日本医科大学武蔵小杉病院、医療機器保守用VPN経由でランサム攻撃、患者約13万人分のDBを窃取

項目	内容
発生日	2026年1月26日（VPN侵入）／1月29日（ランサム発動）
対象組織・業界	日本医科大学武蔵小杉病院（医療機関）
攻撃手法	医療機器保守用VPN機器の脆弱性を悪用し、病棟端末を介してDBを窃取
情報源	Security NEXT（2026年3月2日）

概要

2026年3月2日、日本医科大学武蔵小杉病院は、患者バイタル監視システムの保守用VPN機器を起点としたランサムウェア被害を公表しました。当初1万人と見込まれた対象者数は、調査の進展により約13万人に拡大しています。

流出した可能性のある情報は、患者の氏名・住所・電話番号・生年月日・性別・患者IDなど。また、職員および2021年以降の臨床実習医学生約1,700人分の氏名・性別・生年月日・職員IDも対象に含まれます。

経緯

• 2026年1月26日: 患者バイタル監視システムの保守用VPN機器1台の脆弱性を悪用され侵入
• 2026年1月29日: ナースコールシステムサーバでランサムウェア被害発生
• 2026年2月14日: 対象人数を約1万人と見込む
• 2026年3月2日: 調査結果を取りまとめ、対象者を約13万人と発表

原因

判明している事実:

• 患者バイタル監視システムの保守用VPN機器（1台）の脆弱性を悪用した侵入
• 病棟端末を介してサーバ内のデータベースを窃取

考えられる原因（推測）: 「医療機器保守用VPN」は、機器メーカー・保守業者が遠隔から医療機器の状態を監視・メンテナンスするための専用回線です。院内の一般ネットワークとは切り離されている想定で運用されることが多い一方で、実態としては(a) 保守用VPNから病棟系ネットワークへの経路が意図せず開いていた、(b) VPN機器自体のファームウェア更新が滞っていた、(c) 保守業者側の認証情報が漏えいしていた、といったパターンが典型的な侵入口です。医療現場では「機器の可用性」を優先せざるを得ないため、保守VPNを止められない構造的な難しさがあります。

対策

組織が学ぶべきこと

1. 「機器保守用」経路も、攻撃面である

医療機器・産業機器・複合機の保守VPNは、業務用ネットワークとは別扱いされがちですが、攻撃者にとっては同じ侵入経路です。保守経路も含めた資産台帳、保守用機器のパッチ管理、保守業者側の認証管理を、業務用ITと同じ水準で扱う必要があります。

2. 初期報告の「1万人」が「13万人」になる構造

最初の見積もりが5〜10倍に膨らむのは、医療系ランサムウェアで頻発するパターンです。バイタル監視や電子カルテなど業務システムの相互接続が広範囲で、ログの粒度が業務系優先で作られているため、事後解析で発見される患者データが芋づる式に増えます。

3. 患者・実習医学生への通知プロセス

医療機関の場合、通知先が現在の患者だけでなく過去の患者・遺族・実習医学生と広がります。書面通知の物理的な作業量が対応の律速になるため、平時から通知テンプレート・宛先マスタ・問い合わせ窓口体制を準備しておく必要があります。

ヤグラの視点 — 影響範囲の特定が、患者への説明責任を左右する

本件は、「1月29日にランサム被害発生」から「3月2日に対象13万人」までの1カ月間で、対象人数が10倍以上に更新されました。医療機関の場合、この更新のたびに患者・家族・実習医学生への説明責任が発生します。「1万人」で通知した後に「13万人」になれば、最初の通知は不十分だったことになる——この構図は、患者との信頼関係に長期的な負荷をかけます。

影響範囲の初期見積もりが甘くなる本質的な理由は、ログの横断的な相関分析ができていない点にあります。バイタル監視サーバ・ナースコールサーバ・電子カルテ・認証基盤——それぞれのログが個別ツールで管理されていると、「1台のVPN機器から侵入した攻撃者がどこまで到達したか」を人手で追いきれません。

ヤグラの AI SOC は、医療機器保守経路を含む多層のログをデータレイクに集約し、AIが横断的に攻撃経路を再構成します。最初の公表で「13万人」と言い切れる調査体制は、事後対応の負荷だけでなく、患者との信頼関係の維持そのものに直結します。

今後の対応

同院は調査結果の取りまとめを完了し、対象者への通知を進めています。医療機器保守用VPNの管理体制の見直し、および院内ネットワーク全体のセグメント再設計が今後の焦点となります。

更新履歴

日時	内容
2026-07-30	過去アーカイブとして記事化（キュレーション）