イスラエルの元サイバー情報指導官であるオハド・ザイデンバーグ氏は、外国の敵対勢力が不確実な情勢に乗じて国家安全保障を損なう、その数え切れないほどの手口を熟知しています。
『 2020年3月』において、世界が世界的なパンデミックに備える中、セキュリティ対策が著しく不十分であると指摘されてきた医療機関がまもなく大規模なサイバー攻撃に直面するのではないかと懸念したザイデンバーグ氏は、 、CTIリーグ（）、および のサイバー脅威インテリジェンス（）を共同設立しました。 これは、医療施設への攻撃を阻止するために、ボランティアのサイバーセキュリティ専門家を活用する非営利団体、いわば世界規模の防衛組織だとお考えください。
「私は、パンデミックとのこの世界的な戦いに参加し、この困難な時期にサイバー攻撃が原因で誰も命を落とすことがないよう、CTIリーグを設立しました」とザイデンバーグ氏は述べています。 リーグの共同創設者である には、Oktaのセキュリティ責任者であるMarc Rogers氏や、MicrosoftのChristopher Mills氏、Nate Warfield氏も名を連ねています。
新型コロナウイルス（COVID-19）が最初に発生した当時、このような深刻な状況を悪用して医療体制を混乱させようとする者がいるなどとは、到底考えられないことだったかもしれません。 しかし、ほぼ同時期に、サイバー犯罪グループが、 のワクチン試験施設 に対して恐喝を開始しました。 大規模なランサムウェア攻撃により、チェコ共和国のもう一つの主要な新型コロナウイルス検査施設である、ブルノ大学病院「 」 で業務に支障が生じ、手術の延期を余儀なくされました。
パンデミックが始まって以来、CTIリーグは、世界の人々が最も脆弱な状態にある時に、悪意のある攻撃者から向けられる、ますます深刻化するセキュリティ上の脅威に対処できるよう、数多くの病院、製薬会社、およびサプライヤーを支援してきました。 同リーグからのメッセージ：医療業界は万全の備えを整える必要があります。
ランサムウェアが増加しています
ランサムウェア攻撃は、ほぼ例外なく「 」というフィッシング詐欺（）から始まりますが、新型コロナウイルスの感染拡大に伴い、医療業界に特に深刻な打撃を与えています。 A 2021 Netwrix survey found that nearly 40% of healthcare organizations faced cloud-based ransomware attacks in 2020, and 32% needed days to discover accidental data leakage and supply chain compromises, leaving them dangerously exposed. これとは別に、VMware Carbon Blackの研究者らは、 において、 2020カ国の医療機関を標的とした 攻撃の試みが239.4 百万件確認されたことを明らかにしました。エンドポイント1台あたり平均816 回の攻撃試みがあり、これは2019年比で 9,851％の増加となります。
多くの攻撃では、いわゆる「アイランドホッピング」と呼ばれる手法が用いられており、攻撃者はある組織への攻撃を足掛かりとして、他の組織やパートナー、患者に対して二次的な感染を引き起こしています。
この手口は、ロシアのスパイ組織「 」が 、2019年後半に米国政府のシステムに対して大規模なサプライチェーン攻撃を仕掛けたとされる手法と類似しています。 昨年、 の工作員たちが、大手ソフトウェア請負業者であるSolarWinds（）が所有するサーバーにコードを仕込みました。 その手口は、 に記載されている一連のサイバー攻撃（ ）と類似しており、これは北朝鮮政府によるものとみられ、ファイザー社の新型コロナウイルスワクチンを配布する企業や政府機関に侵入したものです。
米国土安全保障省とIBMの研究者らは、犯罪者たちが、ファイザー社のワクチンに関連する「コールドチェーン」と呼ばれる冷蔵保管プロセスに関与する幹部や関係者のネットワークログイン認証情報を盗もうとしていたと見ています。このワクチンは、接種直前まで最低マイナス 76 華氏度に保たれる必要があります。
攻撃が激しくなります
「医療業界では攻撃が異常なほど急増しており、その多くはサプライチェーンを起点としています」と、Taniumの戦略アカウント担当ディレクター、マーク・モーリング氏は述べています。 「考えてみれば、この業界ではペンやメモ帳から離れていく傾向にあります。」 あらゆるものがデジタル化が進んでいます。 一般的な医療機関、サプライヤー、または販売業者では、おそらく数百ものアプリケーションが、数千台のエンドポイント端末上で、数万人のユーザーによって利用されていることでしょう。 「こうしたデジタル上のあらゆる事例は、潜在的な標的であり、ワクチンやその他の切実に必要とされる治療の実施を妨害する機会となります。」
モーリング氏は、医療機関やサプライヤー、流通業者に対する攻撃が激化し、甚大な被害をもたらす可能性が高いと述べています。 例えば、ハッカーは、医療機関が製薬会社から受け取るワクチンの供給量を、例えば100万回分から 100回分へと減らすことが可能であり、その結果、医療機関は患者の受け入れを断らざるを得なくなる可能性があります。 また、ハッカーは予約件数を改ざんし、実際には何百人もの患者が医師や看護師の診察を待っているにもかかわらず、誰も来院していないように見せかけることも可能です。 あるいは、ハッカーが配達員に、温度管理が必要なワクチンが傷んでしまうことを期待して、人里離れた場所へ商品を運ぶよう指示する可能性もあります。
[関連記事：サプライチェーンのセキュリティ：理想的な姿とは？]
専門家によると、ダークウェブ上で患者の機密データを奪い、販売しようとするサイバー窃盗団が、多くの攻撃の背後にいるとのことです。 ワクチン提供者ができるだけ多くの人にワクチンを接種しようと急ぐ中、ハッカーたちは、無防備な医療従事者や患者を騙して、一見無害に見えるフィッシングメール内のリンクや添付ファイルをクリックさせ、 の「TrickBot」 や、 の「Ryuk」 といったランサムウェアを起動させ、組織に感染させようとしています。
昨年末、この脅威が極めて広範囲に及んだため、サイバーセキュリティ・インフラセキュリティ庁（CISA）、保健社会福祉省（HHS）、およびFBIは、「米国の病院やその他の医療提供者に対するサイバー犯罪の脅威が高まり、差し迫っている」ことについて、 において強い口調で警告を発しました。
「犯罪者が残酷な行為を行うのは、驚くことではありません」と、SANSインスティテュートの新興セキュリティ動向担当ディレクターであるジョン・ペスカトーレ氏（ ）は述べています。 「彼らは手っ取り早くお金を稼ぐ方法を模索しています。」 「そして、パンデミック時のワクチン配布のように、急を要する状況では、人間にはミスがつきものだと彼らは理解しています。」
エンドポイントのセキュリティ確保
元FBIのコンピュータ科学者であり、White Opsの主任脅威インテリジェンス・ハッカーであるラッセル・ハンドルフ博士は、医療機関がセキュリティを強化するための論理的な方法は、現在導入している数百万台のエンドポイントデバイスに関するID管理およびアクセス管理の実態を評価することだと述べています。
「すべてはエンドポイントから始まります。なぜなら、エンドポイントはネットワークへのアクセスの窓口だからです」と彼は言います。 「ネットワーク全体にファイアウォールやその他のセキュリティシステムを均等に配置することで、城壁のような防御体制を築くことができます。」 「しかし、エンドポイントは依然として、誰もが城に入るために通る入り口なのです。」
「エンドポイントは、依然として誰もが城に入るために通る入り口です。」ラッセル・ハンドルフ博士（元FBIのコンピューター科学者、ホワイト・オプス社の主任脅威インテリジェンス・ハッカー）
ハンドルフ氏によると、多くの組織は、分散型サービス拒否（DDoS）攻撃や構造化クエリ言語（SQL）インジェクション攻撃を通じてエンドポイントデバイスを感染させようとするトラフィックを監視し、制限することに注力しているとのことです。 しかし、同氏によれば、現在最も効果的な戦略的対策とは、許可されたユーザーを認証してアクセスを許可し、その他多数の不正なリクエストをブロックすることだといいます。
「もし今、医療の分野で何かを恐れるとしたら、それはこうしたエンドポイントを用いたワクチンやその他の医薬品の投与に伴うリスクでしょう」とハンドルフ氏は述べています。 「製薬各社が、製品の製造、出荷、追跡において適切な措置を講じていると確信しております。」 「しかし、たった一人の人がうっかりセキュリティ対策が不十分なノートパソコンを接続してしまうだけで、配送の最終段階が台無しになってしまうのです。」
セキュリティ・ハイジーンの実践
エンドポイント端末は、医療分野のセキュリティにおける最大の弱点です。 専門家によると、組織は統合されたITインフラ全体を可視化できる体制を整えなければならないとのことです。 ITセキュリティの適切な対策としては、行動異常の検知・防止プログラムの実行、侵害されたシステムを発見するための定期的なサイバー脅威ハンティング演習の実施、そして、すべてではないにせよ、ほとんどのフィッシング攻撃を未然に防ぐことができる多要素認証の徹底などが挙げられます。
また、経営陣はパートナー組織とのサービスレベル契約（SLA）を更新し、情報セキュリティの水準や、インシデント発生時の通知および対応プロセスを定め、さらにこれらに違反した場合の措置を明確にすべきです。 これらのSLAは、従来のサプライチェーンだけでなく、しばしば見落とされがちな情報サプライチェーンにも適用されるべきです。これには、外部の弁護士やマーケティング会社、その他ハッカーの標的となりやすいベンダーなどが含まれます。
[関連記事：ITの衛生管理は、資産の特定と棚卸しから始まります]
ペスカトーレ氏は、サプライチェーン全体にわたってセキュリティ要件を義務付けることの重要性に同意しています。 しかし、彼は、医療・製薬関連の組織も、自分たちが正しいことを行っているかどうかを確かめなければならないと述べています。
「自分自身がその要件を守っていないのであれば、考えられる限り最も厳しいセキュリティ要件を打ち出すだけでは不十分です」と彼は言います。 「そうでないなら、あなたこそが連鎖の中で最も弱い環となります。」 まずはご自宅の安全を確保しなければなりません。 「そうすれば、サプライヤーを自社の水準に引き上げるために、検討を始めることができます。」
