岡山県精神科医療センターがランサムウェア被害、報告書は「十分に防げた人災」

事案の概要データ

何が起きたのか

2024年5月19日、岡山県精神科医療センターでシステム障害が発生しました。5月21日にはランサムウェア攻撃であることが特定され、6月11日には最大約4万人分の患者情報が流出したおそれがあると公表されました。

精神科医療という分野の性質上、流出した情報の機微性は極めて高いものでした。通院歴そのものが、本人にとって知られたくない情報であり得るからです。

「十分に防げた人災」という結論

この事案が他と大きく異なるのは、2025年2月に公表された調査報告書の結論です。報告書は、この被害を「十分に防げた人災」と表現しました。

サイバー攻撃の被害は、しばしば「高度な攻撃だった」「防ぎようがなかった」と説明されます。しかしこの報告書は、基本的な対策が行われていれば防げたという厳しい評価を下しました。

この率直さは、同種の組織にとって極めて有益です。「特別な攻撃を受けた稀なケース」ではなく「どこでも起こりうる、基本対策の欠如による被害」として位置づけられたことで、他の医療機関が自分ごととして対策を見直す契機になりました。

医療機関のセキュリティ対策の遅れ

医療機関は、限られた予算を医療機器や人員に優先配分せざるを得ず、IT・セキュリティへの投資が後回しになりがちです。加えて、電子カルテは24時間動き続ける必要があり、更新やパッチ適用のための停止時間を確保しにくいという事情もあります。

しかし、それらの事情は攻撃者には関係ありません。むしろ「対策が遅れていて、かつ止まると困る」組織は、身代金を払う可能性が高いとみなされ、優先的に狙われます。

中小企業にも同じ構図があります。「忙しくて更新できない」「止められない」という事情そのものが、狙われる理由になります。

時系列で見る経過

• 2024年5月19日システム障害が発生。電子カルテが使用できない状態に
• 2024年5月21日ランサムウェア攻撃であることを特定
• 2024年6月11日最大約4万人分の患者情報が流出したおそれがあると公表
• 2024年6月以降システムの復旧作業と影響範囲の調査を実施
• 2025年2月調査報告書を公表。「十分に防げた人災」と結論づける
• 2025年以降報告書の指摘をもとに再発防止策を実施

中小企業が学ぶべきポイント

1. 「高度な攻撃だから防げない」ではなく、基本対策の欠如で起きる被害がほとんど。
2. 事故後の調査報告書を公表することは、同業他社への最大の貢献になる。
3. 止められないシステムこそ、更新計画とバックアップを事前に設計する。
4. 医療・介護など機微な情報を扱う事業は、規模に関わらず対策の優先度を上げる。
5. 「忙しくて対策できない」という事情自体が、狙われる理由になる。

出典・参考

• ランサムウエア起因による岡山県精神科医療センターのシステム障害についてまとめてみた - piyolog
• 岡山県精神科医療センターの個人情報漏洩は「人災」 調査報告書を発表 - セキュリティ対策Lab
• 岡山県精神科医療センターのランサムウエア報告書を読み解く - トレンドマイクロ