医療業界のデジタル化のマイナス面。

英国で最近発生したランサムウェア攻撃により、医療サービスが混乱し、多数の手術が中止されたとの報告が相次いでいる。攻撃の標的となったのは、ロンドン中心部にあるキングス・カレッジ病院とガイズ・アンド・セント・トーマス病院。両病院の担当者は、提携先のSynnovis社で大規模なネットワーク障害が発生したことを確認した。

これにより、医療サービス、特に輸血の提供に深刻な影響が出ている。一部の診察予約はキャンセルされたり、他の医療機関に変更されたりしている。英国メディアによると、これはランサムウェア攻撃であり、患者は検査結果を受け取るまでに通常の2倍の時間がかかっているという。

この攻撃により、Synnovis社のITシステムが麻痺し、数千人の患者への医療サービス提供に大きな支障が生じた。インペリアル・カレッジ・ロンドンの分析によると、今回のロンドンにおけるサイバー攻撃による被害額は600万ポンド（700万ユーロ）近くに達すると推定されている。

ランサムウェア攻撃とは、マルウェアによってデータファイルへのアクセスを妨害し、被害者に身代金を支払わせる攻撃のことです。サイバーセキュリティ専門家は、特に医療分野において、この傾向が強まっていると考えています。

EUサイバーセキュリティ機関（ENISA）の広報担当者であるローラ・ホイヴィンク氏は、「デジタル化によって攻撃の範囲が意図せず拡大し、フィッシングやランサムウェア攻撃が増加したため、医療分野はますます標的になりつつある」と述べた。

昨年発表されたENISAの報告書によると、2021年1月から2023年3月までの期間に医療分野で発生したサイバーセキュリティインシデントのうち、ランサムウェア攻撃が54%を占めており、この種の攻撃は「医療業界における最大の脅威」とみなされている。しかし、同機関は、2023年時点でランサムウェア対策プログラムを導入していた医療機関はわずか23%だったと述べている。

報告書によると、新型コロナウイルス感染症のパンデミック期間中、医療分野が主要な標的となり、ランサムウェア攻撃の背後にいる者のほとんどは金銭的利益を目的としていたという。フランスデジタルヘルス庁が5月に発表した別の報告書では、2023年も「悪意のある事件が継続的に発生している」ことが確認されており、医療分野におけるサイバー攻撃の報告件数は581件、そのうち少なくとも半数は悪意のある攻撃だったとされている。

一方、ソフトウェア会社Emsisoftの報告によると、2023年には米国の病院を標的としたランサムウェア攻撃が急増し、140の病院にまたがる46の病院システムが被害を受けた。少なくとも32の病院システムで、保護対象医療データが盗まれた。

イギリスのサリー大学のコンピューターセキュリティ専門家であるアラン・ウッドワード氏は、病院が「多くの異なるベンダーと通信する」ことでシステムが「よりオープン」になり、リスクにさらされる可能性があると述べた。

この専門家によると、「接続が多いほど攻撃の範囲が広がり、犯罪者が侵入する機会も増える」とのことだ。専門家は身代金を支払わないことが重要だと助言しており、中には身代金の支払いを国際的に禁止すべきだと主張する者もいる。

Emsisoftの脅威アナリスト、ブレット・キャロウ氏は次のように強調した。「常に支払いをしないことが推奨される理由は、A：犯罪者を助長するだけであり、B：データを取り戻すことができないからです。」