チェンジ・ヘルスケア ランサムウェア事件（2024年・米国）

1. 事件の概要

2024年2月、アメリカの医療決済大手「チェンジ・ヘルスケア」がランサムウェア攻撃を受けました。同社は、病院や薬局と保険会社の間の「医療費の請求・支払い」を仲介する巨大な決済インフラで、全米の医療費請求の約4割（年間約150億件）を処理していました。

そのシステムが止まった結果、全米各地の病院・薬局で「保険請求ができない」「薬を保険で出せない」といった混乱が連鎖。患者が薬を受け取れない、医療機関にお金が入らず経営が逼迫する、といった深刻な事態が全国規模で広がりました。攻撃したのは「ALPHV／BlackCat」というグループで、同社は約2,200万ドル（当時のレートで約33億円）もの身代金を支払いましたが、それでもデータは完全には戻りませんでした。

2. 被害の内容と規模

社会インフラとしての被害

• 全米の医療費請求の約4割を処理する決済基盤が停止。
• 多くの病院・薬局で、保険請求や薬の保険適用ができなくなり、会計・調剤が混乱。
• 医療機関にお金が入らず、資金繰りが悪化。米国の医療業界全体に打撃が及んだ。

情報流出と金銭被害

• 推定約1億人分の個人情報・医療情報・社会保障番号などが流出。米国史上最大級の医療情報漏洩とされる。
• 攻撃者は6TBものデータを盗み出したと主張。
• 同社は約2,200万ドル（当時のレートで約33億円）の身代金を支払ったことを認めたが、データは戻らず、復旧・対応費用は数千億円規模にのぼったとされる。

3. 原因と手口

入り口は「多要素認証の欠如」

後の調査で、攻撃の起点は多要素認証（MFA）が設定されていなかった、外部からのリモート接続サーバーだったことが判明しました。どこかで盗まれたIDとパスワードだけで、追加の本人確認なしにログインできてしまったのです。

攻撃の流れ

1. 侵入：MFAのないリモート接続口から、盗んだ認証情報でログイン。
2. 潜伏・拡散：約9日間かけてネットワーク内を移動し、重要システムへ到達。
3. データ窃取：暗号化の前に6TBものデータを外部へ持ち出す。
4. 暗号化と恐喝：システムを暗号化して業務を停止させ、身代金を要求（二重恐喝）。

4. 対策と教訓

「巨大企業がたった1つの設定漏れで倒れる」なら、中小企業も同じ原理で守れます。基本を1つずつ潰すことが、いちばん効きます。

企業がとるべき対策

• すべてのリモート接続にMFAを付ける：VPN、クラウド、社外からログインできる全システムで多要素認証を必須にする。「1か所でも例外」を作らない。
• 外から入れる入り口を棚卸しする：「どこから社内に入れるのか」を洗い出し、使っていない経路は閉じる。設定漏れの一覧化が第一歩。
• バックアップを切り離して保管する：暗号化されても業務データを取り戻せるよう、隔離バックアップと復元テストを行う。
• 不審な動きを検知する：9日間も潜伏を許さないよう、通常と違うアクセスや大量データ持ち出しを警告する仕組みを持つ。
• 重要な業務ほど「代替手段」を持つ：自社の中核業務や、外部に依存しているサービスが止まったときの回避策を考えておく。
• 取引先の停止も想定する：自社が使う決済・受発注などの外部サービスが止まる可能性も、BCPに織り込む。

5. まとめ

チェンジ・ヘルスケアの事件は、たった1つの「MFAなしの入り口」から全米の医療が麻痺し、約1億人分の情報が流出したという、基本の重要さを世界に突きつけた出来事でした。多額の身代金を払ってもデータは戻りませんでした。教訓は明快です——すべての入り口に多要素認証、切り離したバックアップ、そして依存先が止まっても回す備え。企業の規模を問わず、守りの原理は同じです。