（仮想私設網）を使っていれば、閉域網なので安全だという認識でいた。接続元のIPアドレスを制限するかについては議題にも上がらなかった」――。岡山県精神科医療センターが使う電子カルテベンダーは侵入の原因と見られるVPN装置について、認識をこう語った。
2025年2月、病院のランサムウエア事案の調査などに携わるソフトウェア協会・Software ISACに設置された調査委員会は、2024年5月に発生した岡山県精神科医療センターのランサムウエア被害について経緯や攻撃経路、原因、対策などをまとめた報告書を発表した。
報告書は攻撃者の侵入・展開を許した原因と見られるセキュリティー上の問題点として、ネットワーク機器やコンピューターのソフトウエアの脆弱性放置、推測されやすいID／パスワードの設定や使い回しなどを挙げた。2021年10月に徳島県のつるぎ町立半田病院、2022年10月に大阪急性期・総合医療センターでそれぞれ発生したランサムウエア被害でも専門家が指摘していたものだ。岡山県精神科医療センターは過去の教訓を生かせなかったわけだ。
被害は病院内のLANだけでなく、病院と離れた場所にある東古松サンクト診療所やデータセンターまで広がった。電子カルテシステムなどのサーバー（物理／仮想）約30台、病院情報システム系端末244台が暗号化による障害を起こした。サーバー群のデータを保存していた共有ストレージのデータは全て消えた。
岡山県警察は攻撃者による情報窃取と情報漏洩を確認。氏名や住所、生年月日、病名などを含む最大4万人分の個人情報が漏洩した可能性があるとした。
攻撃者が不正侵入に利用したと見られるのはデータセンター内にある病院情報システム保守用のVPN装置だ。電子カルテベンダーがインターネットから病院内のLANに接続する際に同装置を経由していた。
