DaVita、Bell Ambulance、AOAが標的に – 米国医療機関を襲うランサムウェア攻撃の実態と対策

2025年4月23日8:12

サイバーセキュリティニュース

DaVita、Bell Ambulance、AOAが標的に - 米国医療機関を襲うランサムウェア攻撃の実態と対策 - innovaTopia - （イノベトピア）

Last Updated on 2025-04-23 10:31 by admin

2025年4月、米国の3つの医療関連組織がランサムウェア攻撃を受けた。被害に遭ったのは透析サービス大手のDaVita、ウィスコンシン州のBell Ambulance、そしてアラバマ州のAlabama Ophthalmology Associates（AOA）である。

DaVitaは2025年4月12日、特定のオンプレミスシステムが暗号化されるランサムウェア攻撃を検知した。同社は米国内に2,675カ所、海外11カ国に367カ所の外来透析センターを運営し、米国内で約20万人、海外で約4万9,400人の患者にサービスを提供している。米国の透析市場の37%のシェアを持つ同社は、現在も緊急時対応計画と手動プロセスに依存しながらサービスを継続している。攻撃の背後にあるランサムウェアグループは現時点で不明である。

Bell Ambulanceは2025年2月13日に「サイバーセキュリティイベント」を検知し、4月14日に「データセキュリティインシデント」として公表した。ウィスコンシン州最大の救急医療サービス（EMS）プロバイダーである同社は、1977年から営業を開始し、年間12万件以上の救急車要請に対応している。Medusaランサムウェアグループが3月初旬に攻撃の犯行声明を出し、200GB以上のデータを盗んだと主張している。

Alabama Ophthalmology Associatesは2025年1月30日に不審な活動を検知し、1月22日から30日の間に不正アクセスが行われたことを確認した。4月10日に公表されたこの攻撃では、患者の個人情報や医療情報が流出した可能性がある。BianLianランサムウェアグループが2月19日に犯行声明を出している。

米国保健福祉省（HHS）の侵害追跡によると、Bell Ambulanceの攻撃は114,000人、Alabama Ophthalmology Associatesの攻撃は131,576人のデータに影響した。HHSによれば、2024年には米国で700件以上のヘルスケアデータ侵害が報告され、1億8,000万件以上の記録が漏洩している。

Microsoftの調査によると、ランサムウェア攻撃は2015年以降300%増加している。サイバーセキュリティ企業Huntressの主任脅威アナリストによれば、同社のインシデント対応チームが扱うケースの約10%がヘルスケア産業向けであり、その大部分がランサムウェア攻撃だという。

from:3 More Healthcare Orgs Hit by Ransomware Attacks

【編集部解説】

医療機関を狙うサイバー攻撃が深刻化しています。今回のDaVita、Bell Ambulance、Alabama Ophthalmology Associatesの3社に対するランサムウェア攻撃は、ヘルスケア業界が直面する脅威の実態を浮き彫りにしています。

まず注目すべきは、これらの攻撃が単発ではなく、組織的かつ継続的に行われていることです。米国保健福祉省（HHS）のデータによれば、2024年には米国で700件以上のヘルスケアデータ侵害が報告され、1億8,000万件以上の記録が漏洩しています。

DaVitaの事例は特に重要です。同社は米国内に2,675の透析センター、海外11カ国に367のセンターを運営し、米国内で約20万人、海外で約4万9,400人の患者にサービスを提供しています。多くの患者は週に3回の透析治療を必要としており、システム障害は直接的に生命維持に関わる問題となります。4月12日に発見された攻撃は、週末のITスタッフが少ない時間帯を狙ったものである可能性があり、これはヘルスケア企業を標的とするランサムウェア攻撃の典型的なパターンです。

Bell Ambulanceの事例では、Medusaランサムウェアグループが犯行を認め、200GB以上のデータを盗んだと主張しています。Medusaは2021年に初めて確認されたランサムウェア・アズ・ア・サービス（RaaS）グループで、医療、教育、法律、保険、技術、製造業など300以上の被害者を出しています。

Medusaの特徴は「二重恐喝」手法にあります。被害者は暗号化されたシステムを復号するための支払いと、盗まれたデータを公開しないための支払いの二重の身代金を要求されます。FBI、CISA、MS-ISACが2025年3月12日に発表した共同勧告によると、Medusaは「病院に対する高影響のランサムウェア攻撃を実行し、医療提供の混乱と遅延を引き起こし、患者とコミュニティの安全にリスクをもたらしている」と警告しています。

Alabama Ophthalmology Associatesの事例では、BianLianランサムウェアグループが攻撃を行いました。BianLianは2022年6月以降、米国の複数の重要インフラ部門の組織を標的としており、オーストラリアの重要インフラ部門も標的にしています。同グループは当初、二重恐喝モデルを採用していましたが、2023年には主に情報窃取型の恐喝に移行し、被害者のシステムは無傷のまま残す傾向にあります。

これらの攻撃が医療機関を標的とする理由は明確です。患者データは極めて機密性が高く、その喪失のリスクも非常に高いため、攻撃者はより多くの、そしてより迅速な支払いを得られると考えています。特に医療機関では、システムダウンが直接患者ケアに影響するため、身代金を支払う可能性が高いのです。

防御策としては、基本に忠実であることが重要です。Huntressの主任脅威アナリストAnton Ovrutskyが指摘するように、強力なパスワード、多要素認証、適切にセグメント化されたネットワークなどの基本的な対策が脅威アクターを阻止するために役立ちます。外部の境界に焦点を当て、必要なものだけを公開し、残りに強力なアイデンティティ制御を配置することが推奨されています。

日本の医療機関も他人事ではありません。医療DXが進む中、サイバーセキュリティ対策は患者の安全と信頼を守るために不可欠です。特に、レガシーシステムの更新、医療IoTデバイスのセキュリティ強化、スタッフのセキュリティ教育が重要となるでしょう。

医療機関へのサイバー攻撃は、単なるデータ漏洩の問題ではなく、患者の生命に直結する可能性があります。テクノロジーの恩恵を最大限に享受しながら、そのリスクにも適切に対処していくことが、これからの医療の在り方として求められています。

【用語解説】

ランサムウェア（Ransomware）：
「身代金（ransom）」と「ソフトウェア（software）」を組み合わせた言葉。コンピュータシステムやデータを暗号化して使用不能にし、復旧と引き換えに身代金を要求するマルウェア。日本語では「身代金要求型マルウェア」とも呼ばれる。

二重恐喝（Double Extortion）：
ランサムウェア攻撃の手法の一つ。データを暗号化するだけでなく、攻撃前にデータを盗み出し、身代金を支払わなければそのデータを公開すると脅す方法。

RaaS（Ransomware-as-a-Service）：
ランサムウェアをサービスとして提供するビジネスモデル。技術的な知識がなくても、開発者から「サービス」としてランサムウェアを借り、攻撃を実行できる。利益は開発者とアフィリエイト（実行者）で分配される。銀行強盗に例えると、銃を作る人と実際に銀行を襲う人が別々で、利益を分け合うようなもの。

オンプレミスシステム：
企業が自社の施設内にサーバーやソフトウェアを設置・運用するシステム。クラウドの反対の概念。

エンドステージ腎疾患（ESRD）：
末期腎不全のこと。腎臓の機能がほぼ完全に失われた状態で、透析や腎臓移植が必要となる。DaVitaが主に治療対象としている疾患。

多要素認証（MFA）：
パスワードだけでなく、スマートフォンのアプリや生体認証など、複数の要素を組み合わせて本人確認を行う認証方式。

DaVita：
米国最大の透析サービス提供企業の一つ。米国内に2,675の外来透析センターを運営し、約20万人の患者にサービスを提供している。米国透析市場の37%のシェアを持つ。2024年の売上高は128億ドル、純利益は12.5億ドル。Berkshire Hathawayが41.2%の株式を保有している。

Bell Ambulance：
ウィスコンシン州最大の救急医療サービス（EMS）プロバイダー。1977年から営業を開始し、年間12万件以上の救急車要請に対応している。従業員数は501-1000人。

Alabama Ophthalmology Associates（AOA）：
アラバマ州バーミンガムに拠点を置く眼科医療グループ。外科的および内科的な眼科ケアを専門としている。

Medusaランサムウェアグループ：
2021年に初めて確認されたランサムウェア・アズ・ア・サービス（RaaS）グループ。医療、教育、法律、保険、技術、製造業など300以上の被害者を出している。

BianLianランサムウェアグループ：
2022年6月以降、米国の複数の重要インフラ部門の組織を標的としているランサムウェアグループ。「BianLian」は中国語で「変面」を意味し、瞬時に顔を変える伝統芸能に由来する。

【参考リンク】

CISA（米国サイバーセキュリティ・インフラセキュリティ庁）（外部）
米国のサイバーセキュリティを担当する政府機関。ランサムウェアなどのサイバー脅威に関する情報提供や対策を行っている

米国保健福祉省（HHS）データ侵害ポータル（外部）
米国の医療機関で発生した個人情報漏洩事件を追跡・公開している政府サイト

Huntress（セキュリティ企業）（外部）
中小企業向けのマネージドセキュリティサービスを提供する企業。脅威ハンティングやインシデント対応に特化している

【編集部後記】

医療機関へのサイバー攻撃は、私たちの健康データの安全にも関わる問題です。普段利用している病院や診療所のセキュリティ対策について考えたことはありますか？電子カルテやオンライン予約システムが当たり前になった今、自分の医療データを守るためにできることもあるかもしれません。多要素認証の設定やパスワード管理など、日常でできる対策から始めてみませんか？みなさんのセキュリティ意識が、医療現場の安全を支える一歩になるかもしれません。