本記事は、もともと The Financial Timesに掲載されたものです。
関連記事：
サイバーセキュリティの欠如がハッカーを病院の医療機器へと引き寄せる
ブラジルのWhatsApp判断がインターネットガバナンスにとって意味すること
昨年1月、医療保険会社 Anthem の管理者が、コンピューターネットワーク上で異常に複雑なクエリが実行されていることに気づいた。同僚の仕業のように見えたが、簡単な確認により、そのクエリが別の場所から送信されていることが判明した。
その数分後、 Anthemは危機対応モードに入った。調査当局は、ハッカーは中国出身で、数か月にわたって同社のネットワーク内で検知されないまま活動していたとみている。ハッカーは、従業員をだましてクリックさせることで侵入した。その手口は、社内メッセージを装ったフィッシングメールによるものだった。
ハッカーは管理者の認証情報を使い、Anthemのデータベースを精査した。同データベースには、2004年以降同社の保険プランに加入している7,800万人以上の氏名、社会保障番号、生年月日が含まれていた。
Anthemの侵害は医療業界に大きな動揺を広げた。顧客の最も機微で価値の高い個人情報が露呈し、医療業界が、ますます巧妙化する サイバー犯罪者 による脅威、さらには国家からの脅威に対して、いかに備えていないかを浮き彫りにした。
ハッカーは昨年、1億件を超える医療記録にアクセスした。これは従来の100倍に相当する。米国保健福祉省によると、今年発生した、あらゆる種類の医療提供者に対する侵害のうち、規模の大きい上位10件のうち8件が発生した。
保険会社は、システムを精査するためにサイバーセキュリティ企業の確保に奔走した。Premera Blue Cross、CareFirst BlueCross BlueShield、Excellus Health Planは、3月以降、合計で少なくとも2,200万人に影響する侵害を発表した。その中には1年以上前にさかのぼる侵害も含まれていた。調査当局はFTに対し、一部の侵害は関連しており、 中国までさかのぼると考えていると語った。
保険会社は、州保険規制当局と州司法長官による複数の調査に直面しており、州のデータプライバシー法を遵守しなかったことで罰金を科される可能性がある企業もある。一方、連邦法執行機関は、侵害の背後にいる者を調査している。
「多くの企業にとって、それはしばしば優先されるべき水準よりも低い課題となっている。彼らの関心は他の多くの事柄に向けられがちなため、多くのハッカーが見抜いている脆弱性が生まれていると考える」と、HHS公民権局の医療情報プライバシー担当副局長であるDeven McGraw氏は語った。「全体を通じて、非遵守が極めて一貫して見られる分野がいくつかある」
HHSは侵害を調査しており、個別の侵害についてのコメントは控えた。米国や英国を含む多くの国では、プライバシー法により、医療企業は個人データを保護することが義務付けられている。しかし、規制当局によれば、基本的なセキュリティの維持において一貫性を欠いている。
不健全な傾向 企業名 影響を受けた個人数（百万人） 侵害の日付 侵害の種類 侵害された情報の所在 Anthem 78.8 2015年3月 ハッキング/ITインシデント ネットワークサーバー Premera Blue Cross 11.0 2015年3月 ハッキング/ITインシデント ネットワークサーバー Excellus Health Plan 10.0 2015年9月 ハッキング/ITインシデント ネットワークサーバー Science Applications International Corporation 4.9 2011年11月 紛失 その他 Community Health Systems Professional Services Corporation 4.5 2014年8月 盗難 ネットワークサーバー University of California, Los Angeles Health 4.5 2015年7月 ハッキング/ITインシデント ネットワークサーバー Advocate Health and Hospitals Corporation / Advocate Media Group 4.0 2013年8月 盗難 デスクトップコンピューター Medical Informatics Engineering 3.9 2015年7月 ハッキング/ITインシデント 電子カルテ、ネットワークサーバー Xerox State Healthcare 2.0 2014年9月 不正アクセス/開示 デスクトップコンピューター、電子メール、ノートパソコン IBM 1.9 2011年4月 不明 その他 出典：米国保健福祉省
英国では、国民保健サービス（NHS）で報告された侵害はないが、データプライバシーに関して政府に代わって監査を行う情報コミッショナー事務局により、130万ポンドの罰金を科されている。罰金の大半は不注意によるもので、ノートパソコンの紛失、食料品店に放置されたファイル、バス停に放置された記録などが原因である。
「国民保健サービスは、利用可能な中で最も機微な個人情報を保有しているが、その情報の管理においてリードするどころか、NHSは最も成績の悪い組織の一つである。これは重大な懸念事項だ」と、情報コミッショナーのChristopher Graham氏は今年述べた。ICOは今年、NHSのシステムに対する強制監査を実施する新たな権限を付与された。「政府全体、特に医療システム内におけるデータのセキュリティ確保は最優先事項である」とNHSの広報担当者は述べた。
英国と同様、米国の医療提供者では、その データ侵害の大半がノートパソコンの紛失や内部関係者によるシステムへの不正アクセスに分類される。しかし、情報の電子化が進む一方で（米国政府が医療記録の持ち運びを容易にするため強く推進してきた考え方である）、サイバー侵入は増加している。
一部の病院では、経営陣の一員であることが多い医師が、患者ケアを遅らせたり妨げたりする可能性があると考えた電子的な対策に長く抵抗してきた。HHSのMs McGrathは、これはよくある言い訳だと述べたが、多くの企業がデータを暗号化していないことの方がはるかに懸念すべきだと語った。
過去数年間に数百件の病院合併が行われたことで、この問題は悪化している。その多くは、一つの病院グループ内で複数のITシステムが生じる結果となった。 サイバーセキュリティ は、優先事項として見過ごされがちである。
「非常に細分化された業界であるため、金融サービスやサイバーセキュリティの分野で見られるように、業界全体を牽引する大手プレーヤーがそれほど多くない。医療分野では、そうしたことは起きていない」と、シスコのアドバンスド・サービス部門でサイバーセキュリティを担当する上級副社長Bryan Palma氏は語った。
医療業界の利益率が圧迫される中、専門家によれば、IT予算のうちサイバーセキュリティに充てられるのは約3％にすぎない。患者ケアの多くの側面が単一の病院ネットワークで共有されている。つまり、患者データを狙うハッカーは、同じネットワーク上で稼働する人工呼吸器などの生命維持装置を妨害する可能性もある。
新たな脅威が浮上する
今年、調査当局が中国との関連を指摘する侵害の出現により、脅威は変化した。
「中国を拠点とし、医療業界に対する攻撃に関与してきた複数の脅威グループを把握している」と、サイバーセキュリティ企業Mandiantの調査担当者Charles Carmakal氏は語った。Mandiantは、Anthem、Premeraなどに雇われた。
「組織的な観点から、彼らが誰であるかは把握していると考えているが、誰が彼らに実行を指示したかは特定できない。大きな疑問は、彼らは雇われたハッカーなのか、それとも中国政府にこれを行うよう依頼されたのかという点だ」とCarmakal氏は語った。
中国政府は、これらの侵害への関与を否定している。事情に通じた関係者によれば、米国の調査当局は、中国のハッカーがAnthemを含む米国の保険会社を標的に、医療保険の制度や保険会社のデータベースの構造を把握しようとしたとみている。これらの記録は諜報目的にとっても価値が高い。医療課題への対応は中国政府の最優先課題の一つであり、同政府は、より質の高いケアを求める高齢化が進み、かつ裕福になりつつある人口に直面している。
「中国は、直面している疾病や人口構成の変化に役立つものであれば、何にでも非常に強い関心を持っている」と、CrowdStrikeの共同創業者Dmitri Alperovitch氏は語ったが、Anthemの侵害については具体的に話すことを控えた。「例えば、糖尿病は中国で大きな問題であるため、同分野の企業を標的にしている」
中国は2020年までに、全国民に普遍的な医療へのアクセスを提供することを約束している。現在、中国の一人当たりの医療支出は依然として先進国を大きく下回っており、医療制度は汚職やリベートに蝕まれている。
この業界は、闇市場で個人の健康データを販売する犯罪者にとっても魅力的な標的である。医療記録は、侵害の検知に時間がかかることが多く、データの有効期間が長いため、クレジットカード番号よりもはるかに価値が高い。社会保障番号などのデータは、税還付詐欺、保険詐欺、メディケア詐欺など、さまざまな手口に利用されうる。
闇市場ではクレジットカード情報は1ドル程度で購入できるが、「私が見た限りでは、一人分の完全な[医療]記録は200ドルから2,000ドルの間で取引されている」と、セキュリティ企業Raytheon Websenseのアナリスト、Carl Leonard氏は語った。
同氏によると、市場には盗まれたクレジットカード情報があふれているため、「医療記録は今や高い価値を集めている」という。
調査当局は、Anthemの侵害で得られた情報が闇市場で売買されたとは考えていない。しかし、他のハッカーは、Anthemの攻撃の被害者を狙い、Anthemからのものに見せかけた、あるいは信用保護を提供するかのような偽のメールを送っている。事情に通じた関係者によれば、これらのメールは、犯罪者に売却されうるデータを盗むことを目的としている。
Anthemは、侵害からネットワークをより良く保護するため、2年間で1億3,000万ドルを投じる計画だ。同社は、管理者パスワードを10時間ごとに変更することや、55名のサイバーセキュリティ専門家を採用することなどの措置を講じ、システムを強化したと規制当局に確約している。
不適切な「サイバー衛生」
ハッカーの手口はさまざまだが、多くの医療分野の侵害では、保険会社が運営するウェブサイトに似たドメイン名が設定されており、それらは侵害が検知される前に設定されていた。
サイバーセキュリティ企業ThreatConnectとSymantecの調査によると、偽サイトは、正規サイトと1文字だけ異なっているか、サイト名の中で本来「l」であるべき箇所に数字の「1」を使用していることが多かった。
旧称WellPointであったAnthemには、www.we11point.comが設定された。また、PremeraにはprennEra.comではなくprennera.com、Empire BlueにはEmpireB1ue.com、CareFirstにはcaref1rst.comが設定されていた。これらのドメイン名はすべて中国までさかのぼることができた。
Anthemの管理者が1月27日に侵害を発見したのは、ハッカーが患者データの大容量ファイルを抽出していた、まさにその時だった。ハッカーは数か月間システム内に潜伏していたとみられ、ファイルの削除を開始する前に、データベースに対して複数のクエリを実行してその構造を把握し、検知を免れていたと、攻撃に詳しい関係者は語った。
ハッカーは、検知を避けるため、データの抽出とクエリのわずかな変更を繰り返すパターンを用いた。その後、データを削除し、ドロップボックスに似た暗号化された共有サイトに転送した。ハッカーは、Anthemがすでに使用していた共有サイトに類似したサイトを選んだため、検知がより困難になった。
Anthemは、侵害のリスクを最小限に抑える、あるいはネットワークに侵入された場合に脆弱となる情報を制限するための、適切な「サイバー衛生」や保護措置を備えていなかったとして非難されている。
Mandiantが作成した報告書を引用し、同社の医療保険プランに加入する数十名の米国人が提起した集団訴訟は、Anthemが二要素認証を実装せず、ユーザーにパスワードの変更を義務付けず、従業員が職務の範囲を超えた個人情報にアクセスすることを許していたと主張している。
訴訟によれば、Anthemはまた、1か月間続いたものを含む警告を無視し、データの利用やデータの抽出を監視するシステムを導入しなかったとされる。同社は現在、上級システム管理者に対して二要素認証を導入している。
2013年9月のAnthemに関する監査で、米国人事管理局の監察官は、同社には「悪意のあるウイルスやハッキング活動の侵入口」となりうる脆弱性があると指摘した。
Anthemは罰金を科される可能性があり、是正措置を講じることを求められる可能性もある。
すでに、この侵害によりAnthemは法務費用およびコンサルタント費用として約2億3,000万ドルを負担している。費用の大半はサイバー保険で賄われた。しかし、Anthemの法務責任者Thomas Zielinski氏は、8月に保険規制当局に対し、侵害以降、同社のサイバー保険の保険料が高額になったと語った。現在、Anthemは、いかなる侵害についても初期費用として最初の2,500万ドルを負担する義務があり、追加で1億ドルの補償を提供する保険に加入している。
「[Anthemの]侵害は認識を高めた」とPalma氏は語った。「医療業界は今こう言っている。『これは現実のものだ。当業界には前例がある』。出遅れてはいるが、少なくとも今は参加している。」
本記事の掲載は、世界経済フォーラムによる見解の承認を意味するものではありません。
The Agendaの最新情報を追うには、 週刊ニュースレターを購読してください。
執筆者：The Financial Timesは、英国および国際的なビジネス、金融、経済、政治に関する最新ニュースを報じ、論評し、分析しています。
画像：男性がコンピューターのキーボードで入力している。REUTERS/Kacper Pempel/Files.
