病院を狙うサイバー攻撃が、情報漏洩だけでなく診療停止、EHR障害、患者の受け入れ制限、請求・回収の遅延など経営全体を揺るがしています。医療分野のデータ侵害コストは世界平均660万ドルに達し、米国では医療機関のサイバーセキュリティ要件強化も進んでいます。

サイバー攻撃が病院の「診療そのもの」を止める

医療機関を狙うサイバー攻撃の脅威が続いている。

米国では直近1カ月だけでも、サウスカロライナ州のAnMedとテキサス州のJPS Health Networkでサイバーインシデントによる大規模な業務障害が発生した。

影響はコンピューターシステムだけにとどまらない。電子カルテ（EHR）が利用できなくなれば、患者情報の確認、処方、診療記録、検査結果へのアクセスなど、日常診療を支える多くの業務が停止する。

その結果、病院は紙による記録などのダウンタイム手順へ切り替え、場合によっては救急患者を他の医療機関へ移送する必要も生じる。

サイバー攻撃が「情報セキュリティ上の事故」から「医療提供を止める経営リスク」へ変化している。

80以上の診療所・画像診断施設が一時閉鎖

7月26日に発生したAnMedへのマルウェア攻撃では、電子カルテが停止し、80以上の医師オフィスと画像診断施設が数日間にわたり閉鎖された。

495床の医療センターでは救急診療を継続したものの、一部の患者は近隣の医療機関へ転送された。腫瘍診療や放射線関連サービスも一時停止し、救急部門、Urgent Care、検査部門などへ限られたリソースを集中させた。

8月中旬にはEHRの大部分が復旧したものの、10カ所の外来施設は依然として閉鎖されていた。

さらにランサムウェアグループは、患者データ6テラバイトを取得したと主張。HIV陽性患者、性的暴行に関する症例などを含む機密性の高い情報を保有していると表明した。

AnMedは8月21日、攻撃者が何らかの情報を取得したことを確認したが、具体的にどの情報が影響を受けたのかについては調査が続いている。

電子カルテ停止で患者の治療にも影響

テキサス州Fort WorthのJPS Health Networkでも、8月3日からネットワーク障害が発生した。

JPSは広範囲な被害が発生する前に不審な活動を検知し、ネットワークを制御された状態で停止する対応を実施した。

その結果、診療記録は手作業へ切り替えられ、救急搬送の一部は他院へ変更。患者は処方薬の受け取りに遅れが生じ、MyChartへのアクセスも制限された。

実際に診察を受けた患者からは、医師が過去のCT検査などの情報を確認できなかったという声も報告された。

8月14日にはEHRが復旧し、救急患者の受け入れ制限も終了。その後、予定手術、外来薬局、地域クリニックなども通常業務へ戻った。

この事例が示しているのは、EHRへのアクセス不能が単なる事務作業の遅延ではなく、患者の病歴確認や処方など実際の医療行為にも影響するということだ。

医療分野のデータ侵害コストは平均660万ドル

サイバー攻撃による経済的負担も大きい。

IBMとPonemon Instituteの年次報告によると、医療業界は13年にわたってデータ侵害1件当たりの平均コストが全業界で最も高く、2025～2026年には世界平均で660万ドルに達した。

さらに、攻撃側でもAIの利用が拡大している。

ディープフェイクを利用したなりすましやAIによって生成されたマルウェアなどによって、ランサムウェアグループはより低いコストで高度な攻撃を実行できるようになっている。

一方、防御側でもAIの効果が報告されている。セキュリティAIや自動監視ツールを利用する組織では、利用していない組織と比較して、データ侵害1件当たり平均で約200万ドルのコスト削減につながったとされる。

病院だけでなく「取引先」も標的に

医療機関自身のセキュリティを強化するだけでは十分ではない。

2024年のChange Healthcareへの攻撃が示したように、ランサムウェアグループは病院と契約する外部事業者も狙っている。

2026年に米保健福祉省（HHS）のOffice for Civil Rightsへ報告された医療分野の情報漏洩では、請求サービスを提供するTriZetto Provider Solutionsで約350万人が影響を受けた事例もあった。

医療機関が多くの外部企業とデータやシステムを接続する現在、サイバーリスクは病院内部だけで完結しない。

Revenue Cycle Managementをはじめとする外部サービスの停止が、そのまま医療機関の業務停止や収益悪化につながる可能性がある。

「システムを止めない」恐喝型攻撃も増加

攻撃方法にも変化がみられる。

医療機関側でエンドポイントセキュリティやオフラインバックアップが強化されたことで、「Extortion-only」と呼ばれる恐喝型攻撃が増えている。

従来のランサムウェアではシステムを暗号化して使用不能にし、復旧と引き換えに身代金を要求する方法が一般的だった。

一方、恐喝型攻撃ではシステムそのものを停止させず、大量の保護対象医療情報（PHI）を盗み出す。

そして「身代金を支払わなければ患者情報を公開する」と医療機関を脅迫する。

つまりバックアップによってシステムを復旧できても、情報流出そのものを防げなければ攻撃者からの圧力は残ることになる。

攻撃後の「回復期間」が経営を圧迫

Fitch Ratingsは、医療分野におけるサイバーインシデントの「頻度、高度化、影響」が大幅に増加していると指摘している。

特に重要なのは、サイバー攻撃による財務的な影響がシステム復旧費用だけではないことだ。

EHRの長期停止、患者予約への影響、Revenue Cycle業務の停止などが重なることで、請求・回収の遅延、患者数の減少、人件費の増加などが発生する。

そして場合によっては、攻撃を受けている最中よりも、その後の回復期間に大きな財務的影響が表面化する。

もともと財務状態や業務体制に問題を抱えている医療機関では、サイバー攻撃が信用格付けの引き下げにつながるリスクも高まる。

米国ではサイバー対策の義務化も進む

こうした状況を受け、米国では医療機関に対するサイバーセキュリティ要件の強化が検討されている。

HIPAA Security Ruleの改定案では、これまでの「required」と「addressable」という区分を大幅に見直し、より多くのセキュリティ対策を実質的に義務化する方向が示されている。

具体的には、多要素認証（MFA）、保存中・通信中データのより強力な暗号化、インシデント対応時間の厳格化、セキュリティテスト、デジタル資産管理などが含まれる。

最終規則の公表は、関係者からの意見を受けて2027年7月まで延期された。

さらに米上院HELP委員会では「Health Care Cybersecurity and Resiliency Act of 2026」が22対1で可決され、HIPAA対象組織に対する包括的なMFAや保護対象医療情報のエンドツーエンド暗号化などが盛り込まれている。

サイバーセキュリティは「病院経営」の問題へ

病院へのサイバー攻撃で最も警戒すべきなのは、情報漏洩そのものだけではない。

EHRが停止すれば患者情報を確認できず、診療所が閉鎖され、救急患者を他院へ送らなければならない。さらに請求が遅れればキャッシュフローが悪化し、復旧作業によって人件費も増加する。

そして、その影響は攻撃が終わった後も続く可能性がある。

医療機関にとってサイバーセキュリティは、IT部門だけが担当する技術的課題ではなくなっている。

患者の安全、診療継続、Revenue Cycle、財務、信用力までを守る経営上のリスク管理として位置づける必要性が一段と高まっている。

出典

HFMA
Hospital cyberattacks underscore growing financial and operational risks