医療機関を狙うサイバー犯罪（しかし、私たちは対抗できる）

本記事はCyber Defense Magazineに掲載された記事を基に、配信向けに更新したものです。

今日、サイバー攻撃は日常の一部となってしまいました。銀行から航空業界、スマートフォンや信号機に至るまで、あらゆるものに影響を及ぼす新たな脆弱性や侵害のニュースを、人々は半ば当然のこととして受け止めています。私たちの家庭でさえ、もはや完全に安全とは言えません。都市全体が攻撃の標的となっており、犯罪者は侵害した重要サービスの復旧と引き換えに、数百万ドルの身代金を要求しています。

しかし、せめて病院や診療所だけは安全な場所であってほしいと願うのが人情というものでしょう。医療機関を頼る時こそ、人は最も無防備な状態にあります。本来であれば、地域の医療従事者がその崇高な使命を平穏に全うできるよう、社会全体が守るべきではないでしょうか。残念ながら、現実はそうではありません。現代のサイバー犯罪者には、倫理観や道徳心といったものが欠如しているようです。それどころか、医療分野はサイバーセキュリティにおける次の「巨大な」戦場となりつつあり、診断や治療、生命維持を担う医療機器そのものが攻撃の標的となっています。世界的な健康危機が目の前で進行している今、この問題に多角的な視点から取り組むことは極めて重要です。

脅威はかつてないほど個人的なものになっています。

医療業界への攻撃は今に始まったことではありません。サイバー犯罪者は、患者の個人情報や財務記録が闇市場やダークウェブでどれほどの価値を持つかを熟知しています。その情報は、患者から直接金を盗むためだけでなく、フィッシング詐欺などの二次攻撃の足がかりとしても悪用されます。そのため、近年最も壊滅的な攻撃の多くが医療機関を標的にしているのも不思議ではありません。Anthem Healthcareでは8,000万人分の患者記録が盗まれました。Premeraでは1,100万件の個人ファイルが流出しました。CareFirstでも110万件の記録が侵害されるなど、被害は後を絶ちません。

現時点では、医療機器を直接狙った攻撃は稀であるように見えます。しかし、少なくとも一つの報告書は、問題がより広範囲に及んでいる可能性を示唆しています。病院側が侵入を報告していなかったり、サイバーセキュリティの訓練を受けていない従業員が、目の前で起きている攻撃に気づいていないだけかもしれません。セキュリティ研究者は、マルウェアを使用してCATスキャンやMRIの結果に偽の腫瘍を追加するといった、恐ろしい方法で医療機器を侵害できることを実証しています。現実世界でも、攻撃者がすでに同様の手口を用いていると考えるのは、決して飛躍した推測ではありません。

また、医療分野はIoT（モノのインターネット）への依存度が高まっているため、サイバー攻撃に対して特有の脆弱性を抱えています。インターネットに接続された小さなセンサーは、膨大な量の情報を生成します。しかし、それらのセンサーが生成する情報や通信経路、さらにはセンサー自体のセキュリティ対策は、これまで二の次とされてきました。IoTが支配するネットワークには、攻撃者が悪用できる脆弱性が無限に潜んでいると言っても過言ではありません。

医療におけるIoTは深刻なリスクをもたらします。

20年前には想像もできなかったような患者ケアに不可欠なサービスが、IoTベースの脆弱性や従来の脆弱性の温床となっています。電子カルテ、遠隔医療、モバイルヘルスは、IoTがもたらす情報の爆発的な増加を待ち望んでいたかのように普及しました。医療分野におけるIoTへの傾倒ぶりは驚くべきものです。MarketResearch.comは、来年までに医療分野のIoT市場は1,170億ドルに達し、その後も毎年15%の成長を続けると予測しています。

このような環境下では、熟練した攻撃者は医療機器を悪用するための脆弱性を容易に見つけ出すことができます。医療機器に組み込まれたIoTセンサーは、一般的に二つの方法でデータを通信・生成します。一つはデータを収集し、分析のためにインターネットへ直接送信する方法です。もう一つはフォグコンピューティングと呼ばれる分散型ネットワークを利用する方法で、センサー自体がミニネットワークを形成し、どのデータを中央のリポジトリやプラットフォームと共有するかを集合的に決定します。そのデータは、医療従事者によってさらに処理されたり、直接アクセスされたりします。

医療現場のサイバーセキュリティをさらに複雑にしているのは、業界全体でデータ取り扱いの基準や手法、保護策について合意が形成されてこなかったという事実です。歴史的に、医療業界は各メーカーが提供する独自の医療機器技術に依存してきました。今日では、これに組み込み型IoTセンサー、通信経路、データ分析プラットフォームが含まれます。このため、ほとんどの病院ネットワークはハッカーにとって格好の標的、あるいはセキュリティ設定の不備からトランスポート層の保護不足まで、あらゆる脆弱性を試せる絶好の実験場となっています。彼らはクロスサイトリクエストフォージェリから古典的なXMLインジェクション攻撃まで、あらゆる手法を試すことができるのです。

私たちに必要な反撃の手段は、すでに目の前にあります。

これらの脆弱性が悪用された場合の壊滅的な結果を考えると、一つだけ楽観できることがあります。それは、これらのセキュリティ上の欠陥が、犯罪の黒幕が仕掛けた新しい強力なバックドアではないということです。これらはあまりにも一般的であり、何度も繰り返し目にするのは苛立たしいほどです。こうした問題が再発する理由の一部は、修正プログラムが利用可能であるにもかかわらず適用されていないレガシーシステムの存在ですが、もう一つの理由は、やはり人的要因にあります。開発者は猛烈なスピードでコードを書いており、セキュリティのベストプラクティスよりも、洗練された機能的な最終製品を完成させることに集中しているのです。

あまりにも多くのソフトウェアが開発されているため、AppSec（アプリケーションセキュリティ）の専門家がすべてに対応することは不可能であり、繰り返される脆弱性の問題を彼らだけで解決することを期待すべきではありません。脆弱性を最初から作り込まないようにする方が、安価で効率的であり、明らかに安全です。そのためには、セキュリティチームと開発者が一丸となって、強固なエンドツーエンドのセキュリティ文化を構築する必要があります。

優れたセキュリティ文化とは、具体的にどのようなものでしょうか。いくつかの重要な要素を挙げます。

• 開発者が一般的なバグを修正するために必要なツールとトレーニングを備えていること（そして、なぜそれが重要なのかを理解していること）
• トレーニングが包括的で理解しやすく、開発者の強みを活かせる内容であること
• トレーニングの成果が、単なるチェックリストの消化ではなく、指標やレポートを通じて適切に測定されていること
• AppSecと開発者が共通言語で話せること。結局のところ、健全なセキュリティ文化においては、両者は同じ目標に向かって協力しているのです。

災害の可能性は依然として大きく、単に患者の医療記録が盗まれるという事態をはるかに超えています。スキャン画像に偽の腫瘍を注入することは、がんの診断を不安な気持ちで待っている患者を絶望の淵に追いやる可能性があります。また、薬のすり替えや治療計画の改ざんは、実際に患者の命を奪うことにもなりかねません。しかし、利益のために一線を越えるサイバー犯罪者が一人でもいれば、こうした事態は確実に起こり得ます。次のランサムウェア攻撃は、病院のデータを暗号化するのではなく、何千人もの患者の診断結果を台無しにするかもしれません。あるいは、攻撃者が金銭を要求するために薬の変更をほのめかし、文字通り人命を人質に取る可能性さえあるのです。

医療分野におけるサイバーセキュリティにおいて、従来の「現状維持」というアプローチがもはや通用しないことは明らかです。医療現場のサイバーセキュリティを、組織内の1、2人の専門家だけで解決することは不可能です。今後は、医療用アプリやデバイスを開発するエンジニアがセキュリティ意識を持ち、潜在的な問題を開発段階で特定して修正する必要があります。さらに、医療従事者自身にも基本的なサイバーセキュリティ教育が求められています。

健康は何よりも代えがたいものです。医療業界において将来にわたって強固なサイバーセキュリティを維持するには、今日から組織全体のセキュリティ意識を高めることが不可欠です。この問題は、適切な対策を講じなければ今後さらに悪化の一途をたどるでしょう。