岡山県精神科医療センターのランサムウェア被害｜調査報告書が挙げた「全コンピューター同一の管理者パスワード」と水平展開

2024年5月、岡山県精神科医療センターはランサムウェア攻撃を受け、電子カルテを含む総合情報システムに障害が起きました。同センターが設置した第三者調査委員会は2025年2月に調査報告書を公表し、岡山県も県内の医療関係団体に、今後の対策の参考とするよう周知しています。

この記事では、岡山県が示した報告書の概要をもとに、侵入と院内での広がりの原因を整理します。

報告書が推定した2つの原因

報告書の概要は、原因を「ネットワークへの侵入」と「ネットワーク内での水平展開」に分けて推定しています。

ネットワークへの侵入原因

• 保守用SSL-VPN装置の脆弱性の放置
• 推測可能なID・パスワードの使用など

ネットワーク内での水平展開の原因

• 全コンピューターの管理者ID・パスワードが同一だったこと
• 一般ユーザーに管理者権限を付与していたことによる、ウイルス対策ソフトの停止など

背景として、センターとシステムベンダーの厚生労働省ガイドラインへの理解不足、過去のサイバー攻撃事例の軽視、閉域網（限られた利用者だけがアクセスできるネットワーク）への過信が挙げられています。

「水平展開」はログインの繰り返し

水平展開（横展開）とは、最初に入った1台から、社内の他のコンピューターへ次々に入っていくことです。全コンピューターの管理者ID・パスワードが同じなら、攻撃者は1台で手に入れた管理者のパスワードで、他のすべてのコンピューターに管理者としてログインできます。

再発防止策から読み取れること

報告書は、厚生労働省ガイドラインに基づく技術的対策として、次の2つを分けて挙げています。

• 侵入防止：VPN装置の脆弱性修正プログラムの即時適用、パスワードの複雑化など
• 水平展開の対策：パスワードの使い回しの禁止、管理者権限の限定的な付与など

「入られないこと」と「入られた後に広げさせないこと」を、別の対策として扱っている点が重要です。VPN装置の脆弱性は、修正版が出る前に悪用されることもあります。入口がいつか破られる前提で、社内のログインを固めておく必要があります。

パスワードの使い回しをやめ、管理者権限を絞ることに加えて、社内のPC・サーバーのログインに2つ目の要素を加えておけば、1台で盗まれた管理者のパスワードだけでは、他のコンピューターにログインできなくなります。

自社で今日確認できること

• 全PCで、管理者のID・パスワードが同じになっていないか（ローカル管理者パスワードの管理（LAPS））
• 社員の普段のアカウントに管理者権限が付いていないか（Windowsの管理者ユーザーを一覧で確認する方法）
• 保守用のVPN・リモート接続の機器と、その更新状況を把握しているか（VPN脆弱性対策）
• 推測しやすいID・パスワードが残っていないか
• PC・サーバーのログインがパスワードだけで通る状態になっていないか（Windows OSログインの2要素認証）

他の事例：侵入経路と、入られた後の広がり方

公表資料をもとに整理した他の事例です。入口はそれぞれ違っても、入られた後にPC・サーバーへのログインで広がる点は共通しています。

• アサヒ — ネットワーク機器から侵入、管理者権限を奪われ約10日間サーバーへのログインが繰り返された
• アスクル — 多要素認証のない委託先の管理者アカウントから侵入、サーバーの認証情報を集めて移動
• 大阪急性期・総合医療センター — 給食委託先のVPNから侵入、全サーバー共通のWindowsパスワードで横展開
• オーミケンシ — 盗まれた認証情報でVPNから侵入、サーバーとファイルサーバーが暗号化
• 両毛システムズ — VPNアカウントの悪用で侵入、委託元の情報にも影響
• フェース — VPN機器から夜間に侵入、社内のサーバーとPCが操作された
• 第一興商（委託先） — 委託先のPC1台の感染で872万件が漏えいのおそれ

出典

• 岡山県保健医療部医療推進課「岡山県精神科医療センターにおけるサイバー攻撃に係る調査報告書の公表について」（2025年2月14日、別紙「調査報告書の概要について」）
• 地方独立行政法人岡山県精神科医療センター「ランサムウェア事案調査報告書について」

いまの運用を棚卸ししてみる

共通の管理者パスワードや、パスワードだけで通るログインが残っていないか。applippliの無料棚卸しでは、10問・約3分で、PCログインまわりで何が手当て済みで、何がパスワードだけのまま残っているかを一覧にできます。