医療機関の混乱、深刻なソフトウェア脆弱性、露出したPLCが示す、サイバーリスクが事業リスクへ急速に変わる現実
AnMedは、サイバー攻撃によりコンピューターシステム、電話回線、インターネット接続に支障が生じたため、106施設のうち79施設を一時閉鎖しました。
診療予約は延期され、予定されていた処置の実施も不透明となり、医療機関はアクセス復旧に取り組みながらケアの調整を迫られました。
医療機関にとって、このような混乱はテクノロジーの問題にとどまりません。
患者をどのように誘導するか、スタッフがどのようにケアを連携するか、そして組織がどれだけ迅速に通常業務へ戻れるかに影響します。
最新のColorTokens脅威アドバイザリは、医療、エンタープライズソフトウェア、オペレーショナルテクノロジー全体で同じ傾向が見られることを示しています。
攻撃者の侵入口は、メールアカウント、脆弱なアプリケーション、露出したコントローラーなどさまざまですが、最終的な影響は、そのアクセスがどこまで広がれるかによって決まります。
医療機関への攻撃は業務停止を伴うインシデントへ
AnMedは、サイバーセキュリティチームがアクセス復旧に取り組む間、救急医療サービス、地域の病院、公共安全機関と連携しました。
日常診療を支えるシステムがすでに停止していたため、患者の安全が最優先とされました。
セキュリティチームにとって、これはサイバーリスクを測るうえでより適切な視点です。
インシデントは、データが盗まれたかどうかだけで定義されるものではありません。
システムが利用できない状況でも、組織が業務を継続できるかどうかも重要です。
施設、アプリケーション、デバイスの相互接続が進むほど、ある領域での侵害がネットワーク全体の診療業務を妨げることがあってはなりません。
盗まれた医療データが長期的なリスクを生む
Operation PARは、現在および過去のクライアント14万5,714人に関する情報を含むファイルが流出したことを確認しました。
流出したデータには、氏名、生年月日、社会保障番号、運転免許証番号、金融口座情報、医療情報、健康保険の詳細が含まれていました。
Eyemart Expressは、別の侵害により2万5,000人に影響が及んだ可能性があると報告しました。
PayoutsKingグループは、身代金が支払われなかったため公開する前に、顧客および従業員のデータ435GBを窃取したと主張しています。
これらのインシデントは、侵害後も医療データが長く価値を持ち続ける理由を示しています。
1件の記録だけでも、なりすまし、金融詐欺、説得力のあるフィッシング攻撃に悪用される可能性があります。
複数の侵害から得られた情報が組み合わされると、攻撃者は記録の背後にいる人物像をより詳しく把握できるようになり、システム復旧後であっても被害の封じ込めが難しくなります。
メールアカウントの侵害は想定以上の情報を露出させる可能性がある
Vanderbilt Healthでは、従業員が悪意あるリンクをクリックし、認証情報を奪われました。
攻撃者は4日間そのアカウントにアクセスし、患者名、医療記録番号、診断名、処置情報、医療提供者の詳細、受診日を含むメッセージや文書を閲覧できる状態にありました。
この侵害は電子医療記録には及ばず、社会保障番号や金融情報も含まれていませんでした。
それでも、通常の業務用アカウントの中に、いかに多くの機微情報が蓄積され得るかを示しています。
Heart Care Centers of Illinoisは、別のフィッシング試行を調査する過程で、かなり以前から発生していた侵害を発見しました。
フォレンジック分析により、2024年8月から11月の間に、権限のない第三者が従業員アカウントにアクセスしていたことが判明しました。
そのアカウントには、個人情報、金融情報、保険情報、医療情報が含まれていました。
フィッシング対策の意識向上は引き続き必要ですが、それだけを唯一の防御策にすることはできません。
チームは、侵害されたアカウントがどこまでアクセスできるのか、異常なアクセスをどれだけ迅速に検知できるのか、そしてそのアクセスがより機微なシステムへ広がるのを制御で防げるのかを把握しておく必要があります。
深刻な脆弱性にはビジネス文脈での判断が必要
このアドバイザリには、Adobe ColdFusion、Oracle PeopleSoft、Microsoft SharePoint、Active Directory Federation Services、Joomla、BMC Control-Mに影響する深刻な脆弱性が含まれています。
Adobe ColdFusionのCVE-2026-48282は深刻度スコア10.0で、ユーザー操作なしに任意のコード実行を許す可能性があります。
Oracle PeopleSoftのCVE-2026-35273もスコア10.0で、ネットワークアクセスを持つ未認証の攻撃者がプラットフォームを侵害できる可能性があります。
Microsoft SharePointのCVE-2026-58644はスコア9.8で、リモートコード実行を許す可能性があります。
一方、BMC Control-MのCVE-2026-10539は、特定の条件下で未認証のコマンド実行を許す可能性があります。
深刻度スコアは緊急性を示しますが、ビジネス上の影響をすべて示すものではありません。
インターネットに公開されていたり、機微なアプリケーションに接続されていたりする脆弱なシステムは、到達範囲が限定された隔離環境のシステムとは異なるレベルのリスクを持ちます。
深刻度に加えて、露出状況、到達可能性、業務への影響を考慮することで、優先順位付けはより有効になります。
露出したPLCが重要サービスを攻撃対象に近づける
連邦政府のガイダンスでは、プログラマブルロジックコントローラー（PLC）を含む、インターネットに公開されたオペレーショナルテクノロジーが継続的に標的となっていることに警鐘を鳴らしています。
これらのデバイスは、水道、エネルギー、自治体、その他の重要インフラ環境において物理プロセスを管理しています。
レポートでは、米国内で約3,900台のRockwell Automation製PLCがインターネットから到達可能であることを示す露出分析が引用されています。
その中には、遠隔地での現場運用を支えるセルラーネットワークを介して接続されたデバイスも含まれています。
攻撃者が運用システムと直接やり取りできる場合、表示情報の改ざん、オペレーターの可視性低下、手動プロセスへの強制移行、サービス停止などを引き起こす可能性があります。
公益事業では、資産が広範囲に分散し、人員も限られているため遠隔アクセスに依存することが少なくありません。
しかし、その接続が露出したままになっていると、運用環境への直接的な侵入口になり得ます。
セキュリティチームが侵害の影響を軽減する方法
レポートでは、本番環境の運用を妨げることなくリスクを軽減できる、いくつかの対策が推奨されています。
- ネットワークセグメンテーションを活用し、制御システムやその他の重要コンポーネントへの直接的なインターネットアクセスを削減または排除する
- リモートアクセスが必要な場合は、管理インターフェースを公開するのではなく、安全なアクセス方法を使用する
- システム全体で認証制御を強化する
- オペレーショナルテクノロジー（OT）資産の正確なインベントリを維持する
- 影響を受けるバージョン、悪用手法、パッチガイダンスは変化する可能性があるため、ベンダーアドバイザリと脅威インテリジェンスを継続的に監視する
- 以下に基づいて脆弱性の優先順位を付ける：
- 露出レベル
- ネットワーク上の到達可能性
- 業務上の依存関係
- 初期侵害後に攻撃者が得る可能性のあるアクセス範囲
- 優先順位付けを深刻度スコアだけに依存しない
- 医療、エンタープライズアプリケーション、OT環境全体において、単一の侵害された資産（アカウント、アプリケーション、サーバー、コントローラー）が、より広範な業務停止へ発展することを防ぐ
- マイクロセグメンテーションを活用して、以下を実現する：
- ラテラルムーブメントを制限する影響範囲を縮小する
- 調査および復旧中も、重要システムへのアクセスを保護する
セキュリティ対策の重点は、混乱を軽減し、重要システムへの継続的なアクセスを確保することに置くべきです。
自社環境全体で侵害の影響を軽減する準備ができている場合は、ぜひColorTokens（カラートークンズ）日本語公式サイトからお問い合わせください。
公開日：2026/7/31
著者：Tanuj Mitra
※本記事では、アメリカのサイバーセキュリティ企業 ColorTokens（カラートークンズ）社が発信しているセキュリティ情報（英文）を、日本の代理店である株式会社電巧社が許諾を得て日本語に翻訳し、要約して掲載しています
※記事は掲載後に修正される可能性がございますので、ご了承ください
※過去の記事もアップしておりますので、現在の情報と異なる可能性がございます。上記の公開日をご参考ください
この記事の著者：電巧社セキュリティブログ編集部
