Synnovis、ランサムウェア攻撃で患者情報流出とITシステム麻痺に直面

2024年6月、イギリスの主要な医療サービス提供者であるSynnovisがランサムウェア攻撃を受け、ロンドン地域の複数の病院の運営が停止しました。この攻撃により、King’s College Hospitals NHS Trust、Guy’s and St Thomas’ NHS Foundation Trust、SYNLABとの協力で運営されているSynnovisのITシステム全体が麻痺し、病院は手術や診療を中止せざるを得なくなり、多くの患者が不便を強いられました。

Qilinというランサムウェアグループがこの攻撃に関与していると名乗り出て、Synnovisから約400ギガバイトのデータを奪取したと発表しました。このデータには、名前、生年月日、NHS番号に加え、一部の検査結果も含まれていました。Synnovisは当初、身代金を支払わず、当局と協力して攻撃の調査を行い、ITインフラの再構築には約1年半を要しました。

Synnovisは、データが構造化されておらず断片化されていたため、調査に時間がかかったと説明しました。データの復旧には専門のサイバーセキュリティの専門家が投入され、複雑なプラットフォームとカスタム手続きによってデータが分析されました。重要なのは、主に使用中のドライブからデータが急いで持ち去られたため、主要な実験室データベースにはアクセスされなかったことです。

この事件で一部の患者情報が流出しましたが、Synnovisはデータが悪用されたり、犯罪者の持続的な関心対象になったりしていないと述べています。Synnovisは2025年11月21日までに、影響を受けたすべてのNHS組織に通知を行う予定であり、各機関が直接患者に通知する責任を負っています。ただし、個別の患者への通知には時間がかかる可能性があるため、患者は関連情報を得るために自身が利用する医療機関のウェブサイトを確認する必要があります。

Synnovisは、NHS Trustと協力し、犯罪者に身代金を支払わないことを決定しました。この決定は、主要なインフラ、患者のプライバシー、国家安全保障を脅かすサイバー犯罪活動に資金を提供しないという倫理的な原則に基づいています。しかし、攻撃経路に関する明確な解明が不足しており、NHSとSynnovisのセキュリティ強化の必要性に対する疑問が残っています。このような事件はサイバーセキュリティの重要性を再認識させ、今後の類似の脅威に備えるための体系的な対策が必要です。