『 2020年10月』では、全米各地で痛ましい光景が繰り広げられました。患者のケアにあたる医師や看護師が、医療記録やX線写真、CTスキャンにアクセスできなかったのです。 カリフォルニア州、オレゴン州、 バーモント州 の病院など、多くの医療機関が重要なシステムへのアクセスを失い、数日、さらには数週間経ってもまだ完全に復旧していないと述べています。
その原因は、一連のランサムウェア攻撃であり、これを受けて政府の サイバーセキュリティ・インフラセキュリティ庁（CISA）は、 に対し、「米国の病院や医療提供者に対する差し迫った、かつ増大しつつあるサイバー犯罪の脅威」について警告を発しました。
一連の攻撃は衝撃を与えましたが、それが起きたという事実自体は、誰にとっても驚くべきことではなかったはずです。 医療施設は、脆弱性のあるレガシーITシステムに依存していることが知られているため、ハッカーからはかねてより標的とされてきました。 実際、HIPAA Journalの報告によると、米国の医療施設におけるデータ漏洩件数は 2010 件から2019件へと急増し、 197％の増加を記録しました。 特に 2018 年から2019 年にかけての期間だけで、その増加幅は顕著でした。 同報告書によると、過去1年間で、全米国民の個人医療データの 12.6％が漏洩した可能性があるとのことです。
9月の攻撃が注目されるのは、ハッカーたちが、医療分野を1年前よりもさらに攻撃しやすい標的と見なしているからです。 それは、現在も続くパンデミックのせいです。 医療施設は、 COVID-19–related もの症状の治療を求める患者で溢れかえっており、IT体制の整備よりも、その対応に注力してきました。 また、ソーシャルディスタンスの確保により、これまで以上に多くの人々が遠隔で医療サービスを利用しています。 米国保健社会福祉省（HHS）によると、 2020年3月から6月にかけて、医師による遠隔医療による診察件数は、 350倍に増加しました。 オンラインやアプリを通じて個人データを共有する人がこれほど多いため、ハッカーが攻撃できる対象ははるかに広がっています。
“「遠隔医療はまだ比較的新しい分野であるため、新たな種類の詐欺やセキュリティ上の脆弱性を悪用する手口が今も次々と発見されています」と、ユナイテッドヘルス・グループ傘下の医療情報技術・サービス企業であるオプタム（Optum）のエンタープライズ情報セキュリティ担当副社長、マイケル・レビン氏（ ）は述べています。 「問題点は特定できましたが、すべてが解決されたわけではありません。」
ハッカーたちが傷ついた人々を襲いかかります
米国におけるパンデミックの初期の数週間、医療施設が急速に拡大する危機への対応に苦慮する中、国中はパニックに陥りました。 CISOやサイバーセキュリティの専門家たちにとって、それは混乱と困惑に満ちた激しい時期でした。 3月、HHSは全 50 州において、新型コロナウイルスに関連しない医療施設への訪問を禁止しました。 その結果、HHSが利用可能な遠隔医療チャネルに関するHIPAA（ ）の規制を緩和したことを受け、患者と医師の診察はZoomやFaceTimeなどのビデオ通話アプリを通じてオンラインで行われるようになりました。
「CISOたちは他のことに気を取られていたため、普段なら注力しているはずのセキュリティ問題に取り組むことができませんでした。」スチュワード・ヘルスケアおよびスクリップス・ヘルスケアの元CIO、ドレックス・デフォード氏
その便宜を図る代償として、新たなセキュリティ上の脆弱性が相次いで発生しました。 ソフトウェアセキュリティ企業チェック・ポイントの研究部門による調査（ ）によると、ハッカーたちはZoomや を通じて行われた遠隔医療セッションを標的にしていたとのことです。 （Zoomはその後、暗号化プロトコルを強化しました。）
「絶望的な状況が数多くありました」と、 のドレックス・デフォード氏（）は語ります。同氏は、米国最大級の医療ネットワークであるスチュワード・ヘルスケアとスクリップス・ヘルスの元CIOであり、医療ITコンサルティング会社Drexioの創業者でもあります。 「医師がZoomやFaceTimeを使用する場合、どのような方針になっているのでしょうか？」 手順は決まっていますか？ 一方、CISOたちは、例えばドライブスルー方式の検査センターの設置などに追われており、普段なら注力しているはずのセキュリティ問題に取り組むことができませんでした。」
ハッカーたちは、すぐにマルウェア攻撃を開始しました。 3月から4月にかけて、IPレピュテーションに関するセキュリティアラートが 117％増加しました。これは、不審なウェブサイトからのトラフィックが増加していることを示す兆候です。また、 のエンドポイントセキュリティインシデントも 56％増加しており、これはハッキングやマルウェア攻撃がより多くの標的を襲ったことを意味します。これは、セキュリティ評価企業のSecurityScorecardとダークウェブ調査機関のDark Owlによる、 2020年9月 の共同調査 で明らかになりました。 同報告書では、遠隔医療プロバイダーのデジタルフットプリントの拡大により、攻撃対象領域が拡大したと指摘されています。
遠隔医療にフィッシング詐欺が横行しています
パンデミック発生当初の数週間、混乱と不確実性が蔓延していたことも相まって、医師や患者は のフィッシング攻撃の格好の標的となってしまいました。 ハッカーたちは、患者に対し、「新型コロナウイルスワクチン」や治療法を提供すると謳った偽のリンクを仕込んだ巧妙なメールを送信しました。
「そのフィッシングメールは実に巧妙でした」とデフォード氏は述べています。 「医師には、『お住まいの地域の今日の新型コロナウイルス感染率はこちらをクリックしてください』といった通知が届くかもしれません。」 「もちろん、医師たちは最新の情報を知りたがりますから、悪質なクリックに巻き込まれてしまうのです。」
ハッカーの目的は、貴重なデータが保管されている医療ポータルサイトの被害者のユーザー名とパスワードを収集することです。 ダークウェブでは、それらのレコードは から最大$1,000 までで取引されることがあります。 電子カルテは、犯罪者によって悪用され、不正な請求を通じて保険会社から数万ドルをだまし取られる原因となる可能性があります。 そのため、これらは盗まれたクレジットカード番号（1件あたり100ドルで取引される）よりもはるかに価値が高く、後者は利用限度額までしか使えません。
しかし、10月の攻撃で起きたように、ハッカーが医療機関のネットワークに侵入してしまうと、フィッシング攻撃は危険な局面を迎えます。 そこでは、数か月間（中央値の 54 日から最大700 日まで）発見されないまま過ごすことができます。
その間、サイバー犯罪者はデータを盗み出し、マルウェアをインストールし、ネットワーク管理者の権限を乗っ取り、最終的には、UHSの業務を麻痺させたようなランサムウェア攻撃を仕掛ける可能性があります。 患者の命がかかっている状況では、施設が巨額の身代金を支払う可能性は高いでしょう。 In fact, since 2016, a total of 172 ransomware attacks have cost U.S. healthcare organizations more than $157 million, according to a 2020年2月 study by Comparitech, a consumer-facing tech services research site.
遠隔医療のベストプラクティス――そしてその先へ
医療業界は、パンデミック発生当初の数ヶ月を乗り越え、より強固な体制を築きました。 全般的に、より優れた暗号化およびセキュリティプロトコルが導入されました。 「当初から不適切な慣行が見られました」と、オプタムのエンタープライズ情報セキュリティ担当副社長であるレビン氏は述べています。 「それ以来、みんな大人になりました。」
例えば、当初Zoomで行われていた遠隔医療の診察は、 の医療システム や病院が自社開発した、あるいはサードパーティのクラウドセキュリティベンダーからライセンス供与を受けた、セキュリティが確保され、HIPAAに準拠したビデオ会議チャネルへと移行しています。 HIPAAガイドラインの重要な要素は、患者の健康情報のプライバシー保護です。 この期間中、独自の遠隔医療プラットフォームを開発していたCISOたちは、HIPAA基準に準拠した暗号化および多要素認証プロトコルを組み込み、その有効性を検証しようと努めました。
また、レビン氏は、医療業界のCIOやCTOに対し、デバイスのセキュリティとデータ保護を確保するために、次のようなアドバイスをしています：
エンドポイントの管理： エンドポイントのセキュリティ強化と管理者アクセス権限の管理に重点を置いてください。 エンドポイント検出・対応（EDR）ソフトウェア「 」を使用すると、未知の攻撃者によるデバイスへの侵入試行を検出することができます。 また、レビン氏は、デバイス上でアプリケーションを実行する前にその実行を許可する「ホワイトリスト型ソフトウェア」のようなものを使用することを推奨しています。
従業員への啓発： 巧妙なフィッシング攻撃や、 「なりすまし」攻撃 は、信頼しやすい従業員や注意散漫な従業員を悪用して、セキュリティで保護されたネットワークに侵入しようとします。 ベライゾンの調査によると、医療分野における情報漏洩の最大 42％は、従業員のミス（ ）によるものであるとのことです。 新入社員研修や継続的な学習・能力開発では、こうしたリスクに重点を置くべきですが、レビン氏は次のように指摘しています。「教育だけでリスクを 100 パーセント解消することはできません。」
セキュリティワークフローの自動化： 過重な負担にさらされているITネットワーク管理者にとって、 のAIは、サイバーセキュリティにおける最強の味方です。 教師なし機械学習（ ） の進歩により、AIはネットワークを継続的に監視してアクセス試行における異常を検知し、不審な活動をリアルタイムで警告することが可能になりました。
Zero-trust 24/7: The zero-trust operational model assumes every actor within a security perimeter must be authenticated at all times. すべてのデバイスからのネットワークアクセスを一つひとつ特定・監視し、それらの接続ポイントをすべて把握するには、入念な作業が必要となります。 とはいえ、複雑な医療ネットワークのセキュリティを強化するには、これが最善のアプローチだとレビン氏は述べています。
パンデミックが私たちに何かを教えてくれたとすれば、それは、遠隔医療を含む医療分野では、常に何らかのネットワーク上のセキュリティ上の課題に直面し続けるということでしょう。 しかし、COVID-19 may によって引き起こされた過酷なストレステストは、実際にはその改善に寄与しました。
「実のところ、状況は6か月前よりもはるかに安全になっています」とレビン氏は指摘しています。 「新型コロナは今や、私たちが共存していくべきものとなっています。」 遠隔医療は、今後長い間定着していくものだと私たちは理解しております。 「このことが、私たちをより良い慣行を取り入れる方向に大きく後押ししてくれました。」
イラスト：ダン・ベジャール
