「電子カルテが起動しない」朝 ― ランサムウェアは開業医にも来る

朝8時、スタッフが診察室のPCを起動する。いつもと違う画面が表示されている。英語で何か書いてある。電子カルテが開かない。

これはフィクションではありません。2024年5月、岡山県の診療所で実際に起きたことです。

「病院の話でしょ」は、もう通用しない

ランサムウェアの被害事例といえば、半田病院（2021年）や大阪急性期・総合医療センター（2022年）など、病院規模の話が目立ちます。「うちみたいな小さなクリニックは狙われない」と思っている院長は多いと思います。

ただ、2024年5月の岡山の事件は違います。被害を受けたのは岡山県精神科医療センターだけではありませんでした。同じシステムを使っていた東古松サンクト診療所も、同時に電子カルテが止まりました。

侵入経路は、VPN機器（外部から院内ネットワークにつなぐためのリモート接続装置）のパスワードが P@ssw0rd のままになっていたこと。2018年の設置以来、一度もパスワードが変更されていませんでした。

電子カルテが使えなくなったとき、診療はどうなるでしょうか。

処方箋が出せなくなります。 現在の投薬内容は電子カルテにあります。画面が開かなければ、何をどれだけ処方しているかの確認が取れません。「いつもの薬をください」という患者への対応が、突然できなくなります。

予約が全部消えます。 予約データも電子カルテやその連携システムにあります。当日の患者リストが消え、誰が何時に来るかも分かりません。

紙カルテには戻れません。 電子カルテに完全移行しているクリニックでは、紙の診療記録は残っていないことがほとんどです。過去の受診歴、検査結果、アレルギー情報――すべてが画面の向こうにあります。スタッフも、紙カルテの書き方を知りません。

日本医師会総合政策研究機構の調査によると、診療所を含む小規模医療機関の実態はこうなっています。

攻撃者から見ると、小さなクリニックは「鍵のかかっていない金庫」に映ります。患者情報という価値ある情報を持ちながら、守りが薄い。診療を止めたくない院長は身代金を払う可能性が高い。狙う理由が十分にあります。

大病院よりセキュリティが手薄な分、かえって攻撃しやすいと考える攻撃者も少なくありません。

完璧な対策は不要です。やりやすいものから始めてください。

スタッフへの一言周知をする。「知らない相手からのメールのリンクはクリックしない」「添付ファイルを不用意に開かない」。この二つをスタッフ全員に伝えるだけで、フィッシングメール経由の侵入リスクは大きく下がります。セキュリティ教育の出発点はここです。
マルウェア対策ソフトとネットワーク分離を導入する。診療に使うPCにマルウェア対策ソフトを入れること、そして電子カルテ用の端末とインターネットに接続する端末を分けることが次の一手です。「電子カルテのPCでYouTubeを見ない」というルールだけでも効果があります。ネットワークの分離（セグメンテーション）はITベンダーに相談してください。
電子カルテをネットから切り離せるか検討する。電子カルテシステムをインターネットに接続しない構成は最も強い防御です。ただし、クラウド型電子カルテを使っている場合は難しく、コストと運用面の負担も大きい選択肢です。ITベンダーと相談の上、可能かどうかを確認してください。

電子カルテが止まる朝は、突然やってきます。予告はありません。

被害に遭ったクリニックの院長も、前日まで「うちは大丈夫」と思っていたはずです。大病院だけの話ではなく、診療所も含めて被害は起きています。

「スタッフにフィッシングメールの話をする」「マルウェア対策ソフトを確認する」。今日できることから一つだけ動いてみてください。