医療機関の閉域網神話が崩壊した理由｜攻撃者視点で暴く侵入の手口

「院内ネットワークは外部インターネットから遮断された閉域網だから、サイバー攻撃を受ける心配はない」――。長年、日本の医療界を覆ってきたこの強固な安全神話が、音を立てて崩れ去っています。地域医療の中核を担う総合病院がランサムウェアに襲われ、電子カルテが全面停止して診療や救急搬送の受け入れが数カ月にわたり麻痺する事態が相次ぎました。

2026年7月31日にサイバーセキュリティ戦略本部が決定した「重要インフラのサイバーセキュリティ対策のための統一基準」（2026年10月1日施行）でも、「閉域網だから安全」という過信に対する厳しい見直しが明確に打ち出されました。なぜ厳重に守られていたはずの医療現場が、いとも簡単に突破されてしまうのか。攻撃者が突く構造的弱点と、医療機関が直面するセキュリティの不都合な真実を検証します。

📌 【この記事の重要ポイントまとめ】

• 要点1：「閉域網が保証するのは『インターネットから直接入れないこと』だけであり、『侵入されても安全』なわけではないという構造的欠陥が露呈。
• 要点2：国内医療機関へのランサムウェア感染経路の6割以上が境界にあるVPN機器の脆弱性やベンダーのリモート保守回線であり、サプライチェーンが最大の標的となっている。
• 要点3：厚生労働省の安全管理ガイドライン改定と2026年新基準を受け、境界防御頼みから「すべての通信を疑うゼロトラストモデル」への転換が急務である。

【攻撃者視点】医療機関の「閉域網」はなぜ簡単に破られるのか？

サイバー攻撃を仕掛ける側から見れば、医療機関が誇る「閉域網」ほど攻略しやすい標的はありません。攻撃者はインターネット側から閉域網のコアサーバーへ直接砲撃を仕掛けるのではなく、「閉域網につながる正規の裏口」を冷徹に探します。

多くの病院では、電子カルテシステムや医療機器のメンテナンスを外部の医療情報システムベンダーに依存しています。その保守作業のために設置された「リモート保守用VPN」や外部接続ルーターは、攻撃者にとって格好の侵入口です。公の調査データでも、警察庁やセキュリティ機関が報告する国内ランサムウェア被害の侵入経路のうち、6割以上がVPN機器等の脆弱性の悪用で占められています。

攻撃者の侵入ステップは極めて合理的です。まず、海外のアンダーグラウンド市場で流通する初期アクセス情報や、既知の脆弱性が放置された古いVPN装置を踏み台にして院内ネットワークへ侵入します。ひとたび「閉域網の内部」に入り込めば、病院側は「内部通信＝安全」と盲信しているため、監視のアラートすら鳴りません。攻撃者は数週間から数カ月かけて内部を偵察し、Active Directory（統合管理サーバー）の管理者権限を奪取。最終的に電子カルテやバックアップデータを一斉に暗号化し、巨額の身代金を要求するランサムウェアを発火させるのです。

【実態検証】過去の被害事例と医療現場の生の声が暴く「運用の歪み」

取材を進めると、過去に大規模なシステム停止に見舞われた病院の現場関係者からは、技術論だけでは片付けられない生々しい証言が聞こえてきます。

地方の大規模公立病院でシステム復旧に携わった担当者は、当時の過酷な状況を手記や内部検証報告の中で次のように吐露しています。

「電子カルテが突然ブラックアウトし、患者の投薬履歴もアレルギー情報も参照できなくなった。画面には見慣れない脅迫文が表示され、院内は野戦病院のような混乱に陥った。まさか外部ベンダーの給食管理システム用保守回線から院内の基幹網へ侵入されるとは、夢にも思っていなかった」

病院組織におけるセキュリティ運用の実態には、特有の構造的問題が横たわっています。医療現場の第一優先は常に「患者の救命と診療の継続」です。そのため、セキュリティパッチの適用によって電子カルテシステムが一時的に停止したり、医療機器との接続互換性に問題が生じるリスクを極端に嫌います。結果として、「動いているシステムには手を触れるな」という不文律が生まれ、数年前の既知の脆弱性が意図的に放置されてしまうのです。

また、IT予算と専任人材の不足も深刻です。大半の民間病院では、専任のセキュリティエンジニアを雇用する余裕がなく、総務課の職員や診療放射線技師などが兼任でシステム管理を担っているケースが目立ちます。高度化する国際的サイバー犯罪グループの標的型攻撃に対し、兼任の現場担当者だけで対抗するのは構造的に不可能です。

一般に知られていない盲点と「閉域網」にまつわる3つの誤解

医療従事者や経営層の間には、長年にわたって信じ込まれてきた誤ったセキュリティ神話が存在します。これらを正しく認識し直さなければ、どれほど高額なセキュリティツールを導入しても侵入を許すことになります。

誤解1：「インターネットから物理的に切り離されていれば100%安全」

「完全な閉域」は現代の医療機関には存在しません。オンライン資格確認、遠隔画像診断、外部検査機関とのデータ連携、医療機器ベンダーのリモート保守など、現代の病院経営は無数の外部接続に支えられています。攻撃者は、閉域網そのものを破るのではなく、これらの「例外的に開けられた接続口」を狙い撃ちします。

誤解2：「小規模な病院や診療所は狙われない」

攻撃者は特定の病院を恨んで攻撃するわけではありません。インターネット全体を自動スキャンし、脆弱な機器を無差別にリストアップしています。むしろセキュリティ対策が手薄な中小病院やクリニックが足がかり（踏み台）として侵入され、そこから地域医療連携ネットワークを通じて中核病院へ感染が拡大するサプライチェーン攻撃が常態化しています。

誤解3：「最新のウイルス対策ソフトを入れているから検知できる」

現代の標的型攻撃では、正規のWindows管理コマンドやツール（PowerShell、WMIなど）を悪用する「環境寄生型（Living off the Land）」の手法が主流です。マルウェアの実行ファイルを送り込むのではなく、OS標準の正規機能を遠隔操作して認証情報を盗むため、従来のシグネチャ型アンチウイルスソフトでは異常を検知できません。

【プロの結論】組織の心理的バイアスと外注構造から見出すべき教訓

なぜ日本の医療機関では「閉域網神話」がここまで長く延命してしまったのでしょうか。社会心理学および組織論の観点から分析すると、日本企業・組織に特有の「正常性バイアス」と「責任の外部委託（丸投げ構造）」が深く関わっています。

医療組織では、「これまで事故が起きなかったのだから、明日も起きないだろう」という現状維持のバイアスが強く働きがちです。また、システム構築を特定の大手SIerや医療機器ベンダーに一括委託してきた歴史的経緯から、「ITセキュリティは専門業者が担保してくれているはずだ」という無意識の依存関係が生じていました。

しかし、委託先ベンダー側も「契約範囲外のセキュリティ担保責任」までは負えません。結果として、病院経営層とベンダーの間で責任の所在が曖昧な「セキュリティの真空地帯」が生まれ、攻撃者に突かれたのです。

これからの医療経営陣に求められるのは、「侵入を100%防ぐことは不可能である」という前提に立ったインシデント前提のマネジメントです。境界さえ守れば内部は安全という二元論を捨て、院内のすべての通信を疑い、アクセス権限を最小化する設計思想へのパラダイムシフトが決定的となっています。

【2026年最新基準】厚生労働省ガイドライン改定とゼロトラストへの移行手順

2026年現在、厚生労働省の「医療情報システムの安全管理に関するガイドライン」は第6.0版以降の改定を経て、境界防御からの脱却を決定づけています。サイバーセキュリティ戦略本部の「重要インフラ統一基準」施行に伴い、医療機関が講じるべき具体的な防衛ステップは以下の4点に集約されます。

1. 外部接続点と資産の棚卸し・可視化（EASM）：自院のネットワークに接続されているすべての機器、古いVPN装置、ベンダーのリモート保守回線を洗い出し、不要な通信ポートを即時閉鎖する。
2. 境界機器の多要素認証（MFA）の義務化：リモートアクセスやVPN接続において、パスワード認証のみの運用を全廃し、スマホアプリ等による二段階認証を徹底する。
3. ネットワークのマイクロセグメンテーション：電子カルテ系、部門システム系（放射線・検査・給食）、院内Wi-Fi、インターネット接続系を厳格に論理分離し、侵入時の横展開を物理的・論理的に阻止する。
4. イミュータブル（改ざん不能）なオフラインバックアップ：ランサムウェアに暗号化されないよう、定期的に外部媒体へ書き出すオフラインバックアップや、クラウド上の変更不可ストレージを確保する。

【攻撃者視点で読み解く、医療機関の「閉域網神話」の壊れ方】に関するよくある質問（FAQ）

Q1：閉域網を敷いていれば、院内PCでインターネット閲覧をしていても安全ですか？
A1：極めて危険です。インターネット閲覧ができる時点で、その端末は外部ネットワークと論理的につながっています。メールの添付ファイルや悪意あるWebサイトの閲覧によって端末がマルウェアに感染した場合、そこを起点として閉域網内部へ一気に攻撃が広がります。基幹の電子カルテ端末と情報系端末は、画面転送やVDI（仮想デスクトップ）等を用いて完全分離することが推奨されます。

Q2：委託先ベンダーのリモート保守回線を安全に管理するにはどうすればよいですか？
A2：保守回線を「常時接続」にせず、保守作業時のみ病院側の許可を得て一時的に開通させる「オンデマンド接続」に改めることが効果的です。さらに、接続元のIPアドレス制限、多要素認証（MFA）の適用、アクセスログのリアルタイム監視と録画を実施し、外部ベンダーの侵害が病院に波及しない仕組みを構築します。

Q3：ゼロトラストの導入には莫大な費用がかかり、中小病院には無理ではありませんか？
A3：最初からすべての機器を高額なゼロトラスト製品に置き換える必要はありません。「放置されているVPNのパッチ適用」「管理者アカウントの多要素認証設定」「不要なファイル共有の停止」「バックアップのオフライン保管」など、既存の環境を見直すだけでも侵入・暗号化リスクの大半を低減できます。段階的な優先順位付けが成功の鍵です。

まとめ：今後の動向と失敗しないための判断基準

医療機関のサイバーセキュリティは、もはや情報システム部門だけの技術的課題ではなく、「患者の生命を守る医療安全そのもの」です。電子カルテの停止は救急医療の停止を意味し、適切な投薬や手術の中断は患者の生命危機に直結します。

「閉域網だから大丈夫」という思考停止を直ちに捨て去り、境界を突破されることを前提とした多層防御と、事業継続計画（BCP）の策定を進めることが不可欠です。2026年、新基準の施行とともに医療界に求められているのは、旧態依然とした神話からの脱却と、現実的な脅威に即した自律的なセキュリティガバナンスの確立です。 （出典: 攻撃者視点で読み解く医療機関の閉域網神話の壊れ方（Yahoo!ニュース））