医療機関サイバーインシデント年表 2021–2026— 侵入経路・停止期間・漏えいの有無を一次情報で整理（継続更新）

1. この表について

ランサムウェアの被害を受けた病院が、調査報告書や経過報告を公表する例が増えました。報告書には、どこから侵入されたのか、何日止まったのか、なぜ広がったのかが具体的に書かれています。一方で、まとめ記事の多くは報道の数字を転記しており、原文に当たれないものが少なくありません。

この表は、病院・自治体・調査委員会・厚生労働省の一次資料で確認できた内容だけを載せています。原文で確認できない項目は「未確認」と書き、推測では埋めていません。新しい公表や報告書が出たら行を追加・更新します（最終更新日は記事冒頭の日付です）。

列の意味は次のとおりです。

• 侵入経路: 報告書・公式発表に書かれた入口。「推定」は報告書自身が推定としているもの。
• 当時の構成: 被害を受けたシステムが、外部と切り離した院内ネットワーク（閉域網）とオンプレミスのサーバーで構成されていたか。報告書に記述があるものだけ書いています。
• 停止期間: 電子カルテなど基幹システムが使えなかった期間。報告書の表現をそのまま使っています。

2. 年表（公表資料で確認できた事案）

3. 表から読み取れること

3.1 入口の多くは「電子カルテ」ではなく、保守と委託のための外部接続

侵入経路が一次資料で特定または推定されているのは5件です。そのうち4件（大阪急性期・総合医療センター、国分生協病院、岡山県精神科医療センター、日本医科大学武蔵小杉病院）は、保守事業者や委託先が外から入るために設けた接続が入口でした。

• 大阪急性期・総合医療センターでは、病院が直接調達していない給食委託事業者側の保守用VPN機器が入口でした。報告書は、その機器に既知の脆弱性（CVE-2018-13379）があり、認証情報が公開リストに載っていたと書いています。
• 岡山県精神科医療センターでは、外部保守を集約したSSL-VPN装置が入口と推定されています。サポート終了済みの機器で、2018年の設置以来脆弱性が修正されておらず、推測されやすいID/PWが院内の管理者アカウントでも使い回されていました。
• 日本医科大学武蔵小杉病院では、医療機器の保守用VPN装置が入口でした。被害を受けたのは電子カルテではなくナースコールシステムです。
• 国分生協病院では、画像管理サーバーの保守回線の機器に、認証なしでリモートデスクトップ接続できる設定が残っていました。

厚生労働省も2026年3月19日、医療機関に向けて「VPN 装置等のネットワーク機器におけるサイバーセキュリティ対策の徹底について」を出し、保守管理体制と責任分界の明確化、サポート終了（EOS）と脆弱性への対応、アクセス制御を確認するよう求めています。同じ日には、医療機器メーカー向けにも、医療機器に接続するVPN装置について同趣旨の注意喚起が出ています。

3.2 「閉域網だから大丈夫」という前提が、更新と監視の空白を生んだ

報告書で当時の構成が確認できる2件は、どちらも外部と切り離した閉域網とオンプレミスのサーバーで運用されていました。それでも外部からの侵入は防げませんでした。

• 岡山県精神科医療センターの報告書は「閉域網であるから Windows Update 等の脆弱性対策が一切行われていなかった」と書いています。
• 大阪急性期・総合医療センターの報告書は、発生要因の一つとして「誤った閉域網神話」を挙げています。閉域網のはずのネットワークには、保守や検査のための外部接続が十数か所ありました。

閉域網は、外部との接続点を正しく管理できている間は守りになります。しかし実際には、委託先・保守事業者・部門システムごとに接続点が増え、その管理責任が契約上はっきりしないまま残っていました。そのうえ「中は安全」という前提があるため、OSの更新・パスワード管理・ログの保全が後回しになり、侵入後の横展開を止められませんでした。

3.3 復旧の長さは、バックアップと再構築の設計で大きく変わる

• 鳴門山上病院はオフラインバックアップから2日後にサーバーを回復し、3日後には可能な範囲で通常診療を再開しています。
• 岡山県精神科医療センターでは、オフラインバックアップは契約上取ることになっていたものの正しく取れておらず、暗号化を免れた別のサーバーからデータを取り出して復旧しました。完全復旧まで約3か月でした。
• 大阪急性期・総合医療センターは、サーバーと端末をすべてクリーンインストールし、全体の復旧まで73日かかりました。

3.4 被害は電子カルテの外にも、病院の外にも広がる

ナースコール（武蔵小杉）、画像管理サーバー（国分生協）、事務部門のNAS（佐賀大学）、メール（大手前）、医療機関向けのクラウドサービス（@link）のように、電子カルテ以外のシステムや、医療機関の外にある事業者のサービスが起点になる事案も出ています。とくに多くの医療機関が共有するサービスでは、事業者側の1件の事案が多数の医療機関の業務に同時に影響します。クラウド型であることは、それだけで安全を意味しません。守れるかどうかは、認証・権限・更新・監視の設計と運用で決まります。@link の事業者も、サービスの再開にあたって全機能を開発し直し、「認証およびアクセス制御の強化、パスワードの保管方法の見直し、監視体制の強化」を講じるとしています。

佐賀大学の事案では、事務部門のNASが被害を受け、診療システムへの影響は確認されていない一方で、患者の傷病名などの情報が流出した可能性が公表されました。診療に使うシステムの外にある共有ストレージにも、患者情報が置かれていることがあります。

4. 参考: サイバー攻撃ではなかったが、診療が止まった事例

市立奈良病院（2026年4月）は、当初「ネットワーク監視装置が攻撃を検知し遮断した」と説明されましたが、奈良市が2026年8月31日に公表した報告書（概要版）では、外部からの攻撃ではなかったと結論づけられています。

• 監視装置のソフトウェアが自動更新・再起動した結果、監視対象が633台から1,954台に増え、それまで学習されていなかった院内の通信が「平常時からの逸脱」と判定され、自動遮断が連鎖しました。最初に異常と判定されたのは、リモート保守用の中継端末からの通信でした。
• 電子カルテを止め、救急受け入れを約53時間停止しました。予定手術56件のうち18件、外来予約約1,500件のうち約500件を延期し、すべての主要機能の復旧は約3週間後でした。
• 患者情報の改ざんや漏えい、感染の痕跡は確認されていません。再発防止策には、不要なVPN等の閉鎖と保守用アカウントの棚卸しが含まれています。

自動で遮断する仕組みは、侵入を止める力がある一方で、学習状態や更新の管理が決まっていないと、それ自体が診療を止める原因になり得ます。守りの仕組みも「誰が設定と更新に責任を持つか」が要になる点は、攻撃事案と同じです。（奈良市 報告書概要版）

5. システムを提供する事業者にとっての意味

この表に並ぶ入口——保守用VPN、委託先の接続、リモートデスクトップの設定、共通パスワード——は、どれも医療機関の外にいる事業者が設置・管理に関わるものです。医療機関が事業者に求める説明も、ここに集中していきます。

• 外部接続をどう持つか: 常時接続の保守VPNを置かない、置くなら誰がパッチと認証情報を管理するかを契約に書く。
• 認証と権限: 共通パスワードや全員管理者権限をなくし、多要素認証を入れる。
• 更新できる構造か: サポート終了機器を残さず、脆弱性の修正を当てられる構成になっているか。
• 復旧の設計: 書き換えられないバックアップと、そこからの復旧手順を実際に試しているか。

厚生労働省の「医療情報システムの安全管理に関するガイドライン」第7.0版（2026年6月）も、同じ問題を名指ししています。

医療分野では、セキュアなネットワークを選択し、境界防御を想定した対応が一般的である。（中略）例えば VPN 装置による境界での対策を過信しており、内部に侵入された際の横断的侵害（水平展開）への対策が不足していたことで、サイバー攻撃の被害が拡大した例も複数存在する。（同ガイドライン第7.0版 システム運用編 13.2「不正な通信の検知や遮断、監視」）

同じ節は続けて、全ての通信の安全性を検証する「ゼロトラスト」の考え方を紹介しています。第7.0版では、サーバーのセキュリティアップデートを事業者に委託する医療機関向けの「保守委託機関編」も新設されました。医療機関は、事業者に対して「サービス仕様適合開示書（SDS）」などで、こうした点の説明を求める立場にあります。ガイドライン第7.0版の改訂点は「医療情報システム安全管理ガイドライン第7.0版 改訂まとめ」で整理しています。

6. 掲載の基準と、まだ載せていない事案

• 載せる基準: 病院・自治体・調査委員会・厚生労働省のいずれかの公表資料を、本文まで確認できたもの。各行に一次資料へのリンクを付けます。
• 載せていないもの: 公式サイトを確認できず報道だけが出所になっている事案（例: 2026年3月に静岡県の病院で起きたランサムウェア被害）、公式の発表が削除されて確認できない事案（例: 2021年5月の市立東大阪医療センターの医用画像参照システムへの不正アクセス）。一次資料を確認でき次第、追加します。
• 書かないこと: 被害を受けた機関の対応の良し悪しは評価しません。報告書が指摘する原因は、多くの医療機関と事業者に共通する構造の問題として扱います。