2025年病院・クリニックへのサイバー攻撃やインシデントによる情報漏洩事例と対策|セキュリティニュース-セキュリティ対策 Lab

1 宇都宮セントラルクリニック、ランサムウェアによるサイバー攻撃最大約30万人分が漏えいの可能性
- 1.1 何が起きたか・原因
2 ロンドンNHS病院、サイバー攻撃で患者が死亡
3 安佐市民病院：患者情報約5,000件が漏えいの可能性（不正アクセス）
- 3.1 何が起きたか・原因
4 東京都立大久保病院（委託先）：委託職員の私的利用による漏えい
- 4.1 何が起きたか・原因
5 秋田大学医学部附属病院：USBメモリ紛失で1,400名超の情報流出
6 富山大学附属病院：SDカード紛失による漏えいの可能性
7 共通するリスクの構造
8 技術対策
9 組織・契約面の再点検（委託管理を中心に）
10 まとめ

宇都宮セントラルクリニック、ランサムウェアによるサイバー攻撃最大約30万人分が漏えいの可能性

2025年2月、医療法人DIC 宇都宮セントラルクリニックがランサムウェア被害を公表。

最大約30万人分の個人情報が漏えいした可能性が示され、診療や健診業務にも制限が出ました。

その後、Qilin（キリン）を名乗るグループがダークウェブで不正アクセスと情報窃取を主張しています。公開情報では金融口座・カード・マイナンバーは含まれないとされています

何が起きたか・原因

2月10日に院内システム障害→調査でランサムウェア感染と判明。脅威アクターQilinが関与を主張し、医療データ等が流出したとする投稿を行いました。

医療情報基盤（診療・検査系）への横展開と、外部公開/恐喝の二重脅迫の典型パターンです。

ロンドンNHS病院、サイバー攻撃で患者が死亡

2024年6月の英国NHSを標的にしたQilin 関与とされる攻撃では、Synnovis社のパソロジーサービスに影響が発生しました。。Synnovisは、King’s College Hospital、Guy’s and St Thomas’、Lewisham and Greenwichなど複数のNHSトラスト医療グループに対して血液検査を含む病理診断を提供しています。

このサイバー攻撃により以下が発生しました。

約1,000件のがん治療の遅延
約2,000件の外来診療のキャンセル
約1,000件の手術の延期
約20,000件の血液検体の破棄（13,500人分）

また血液の型判定や輸血処理が困難となり、O型の汎用血液のみに依存せざるを得なくなった結果、全国的なO型血液不足も引き起こされました。

なお、2025年の調査では１名の患者が血液検査結果の大幅な遅延により治療が遅れ、最終的に死亡したと報告されています。

安佐市民病院：患者情報約5,000件が漏えいの可能性（不正アクセス）

地方自治体の公立病院に対する不正アクセスで、患者情報約5,000件の漏えい可能性が公表されました。院内/関係システムのアカウント侵害や外部公開範囲が調査対象となっています。

何が起きたか・原因

侵入起点は明示されていませんが、メール・VPN・公開Webの脆弱化や多要素認証の不徹底が疑われる典型事案です。攻撃者は認証情報の奪取後にPSTやファイルサーバへ横展開する傾向があり、最終的に名簿系データが狙われます。

東京都立大久保病院（委託先）：委託職員の私的利用による漏えい

都立病院の医事委託先（株式会社ソラスト）アルバイト職員が、診療手続で得た患者の携帯電話番号を私的に利用し、第三者とやり取り画面を共有していたことが判明。対象は1名ですが、委託先管理と現場ハンドリングの課題を露わにしました。

何が起きたか・原因

業務上知り得た連絡先の私的利用（目的外利用）で、技術制御だけでは防ぎ切れない“人”の統制の難しさが露見。

委託契約の教育・監督・記録監査が不十分だと、再発防止が形骸化します。

秋田大学医学部附属病院：USBメモリ紛失で1,400名超の情報流出

院内で利用されたUSBメモリを紛失し、患者・職員を含む1,400名以上の個人情報流出が判明。暗号化や持ち出しルール、物理メディア廃止の移行計画の重要性を示す事例です。

富山大学附属病院：SDカード紛失による漏えいの可能性

院内で用いられていたSDカードの紛失により、個人情報が外部流出した可能性が生じた事案。医療画像や院内記録の一時保存に“可搬媒体”を使う運用残存が論点です。

共通するリスクの構造

横展開の速さ：侵入後はADやファイルサーバ、PACS/検査系、バックアップに一気に到達される。EHR/検査/会計の分離度が試されます。宇都宮の事案は“データ暗号化＋恐喝”の二重脅迫で、医療系では定番化。
委託・再委託のガバナンス低下：受付・医事・清掃・IT保守など多層委託のどこかが穴になる。大久保病院のように人的不正は技術制御だけでは防げません。
可搬媒体の残存：USB/SDの紛失が今も続く。暗号化・持ち出し禁止の徹底が未だ道半ば。
“医療サービス影響”が最終的被害：ロンドンNHSへのサイバー攻撃の通り、検査・輸血・手術スケジュールへの打撃は患者安全に直結。

技術対策

認証強化の即時施策
- 全職員と委託先アカウントに必須MFA、パスキー優先。非常勤/委託のアカウント棚卸をまず実施。
- 外部公開（VPN/メール/リモート）に地理・デバイス・リスクベースの条件付きアクセス。
最短経路での横展開阻止
- ローカル管理者権限の廃止、LAPS運用、SMB署名・古いNTLM無効化。
- EDRの全端末展開とブロックモード、ドメインコントローラは特別保護（LSA保護、有効監査）。
業務システムの“物理/論理分割”
- 電子カルテ（EHR）とPACS・検査系・事務系（医事/会計/人事）のネットワーク分離、双方向通信はプロキシ越し最小化。
- ベンダリモートは跳び箱方式（踏み台）と時間制限、録画とコマンド記録を必須に。
バックアップの“復旧前提”化
- 3-2-1+オフラインを徹底。年2回は実地リストア演習（EHR/PACSのRTO/RPO確認）。
メール・生成AI由来ファイルのサンドボックス化
- マクロ・LNK・ISO展開はクラウドで静的/動的解析。医師/看護師端末は開封専用VMを用意。
可搬媒体の全廃 or 例外管理
- USB/SDは原則禁止。例外は申請・台帳・暗号化メディア自動化。自動暗号化と紛失時の遠隔消去（ハードウェア依存）をセットで。秋田/富山の再発防止はここが最短です。
メール・メッセージの“目的外利用”抑止
- 受付・医事を含むDLP（送信前ポリシー）で電話番号/患者IDの外部送信を自動ブロック。チャット/LINE等の業務外利用はMDMで隔離。大久保病院のような人的逸脱の抑止に即効性があります。
脆弱性運用の“医療版SLA”
- 医療機器はパッチ制約があるため、仮想パッチ/WAF/網内分離で暫定防御、危険通信はNACで遮断。