オンライン診療の不正ログイン87人分、医療機関が今すぐ見直す認証の穴

分析・見解

閲覧されたのは「病気の手がかり」そのもの

今回の事案で見逃せないのは、漏れた可能性のある項目に「受診状況」や「医師のメモ」が入っていることだ。ECサイトの流出なら、パスワードを変えて、カードを止めれば済む。しかし診療の記録は、一度見られたら取り戻せない。通院先、診療科、症状の経過は、本人が最も知られたくない情報の一つである。

氏名や生年月日と組み合わさると、第三者は特定の人物の持病や通院歴まで推測できる。悪用されれば、詐欺の文面に使われたり、脅迫の材料になったりしかねない。被害人数の87人は多くないが、件数で重さを測れない種類の情報だった点を押さえたい。

破られたのは技術ではなく、入口の鍵だった可能性

今回は、システムの脆弱性を突いた攻撃というより、アカウントに正規の手順でログインされた事案とみられる。こうした手口の定番は、他のサイトから流出したIDとパスワードの使い回しを試す方法だ。これを「リスト型攻撃」と呼ぶ。

利用者の多くは、複数のサービスで同じパスワードを使っている。数千件を機械的に試せば、数件は通ってしまう。パスワードだけで守る設計は、この攻撃に弱い。厚労省が最初に挙げたのが多要素認証とパスキーだったのは、そのためだ。

パスキー（＝端末の指紋認証や顔認証でログインする仕組み）は、パスワードそのものを持たないため使い回しが起きない。偽サイトに入力させて盗む手口も通用しにくい。

他業界と比べて遅れる医療現場の認証強化

金融機関は、2024年から2025年にかけて相次いだ不正送金や証券口座の乗っ取りを受け、多要素認証を事実上の必須にした。一方、医療の現場では、利便性を優先して導入が後回しになりやすい。高齢の患者が多く、スマートフォンの操作に不慣れな人もいるためだ。

さらに、小規模なクリニックにはセキュリティ担当者がいない。院長や事務スタッフが、システム会社から渡された初期設定のまま運用している例も珍しくない。ここに、攻撃者が狙う隙が生まれる。

医療機関側のアカウントが破られると、複数の患者の情報が一度に見られてしまう。患者側の対策だけでは、被害を防ぎきれない構造だ。

今後は「事業者任せ」では済まなくなる

厚労省は、医療情報システムの安全管理に関するガイドラインを改訂してきた。今回の要請は、ガイドラインの考え方を現場の運用に落とす動きの一環といえる。今後は、認証の強さが事業者選定の条件になり、強化していない事業者は選ばれにくくなる可能性が高い。

また、患者への通知の速さも問われる。何が見られたのか、いつ起きたのか、何をすればよいのか。この三点を早く伝えられるかが、信頼を左右する。