九州大学病院は2026年6月10日、本学研究室が管理する端末に対してサイバー攻撃による不正アクセスがあり、ランサムウェアに感染したとみられる事案が発生したと発表しました。
同発表によると、当該端末に保存されていた九州大学病院の患者43名の氏名と手術動画データについて、外部に流出した可能性を否定できない状況だとしています。
一方で、当該端末は診療用ネットワークとは切り離されており、電子カルテなどの診療用システムへの影響や、診療業務への影響は現時点で確認されていないとされています。
今回の事案は、単に「病院がランサムウェア被害を受けた」という話にとどまりません。医療機関、研究機関、大学、企業のいずれにおいても、業務端末・研究端末・部門管理端末に保存された機微情報をどう守るかという重要な論点を含んでいます。
本記事では、現時点で公表されている情報をもとに、今回の事案の概要と、医療機関・企業が確認すべき端末管理、ネットワーク分離、データ保護のポイントを整理します。
九州大学病院で何が起きたのか
九州大学病院の発表によると、2026年5月25日、本学研究室が管理する端末がサイバー攻撃による不正アクセスを受け、ランサムウェアに感染したとみられる事案が発生しました。
当該端末には、九州大学病院の患者43名の氏名と手術動画データが保存されていたとされています。
現時点では、当該情報が実際に外部で公開された事実や、悪用された事実は確認されていないものの、不正アクセスにより外部へ流出した可能性を否定できない状況です。
また、不審な挙動を検知した後、当該端末を直ちにネットワークから遮断するなど、被害拡大防止の対応が取られたとされています。
重要なのは、今回の対象が「病院全体の診療システム」ではなく、「研究室が管理する端末」だった点です。
公式発表では、当該端末は診療用ネットワークとは切り離されていたため、電子カルテなどの診療用システムへの影響は確認されておらず、診療業務も通常通り実施されていると説明されています。
現時点でわかっていること
今回の事案について、現時点で確認できる主な情報は以下の通りです。
| 項目 | 内容 |
|---|---|
| 公表日 | 2026年6月10日 |
| 発生日 | 2026年5月25日 |
| 対象 | 本学研究室が管理する端末 |
| 事象 | サイバー攻撃による不正アクセス、ランサムウェア感染とみられる事案 |
| 流出可能性のある情報 | 患者43名の氏名、手術動画データ |
| 悪用・公開の確認 | 現時点では確認されていない |
| 初動対応 | 不審挙動検知後、当該端末をネットワークから遮断 |
| 診療システムへの影響 | 現時点では確認されていない |
| 診療業務への影響 | 通常通り実施 |
現時点でまだわからないこと
一方で、現時点では明らかになっていない点もあります。
たとえば、以下のような点です。
- どのような経路で当該端末へ不正アクセスされたのか
- どの脆弱性や設定不備が悪用されたのか
- 認証情報の窃取があったのか
- ランサムウェアの具体的な種類
- データが実際に外部へ送信されたかどうか
- 手術動画データが暗号化・匿名化されていたか
- 当該端末でどのようなセキュリティ対策が実施されていたか
- 同様の端末が他にも存在していないか
そのため、現時点で攻撃手法や攻撃グループを断定することは避けるべきです。
ニュース解説として重要なのは、未確定情報を広げることではなく、公式発表で確認できる事実から、医療機関や企業が自社の対策に置き換えて考えることです。
今回の事案で注目すべきポイント
今回の事案で特に注目したいのは、次の3点です。
1. 研究室端末にも機微情報が保存されていた可能性
医療機関では、電子カルテや診療用システムだけでなく、研究室、診療科、部門、検査室、教育用環境などにも、患者情報や診療に関連するデータが保存されることがあります。
今回の事案では、研究室が管理する端末に患者氏名と手術動画データが保存されていたとされています。
これは、医療情報の保護を考えるうえで、中央の医療情報システムだけを守ればよいわけではないことを示しています。
端末単位、部門単位、研究用途のデータ利用まで含めて、どこにどの情報が保存されているのかを把握する必要があります。
2. ネットワーク分離が被害拡大防止に重要だった可能性
公式発表では、当該端末は診療用ネットワークとは切り離されていたため、電子カルテなどの診療用システムへの影響は確認されていないとされています。
これは、ネットワーク分離やセグメント管理が、ランサムウェア被害の拡大防止において重要な役割を持つことを示すポイントです。
仮に研究室端末、事務端末、診療用ネットワーク、バックアップ環境などが過度に接続されていれば、ひとつの端末侵害が組織全体の業務停止につながる可能性があります。
医療機関に限らず、企業でも以下のような分離設計が重要です。
- 業務端末と基幹システムの分離
- 研究・開発環境と本番環境の分離
- 事務系ネットワークと重要システムの分離
- バックアップ環境の分離
- 外部接続点の管理
- リモートアクセス環境の監視
3. 「診療用システム外」の端末管理が課題になりやすい
医療機関のセキュリティ対策では、電子カルテや医事会計システムなどの中核システムに注目が集まりがちです。
しかし、実際には周辺端末や部門端末、研究室端末、個別管理端末が攻撃対象になることがあります。
こうした端末は、以下のような理由でリスクが高まりやすくなります。
- 管理責任が部門や研究室に分散している
- OSやソフトウェアの更新状況を一元管理しにくい
- 古いアプリケーションや専用機器と接続している
- USBメモリや外付けストレージを使うことがある
- 研究・教育目的で外部とのデータ連携が発生する
- セキュリティ監視の対象外になりやすい
今回の事案は、こうした「管理の外側に出やすい端末」をどう把握し、どう守るかを考えるきっかけになります。
ランサムウェア対策は「感染防止」だけでは不十分
ランサムウェア対策というと、マルウェア感染を防ぐことに目が向きがちです。
もちろん、感染を防ぐ対策は重要です。
しかし、現実的には、すべての侵入や感染を完全に防ぐことは困難です。
そのため、企業や医療機関では、以下のように段階を分けて考える必要があります。
| 段階 | 確認すべき対策 |
| 侵入前 | 脆弱性管理、認証強化、メール対策、リモートアクセス制御 |
| 侵入時 | EDR、振る舞い検知、不審挙動の監視 |
| 侵入後 | ネットワーク分離、権限管理、横展開防止 |
| 暗号化・窃取時 | 重要データの保護、アクセスログ監視、DLP |
| 復旧時 | バックアップ、復旧手順、BCP、関係者連絡 |
| 公表・対応時 | 顧客通知、行政・警察連携、再発防止策 |
今回の事案では、不審な挙動を検知後、当該端末をネットワークから遮断したと説明されています。
これは、侵害を前提にした初動対応として重要な動きです。
ただし、今後の再発防止では、「なぜ当該端末に患者情報や手術動画データが保存されていたのか」「保存が必要だった場合、保護措置は十分だったのか」「同じような端末が他にもないか」といった点の確認が重要になります。
医療情報保護で確認すべき5つのポイント
医療機関や研究機関、医療関連企業が今回の事案から確認すべきポイントを整理すると、次の5つです。
1. 端末単位で保存データを把握しているか
まず確認すべきなのは、どの端末に、どのような情報が保存されているかです。
特に以下の情報は、保存場所と利用目的を明確にしておく必要があります。
- 患者氏名
- 診療記録
- 検査画像
- 手術動画
- 診断画像
- 研究用データ
- 個人識別可能なメタデータ
- 学会発表・研究利用前の未加工データ
医療情報は、電子カルテ内だけに存在するとは限りません。
画像、動画、CSV、Excel、PDF、外部ストレージ、ローカルPCなど、さまざまな形で複製される可能性があります。
2. 研究・教育用途のデータ利用ルールが整備されているか
医療機関では、診療だけでなく、研究、教育、症例検討、学会発表などの目的でデータが利用されることがあります。
その際に重要なのは、利用目的、保存場所、アクセス権限、匿名化・仮名化、保存期間、削除ルールを明確にすることです。
特に動画データは、テキスト情報よりも情報量が多く、個人識別につながる可能性もあります。
手術動画、検査動画、画像データなどを扱う場合は、通常の文書ファイル以上に慎重な管理が求められます。
3. 研究室端末・部門端末もセキュリティ管理対象に入っているか
診療用システムだけでなく、研究室端末や部門端末も管理対象に含める必要があります。
確認すべき項目は以下です。
- OSの更新状況
- セキュリティソフトの導入状況
- EDRなどの監視対象になっているか
- ローカル管理者権限の有無
- 外部ネットワーク接続の有無
- USBや外部ストレージの利用状況
- リモートアクセス設定
- 共有フォルダの公開範囲
- 退職者・異動者のアカウント管理
「診療用システムではないから重要ではない」と考えるのは危険です。
機微情報が保存されている端末であれば、診療用ネットワーク外であっても、十分に重要資産として扱う必要があります。
4. ネットワーク分離とアクセス制御が機能しているか
今回の事案では、当該端末が診療用ネットワークとは切り離されていたことが説明されています。
このように、万が一ひとつの端末が侵害された場合でも、被害が横展開しない構成にしておくことが重要です。
確認すべき項目は以下です。
- 診療系ネットワークと事務系ネットワークが分離されているか
- 研究系ネットワークと診療系ネットワークが分離されているか
- 重要システムへのアクセス経路が限定されているか
- リモートアクセスに多要素認証を導入しているか
- 不要な共有フォルダや管理ポートが開放されていないか
- 端末間通信が必要最小限に制限されているか
- バックアップ環境がランサムウェアの影響を受けにくい設計になっているか
ネットワーク分離は、単にネットワークを分けるだけでは不十分です。
どの通信を許可し、どの通信を遮断するのか。例外的な接続を誰が承認し、どのように監査するのか。そこまで含めて運用する必要があります。
5. インシデント発生時の初動手順が整備されているか
ランサムウェア被害では、初動対応の速さが被害範囲を大きく左右します。
特に重要なのは、現場が迷わず動ける手順を用意しておくことです。
たとえば、以下のような項目です。
- 不審な挙動を誰に報告するか
- 端末をネットワークから切り離す判断基準
- 電源を切るべきか、証跡保全を優先すべきか
- 関係部門への連絡経路
- 外部専門家・警察・所管行政機関への相談手順
- 患者・顧客への通知判断
- 報道対応
- 復旧時の優先順位
- 再発防止策の公表方針
インシデント対応は、情報システム部門だけで完結しません。
医療機関であれば、診療部門、研究部門、事務部門、広報、法務、個人情報保護担当、経営層が連携する必要があります。
モバイル不正対策ラボの見解
今回の事案は、モバイルアプリや会員サービスの不正対策とは一見離れて見えるかもしれません。
しかし、共通する論点は多くあります。
それは、重要情報が「想定外の端末」「想定外の場所」「管理が分散した環境」に保存されていると、そこが攻撃の入口や被害拡大の起点になり得るという点です。
金融アプリ、決済アプリ、会員アプリを運営する企業でも同じです。
本番システムや認証基盤だけでなく、以下のような周辺環境にリスクが潜んでいる場合があります。
- 開発用端末
- 検証環境
- カスタマーサポート端末
- 委託先端末
- 管理画面へアクセスする業務端末
- ログやCSVを扱う分析端末
- 一時的に個人情報を保存したローカルPC
- 外部ストレージや共有フォルダ
不正アクセス対策では、システムそのものを守るだけでなく、「誰が、どの端末から、どの情報にアクセスできるのか」を継続的に把握することが重要です。
特に、モバイルアプリや会員サービスでは、管理画面、サポート画面、本人確認データ、決済情報、ログイン履歴、端末情報などが複数の環境に分散しやすくなります。
そのため、端末管理、認証強化、アクセス制御、ログ監視、データ持ち出し制御を一体で考える必要があります。
企業が今回の事案から確認すべきチェックリスト
医療機関に限らず、個人情報や機微情報を扱う企業では、以下を確認しておきたいところです。
端末管理
- 管理対象端末を台帳化しているか
- 部門管理端末や研究用端末も把握しているか
- OS・ソフトウェアの更新状況を確認しているか
- EDRやウイルス対策の導入状況を確認しているか
- ローカルに保存されている個人情報を把握しているか
データ管理
- 個人情報の保存場所を把握しているか
- ローカル保存を許可する条件を定めているか
- 保存期間と削除ルールを定めているか
- 動画・画像・ログなどの非定型データも管理対象にしているか
- 研究・分析・サポート目的のデータ利用ルールがあるか
認証・アクセス制御
- 管理画面や重要システムに多要素認証を導入しているか
- 退職者・異動者のアカウントが残っていないか
- 特権アカウントの利用を監査しているか
- 端末や場所によるアクセス制限を行っているか
- 不審なログインや異常操作を検知できるか
ネットワーク・環境分離
- 重要システムと一般端末のネットワークを分離しているか
- 開発環境・検証環境・本番環境を分離しているか
- 委託先や外部接続経路を把握しているか
- バックアップ環境がランサムウェアの影響を受けにくいか
- 不要な共有フォルダやリモート接続を停止しているか
インシデント対応
- 不審挙動を検知した際の連絡先が明確か
- 端末隔離やネットワーク遮断の判断基準があるか
- 証跡保全の手順があるか
- 外部専門家や警察への相談手順があるか
- 顧客・患者・利用者への通知基準があるか
- 復旧訓練や机上演習を実施しているか
まとめ
九州大学病院の今回の事案では、研究室が管理する端末への不正アクセスにより、患者43名の氏名と手術動画データが外部に流出した可能性があると発表されました。
現時点では、当該情報の公開や悪用は確認されておらず、診療用システムや診療業務への影響も確認されていないとされています。
ただし、今回の事案は、医療機関や企業にとって重要な教訓を含んでいます。
それは、重要情報は必ずしも中核システムの中だけにあるわけではないということです。
研究室端末、部門端末、開発端末、サポート端末、委託先端末など、管理が分散しやすい場所に個人情報や機微情報が保存されていれば、そこが攻撃の入口や情報流出の起点になる可能性があります。
ランサムウェア対策では、感染防止だけでなく、端末管理、ネットワーク分離、データ保存ルール、アクセス制御、初動対応、バックアップ、復旧手順まで含めた総合的な対策が必要です。
医療機関に限らず、金融・決済・会員サービスなど個人情報を扱う企業も、今回の事案をきっかけに、自社の端末管理とデータ保護の状況を見直すべきでしょう。
参考情報
- 九州大学病院「本学研究室の端末への不正アクセスについてのご報告とお詫び」
- RKB毎日放送 / TBS NEWS DIG「患者の名前と手術動画43件が流出した可能性 九州大学病院、研究室の端末にサイバー攻撃」