岡山県精神科医療センター個人情報流出事案の深刻さ

岡山県精神科医療センターは5月19日、ランサムウェア攻撃によりシステムがダウンし、最大で4万人分の患者データが流出した可能性があることを明らかにした。流出が確認されたのは、患者の氏名、生年月日、病名などの個人情報だ。

攻撃者からはシステム内に「暗号化させている。連絡を取れ」とのメッセージが残されていた。センターは県警に通報し、県警が調査したところ、流出したデータはダークウェブ上に掲載されていることが判明した。

通常、ランサムウェアが侵入するとサーバー内のファイルを暗号化して判読不能にしたうえで復号化するための鍵を身代金として要求する。しかし、バックアップデータを用いれば、侵入前のデータまでは復元可能でありシステム内の脅威を排除したうえで身代金の支払いを拒否するケースもあった。ところが今回の新しいタイプのランサムウェアは暗号化しシステムを使用不能にしただけでなく暗号化データをダークウェブにアップロードする新しいタイプのランサムウェアのようだ。

ダークウェブとは特別なツールを使用し、通信経路等を暗号化したうえでアクセスすることが出来るサービスの総称で匿名性が高く一般人が簡単にアクセスできない領域で、様々なサイトのIDやパスワードのリストや個人情報、偽造クレジットカード情報など、非合法の情報が集まり悪意のある者が個人情報を取り扱う場でもある。そうした場に現時点では暗号化されているとはいえ、もしこのまま身代金を払わなければ、犯人は鍵を公開する可能性がある。そうなれば、データが出回る恐れは依然として残されている。個人情報の流出は重大な問題であり、プライバシーが著しく侵害される。

センターは患者や家族に対し、対面で謝罪と今後の対応を説明するとしている。しかし、一度流出した情報を完全に回収するのは極めて困難な状況にある。このような事例が後を絶たないのが現状だ。これは特別な事案ではない、薬局やクリニックなどPCを利用している施設であればどこでも発生しうる可能性がある。医療機関を狙ったサイバー攻撃に対する強固な防御態勢の構築が求められる。