2022年10月31日、大阪急性期・総合医療センターはランサムウェア攻撃を受け、電子カルテを含む総合情報システムが使えなくなりました。緊急以外の手術や外来診療を一時停止し、診療機能が完全に戻ったのは翌年1月11日です。調査・復旧費用は数億円以上、診療制限による逸失利益は十数億円以上と見込まれています。
同センターの調査委員会は2023年3月28日に調査報告書と概要版を公開しました。この記事では概要版をもとに、攻撃者がどこから入り、どうやって院内に広がったかを整理します。病院の事例ですが、委託先とつながる構造や、Windowsのパスワードの扱いは一般の企業とまったく同じです。
報告書が示す、攻撃者の7つの手順
- 給食事業者に侵入 — 給食事業者の給食システムに、リモート保守用に設置されたVPN機器の脆弱性を使って侵入（漏えい・公開されていたID・パスワードで侵入された可能性もある）
- 給食事業者内で探索・情報窃取 — 給食事業者のデータセンターのID・パスワードが脆弱で、容易に不正アクセスされ、IPアドレスやパスワードなどを窃取された
- 病院の給食サーバーに侵入 — 窃取した病院サーバーの認証情報で、RDP（リモートデスクトップ）を使って病院の給食サーバーに侵入。ウイルス対策ソフトもアンインストール
- 病院内の認証情報を窃取 — 給食サーバーを踏み台に、院内の他サーバーの認証情報をツールで窃取。給食サーバーと他サーバーのID・パスワードは共通で、窃取は容易だった
- 他のサーバーに侵入 — 窃取した認証情報で、電子カルテなどの基幹システムのサーバーに侵入
- 端末へのログオン試行 — 侵入したサーバーを経由して、端末（クライアント）へのログオンを試みた可能性
- ランサムウェア感染 — 各サーバーで感染・永続化し、身代金要求文書を表示
結果として、基幹システムのサーバーの大部分が暗号化され、院内の約2,200台のPCにも不正アクセスの痕跡がありました。すべてのサーバーと端末をクリーンインストールすることになり、全体の復旧に73日かかっています。
手順3〜6は、すべて「ログイン」
7つの手順を見直すと、入口（手順1）の後に続く手順3から6は、すべて盗んだID・パスワードでのログインです。脆弱性を突いたのは最初の1回で、その後はRDPと共通のパスワードで、正規の利用者のように次々とサーバーに入っています。
報告書は、院内の問題を「横展開を許した初期設定」として次の4点にまとめています。
- ユーザーすべてに管理者権限を与えていたため、ウイルス対策ソフトをアンインストールされた
- Windowsのパスワードが、サーバー・端末ごとにすべて共通で、1つのパスワードが窃取されると他のすべてのサーバー（端末）が乗っ取り可能な状態だった
- アカウントロックアウトの設定がなく、総当たり攻撃や辞書攻撃でログオンが成功した
- 電子カルテのサーバーにウイルス対策ソフトが入っていなかった
そして報告書は、「侵入を許した場合でも初期設定が適切であれば、大規模に横展開されることはなかった可能性がある」と結論づけています。入口の対策とは別に、入られた後に広げさせない設定が被害の大きさを分けた、ということです。
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
中小企業でも、まったく同じ状態が起きやすい
「全サーバー・全端末でWindowsのパスワードが共通」という状態は、病院に限りません。PCを一括で設定するとき、同じ管理者パスワードを全台に入れるのは珍しくありません。保守業者が覚えやすいように共通にしている例もあります。
1つ盗まれると、全部に入れる
さらに一歩進めると、パスワードが盗まれても、それだけではログインできない状態にしておく方法があります。サーバーや端末のログインに2つ目の要素があれば、手順3〜6のように盗んだパスワードで次々に入ることはできません。
社内のWindows PC・サーバーへのログインを、社員のスマホでのワンタッチ承認にできます。共通のパスワードが盗まれても、それだけでは他のサーバーや端末にログインできません製品サイトを見る（アプリップリキー）自社で今日確認できること
- Windowsの管理者パスワードが、複数のサーバー・PCで共通になっていないか
- 社員が普段使うアカウントに、管理者権限が付いていないか（管理者承認モードとUAC）
- アカウントロックアウトが設定されているか（ローカルアカウントのロックアウト設定）
- 委託先・保守業者とのRDP接続が常時つながったままになっていないか（リモートデスクトップで接続できるユーザーの制限）
- サーバー・PCへのログインがパスワードだけで通る状態になっていないか（Windows OSログインの2要素認証）
他の事例：侵入経路と、入られた後の広がり方
公表資料をもとに整理した他の事例です。入口はそれぞれ違っても、入られた後にPC・サーバーへのログインで広がる点は共通しています。
- アサヒ — ネットワーク機器から侵入、管理者権限を奪われ約10日間サーバーへのログインが繰り返された
- アスクル — 多要素認証のない委託先の管理者アカウントから侵入、サーバーの認証情報を集めて移動
- 岡山県精神科医療センター — 保守用SSL-VPNから侵入、全コンピューター同一の管理者パスワードで水平展開
- オーミケンシ — 盗まれた認証情報でVPNから侵入、サーバーとファイルサーバーが暗号化
- 両毛システムズ — VPNアカウントの悪用で侵入、委託元の情報にも影響
- フェース — VPN機器から夜間に侵入、社内のサーバーとPCが操作された
- 第一興商（委託先） — 委託先のPC1台の感染で872万件が漏えいのおそれ
出典
- 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会「情報セキュリティインシデント調査報告書 概要」（2023年3月28日）
- 同「調査報告書」（2023年3月28日）
いまの運用を棚卸ししてみる
共通のパスワードや、パスワードだけで通るログインが残っていないか。applippliの無料棚卸しでは、10問・約3分で、PCログインまわりで何が手当て済みで、何がパスワードだけのまま残っているかを一覧にできます。