保健サービス執行部ランサムウェア攻撃

保健サービス執行部ランサムウェア攻撃

日付	2021年5月14日 ( 2021-05-14 )
位置	アイルランド
タイプ	サイバー攻撃、データ侵害、Contiを使用したランサムウェア
ターゲット	保健サービス局(HSE) 保健省
結果	すべてのHSE ITシステムのシャットダウン 病院の混乱と予約のキャンセル 保健省のITシステムのシャットダウン 医療データ漏洩 従業員記録データ漏洩
容疑者	ウィザードスパイダー、ContiLockerチーム

2021年5月14日、アイルランド保健サービス局（HSE）は大規模なランサムウェア のサイバー攻撃を受け、全国のITシステムが停止した。^{[1] [2] [3] [4]}

これはアイルランドの政府機関に対する最も重大なサイバー犯罪攻撃であり、保健サービスのコンピュータシステムに対する最大の攻撃として知られている。 ^{[5] [6]}ブルームバーグニュースは、攻撃者がコンティランサムウェアを使用したと報じた。^{[7]犯人グループは}ウィザードスパイダーとして知られる犯罪組織であると特定され、ロシアを拠点としていると考えられている。^{[8] [9] [10]}同じグループが同様のサイバー攻撃で 保健省を攻撃したと考えられている。

5月19日、フィナンシャル・タイムズは、情報漏洩の結果オンライン上に公開された12人の個人データを調査した。^[11] 5月28日、HSEは520人の患者の機密医療情報と企業文書がオンライン上に公開されたことを確認した。^[12]

攻撃者は2021年3月16日にワークステーションに悪意のあるメールを送信することから始めました。 ^[13]メールは3月18日に開封されました。^[13]悪意のあるMicrosoft Excelファイルがダウンロードされ、攻撃者はHSEシステムにアクセスできるようになりました。^[13]攻撃者はその後数週間でさらにアクセスを獲得しました。^[13] HSEのウイルス対策ソフトウェアは3月31日にアクティビティを検出しましたが、監視モードに設定されていたためブロックできませんでした。^[13]

5月13日、HSEのサイバーセキュリティプロバイダーは、セキュリティ運用チームに、5月7日以降少なくとも16のシステムに未処理の脅威があったことを電子メールで報告した。^[13]セキュリティ運用チームは、サーバーチームにサーバーの再起動を指示した。^[13]

HSEは2021年5月14日午前4時に攻撃の警告を受けました。^[14]攻撃はすべてのコアサービスに関係する国と地域のシステムの両方に影響を与え、HSEは攻撃から保護し、選択肢を検討する時間を与えるためにITシステムを停止しました。^[15]

この攻撃はCOVID-19パンデミックの最中に発生した。アイルランドのCOVID-19ワクチン接種プログラムは攻撃の影響を受けず、計画通りに進行した。^[7]しかし、COVID-19の一般開業医と濃厚接触者紹介システムはダウンしており、これらの人々は予約ではなくウォークインサイトで診察を受ける必要があった。 ^{[16] [1]}

無所属のTD（国会議員）カサル・ベリー氏は、国家のサイバーセキュリティを担う国家サイバーセキュリティセンターの職員はわずか25名で、年間予算は500万ユーロ、専用施設はなく、年俸が8万9000ユーロのため所長のポストは1年間空席となっていると述べた。 ^{[17] [18]国家サイバーセキュリティセンターは}環境・気候・通信省の管轄下にある。^[19]

国家サイバーセキュリティセンターは、アメリカのIT企業ヘルプシステムズが販売する侵入テストツール「コバルトストライク」が、 HSEと保健省のシステムを感染させ、実行ファイルを実行し、コンティランサムウェアの亜種を展開するために使用されていることを突き止めた。^{[14] [20]}感染したシステムではコバルトストライクビーコンが検出され、これによりシステムの制御やソフトウェアの遠隔展開が可能となった。^[20]

犯人グループはウィザード・スパイダーとして知られる犯罪組織であると特定され、ロシアのサンクトペテルブルクを拠点に活動していると考えられている。^{[8] [9] [10]}

ランサムウェアによるサイバー攻撃は全国の病院の予約に大きな影響を与え、外来診療や放射線科のサービスを含む多くの予約がキャンセルされました。^[21]

いくつかの病院は、電子システムや記録にアクセスできず、紙の記録に頼らざるを得ない状況にあると述べた。^[22]妊婦健診やスキャンを含む定期的な診察がキャンセルされ、大きな混乱が生じると警告する病院もある。^[23]

COVID-19検査紹介システムはオフラインとなり、感染が疑われる人は予約なしでCOVID-19検査センターに来院する必要が生じた。 ^[16] COVID-19ワクチン接種登録ポータルもオフラインとなったが、夕方にはオンラインに戻った。^[24]

HSEの最高執行責任者であるアン・オコナー氏は5月14日、がんや脳卒中の一部のサービスが影響を受けており、「月曜日（5月17日）まで続くと状況は非常に深刻になるだろう」と述べた。同氏は、最も深刻な懸念は診断にあり、放射線システムがダウンしたため、CTやその他のスキャンが実施できなくなったと述べた。^[25]外来患者の予約も大量にキャンセルされたが、ほとんどの地域医療サービスは影響を受けていない。^[26]オコナー氏はまた、「どのようなデータが盗まれたかは分からない」と報告したが、「一部のデータが侵害されたことは分かっている」と述べ、データ保護コミッショナーに潜在的な侵害について警告した。^[27]

HSEは2021年5月14日の昼休みにウェブサイトで影響を受けるサービスのリストを公開した。^{[28] [29]}

5月19日、ファイナンシャル・タイムズは、緩和ケアのために入院した男性の入院記録や検査結果など、オンラインで公開された12人の個人データの「サンプル」を検証した。これに対し、国立サイバーセキュリティセンターは、犯罪組織は「組織に身代金を支払わせる手段として、盗んだ情報を常習的に公開している」と述べた。コンティロッカーチームは、スタッフの雇用契約書、給与データ、財務諸表、患者の住所、電話番号も持っていると主張した。^[11]

5月28日、HSEは機密情報を含む520人の患者に関するデータがオンラインで公開されたことを確認した。^{[12] [30] [31] [32]}

2021年12月、HSEは、データが盗まれたすべての人に連絡するのに最大4か月かかる可能性があると述べた。^[33] Garda国家サイバー犯罪局は、相互刑事援助条約を通じて米国司法省からデータを受け取った。^[33]局は2021年12月17日にHSEにデータを提供した。^[33] HSEは、そのデータが自社のコンピューターから取得されたことを確認した。^[33] HSEはまた、データ保護コミッショナーにデータについて連絡した。^[33]データには、個人データ、医療情報、HSEの企業情報、商業情報、一般的な個人管理情報が混在すると予想されます。^[33]

HSEは、国立サイバーセキュリティセンター、アイルランド警察、アイルランド国防軍のほか、ユーロポールやインターポールを含む国内外のさまざまなパートナーと協力した。^{[14] [34]}

公共調達・電子政府担当大臣のオシアン・スミス氏は、この攻撃はスパイ行為ではなく国際的なものであり、「これは非常に重大な攻撃であり、アイルランド国家に対する最も重大なサイバー攻撃である可能性がある」と述べた。^[35]

HSEは、これはゼロデイ脅威であり、攻撃への対応方法の経験がないと主張した。^[36]保健大臣のスティーブン・ドネリーは、この攻撃が医療および社会福祉サービスに「深刻な影響」を及ぼしたと述べた。^[36] HSEの局長である ポール・リードは、この攻撃の修復には「数千万ドル」の費用がかかると述べた。^[27]

Bleeping Computerを含む多くの報道機関は、データの復号と「プライベートデータ」の公開禁止を条件に、1650万ユーロ（約2000万ドル）の身代金要求があったと報じた。^{[37] [38] [39]}当初、Business Postは、身代金要求額として3ビットコイン、つまり12万4000ユーロ（約15万ドル）が出されたと報じた。^[40] ミケル・マーティン首相は、 身代金は支払われず、攻撃は「計画的」に対処すると述べた。^{[41] [42]}

攻撃後、HSEは被害を軽減し、漏洩したデータがないかダークウェブサイトを監視するために、アメリカのサイバーセキュリティ企業マカフィーとファイアアイと契約した。 ^[43]

5月16日、社会保護局が「持続的で激しい攻撃」を受けたが、高度に組織化された犯罪グループはセキュリティを突破できなかったと報告された。その後、同局はHSEとの電子通信チャネルを停止した。^{[44] [39]}

5月20日、通信大臣の エモン・ライアンは、ハッキングの結果健康情報が公開された個人を支援するためにヘルプラインを設置すると述べ、ソーシャルメディア企業には公開された情報を共有しないよう要請し、この情報の共有を禁止するために高等裁判所の差し止め命令をHSEが取得した。 ^{[46] [47]同日}、組織的なサイバー犯罪グループが、 HSEがハッカーがロックして暗号化したITシステムとファイルを回復できる可能性のある復号キーを提供したと報じられた。 ^{[48] [49]}一方、警察は、サイバー攻撃を受けて、医療サービスの提供が数週間にわたって高いリスクにさらされるだろうと警告する中、多数の電話詐欺やテキスト詐欺に注意するよう国民に勧告した。^{[50] [51]} 5月24日現在、警察は、情報公開を脅迫する電話は「日和見的」であり、個人データにはアクセスできないと述べている。^[52]

5月27日、HSEの最高経営責任者であるポール・リードは、同庁のITシステムに対するサイバー攻撃の被害額は1億ユーロを超える可能性があると述べた。^[53]

国防軍のCIS部隊は、ランサムウェア攻撃に対抗するために「倫理的なハッカー」を配備し、現場で被害を受けたデバイスの暗号を解除するためにCIS職員を病院やHSEオフィスに派遣した。陸軍予備役は、サイバーセキュリティのスキルと、日々の仕事で民間部門で培った経験により、この取り組みに特に役立った。^{[54] [55]}

9月5日、ランサムウェア攻撃の背後にいるギャングを標的とした警察による大規模な作戦中に、警察国家サイバー犯罪局はサイバー攻撃やその他のランサムウェア攻撃に使用された複数のドメインを押収した。^[56]

12月10日、プライスウォーターハウスクーパースによる報告書が発表され、攻撃者は攻撃開始の8週間前にHSEのコンピュータシステムに侵入していたことが明らかになった。^[13]報告書では、HSEのレガシーITシステムはサイバー攻撃に対して耐性がなかったと述べられている。[13] それは時間の経過とともに進化していたが、攻撃に耐えられるようには設計されていなかった。^{[13 ]}

HSEのCEO、ポール・リード氏は、このシステムは戦略的に設計されたものではなく、保健委員会、病院グループ、コミュニティヘルスケア組織の合併の結果であると述べた。^[13]システムは非常に断片化され、サイロ化されている。^[13]対照的に、HSEのスタッフは回復力があり、サービスの継続性を確保するために迅速に作業していると説明されている。^[13]リード氏はまた、HSEが将来の攻撃を軽減するためにいくつかの措置を開始したと述べた。^[13]これらには、HSEのITシステムの24時間監視システムと、ユーザー向けの多要素認証の強化が含まれる。^[13]

HSEのキアラン・ディヴァイン会長は、保健サービスはまだこの攻撃の影響を感じていると語った。^[13]

HSEは、重要な新しい投資計画の策定や、セキュリティを含むレガシーITの変革など、報告書からのいくつかの推奨事項を受け入れました。^[13]

最高技術・変革責任者と最高情報セキュリティ責任者という新しい役職が創設される。^[13]

報告書ではまた、将来の攻撃への対応が適切に管理されるようにするためのセキュリティ危機管理計画を推奨している。^[13]

システムセキュリティをテストするための倫理的なハッカーの利用が増加するだろう。^[13]

5月13日、国立サイバーセキュリティセンター（NCSC）は保健省のシステムで「不審な活動」があったと警告を受け、5月14日の朝、ランサムウェアを実行する試みは阻止され、予防措置として保健省のITシステムがシャットダウンされた。^{[39] [57] [58]} NCSCによる予備調査では、アメリカのテクノロジー企業ヘルプシステムズが販売するリモートアクセスツールCobalt Strikeが使用され、システムが感染してランサムウェアのペイロードが実行されたことが判明した。^{[59 ]}

RTÉニュースによると、HSEで発見されたものと同様の、犯人と思われるサイバー犯罪グループからのデジタルメモが同省のITシステムに残されていたという。^[60]

2021年6月23日には、HSEのITサーバーの少なくとも4分の3が復号化され、コンピュータデバイスの70％が再び使用可能になったことが確認された。^{[61] [62] [63]} 7月15日までに、サーバーの82％とデバイスの83％に上昇した。^[64] 9月までに、すべてのサーバーとデバイスの95％以上が復旧した。^[65]

2021年6月25日、高等裁判所判事のトニー・オコナーは、HSEから盗まれた約27のファイルが5月下旬にマルウェア分析サービスVirusTotalに掲載されたと伝えられた。 ^{[66] [67]} VirusTotalは、クロニクル・セキュリティ・アイルランド社、その米国親会社クロニクルLLC、そして最終的にはグーグルによって所有・運営されている。^[68]盗まれたファイルには患者の機密情報が含まれており、5月25日にファイルが削除されるまでに23回ダウンロードされた。^[69]

被告であるクロニクル・セキュリティ・アイルランドとクロニクルLLCは、HSEをできる限り支援したいが、データ保護上の理由から、裁判所の命令がない限り資料を引き渡すことはできないと述べた。そのため、HSEは、盗まれた情報をアップロードまたはダウンロードした人の情報を提供するよう被告に要求するノリッジ・ファーマカル命令を求めた。この命令は、被告に、未知のユーザーのメールアドレス、電話番号、IPアドレス、または住所をHSEに提供することを要求する。^[67]

HSEの業務遂行および統合担当の全国ディレクターであるジョー・ライアン氏は、HSEは、ファイナンシャル・タイムズが盗難データに言及し、盗難データへのリンクを記載した記事を掲載したことを知ったと述べた。HSEは盗難データの返却とリンク先の説明を求めたが、ファイナンシャル・タイムズは、その情報を秘密の情報源から受け取ったと述べ、その情報を明らかにすることを拒否した。^[67]

2021年5月20日、HSEは盗まれたデータの処理、公開、共有、販売を禁じる裁判所命令を取得しました。フィナンシャルタイムズは命令のコピーを受け取ると、情報源から得た情報をHSEのコンピューターセキュリティアドバイザーに引き渡しました。この資料を分析したところ、盗まれたデータがVirusTotalにアップロードされていたことが判明しました。^[67]

ライアン氏は、連絡を受けた後、被告らは盗まれたデータをサーバーから削除したと述べた。^[67]

HSEの弁護士は裁判官に対し、この問題は緊急であるが、次に法廷に持ち込まれたときに解決できることを期待していると述べた。被告の弁護士は、HSEが合意した形で情報開示を命じることに反対する可能性は低いと述べた。裁判官は一方的に、弁護士に被告に訴訟の短い通知を送達する許可を与え、翌週に問題を再開した。^[67]

2023年2月9日、サイバー攻撃でデータが盗まれた人々に3万2000通以上の通知書が発行されたことが明らかになった。2023年4月までに、攻撃の影響を受けた人々に10万通以上の通知書が送られる予定だ。下院の公会計委員会は財政的影響を調査し、緊急対応に保健省は100万ユーロ、HSEは5300万ユーロの費用がかかったと聞いた。^[70]

コーク大学病院のシーマス・オライリー教授率いる研究チームは、10の癌試験施設（民間3施設、公立7施設）のうち、攻撃前に準備計画を策定していたのは民間運営の施設のうち2施設のみだったことを発見した。^[71]残りの施設のうち3施設は計画を策定済みまたは策定中だが、計画がない施設は1施設もない。^[71]

報告書ではまた、がん臨床試験への患者紹介が85％減少し、試験への参加登録が55％減少したことも明らかになった。^[71]

アイルランド全土で513人の患者の放射線治療が中断された。^[71]

この攻撃はCOVID-19の第3波の終盤に発生し、「すでに疲弊していた職員の回復力に深刻な試練を与えた」^{[71] 。}

オライリー教授は、アイルランド政策フォーラムの基調講演セミナー「アイルランドにおけるがん医療サービスの次のステップ」で「新型コロナウイルスは、腫瘍医として二度とやりたくない職業上のことを私にさせました。しかし、サイバー攻撃は新型コロナウイルスよりもひどかったです」と語った。^[71]また、「非常に困難な時期でした。結果はコンピューター上でフリーズし、人々とのコミュニケーション手段は危険にさらされ、古い情報にアクセスできませんでした。スキャンを受けた患者がいましたが、スキャンは機械の中に閉じ込められていました。患者にとっては非常に困難でした。なぜなら、彼らがクリニックにやって来ても、そこに来たことやそこにいる必要があったことの記録がないからです。私たちは患者を自宅のかかりつけ医に医療記録の詳細をもらい、かかりつけ医のオフィスでそれを印刷して私たちのところへ持ってきてもらい、病院で彼らを診察しなければなりませんでした」とも語った。^[71]

同氏は、HSEはサイバーセキュリティを改善したが、油断しないように警告した。^[71]同氏は「サイバー攻撃はより一般的になり、より洗練されてきていると思うので、私たちはまだサイバー攻撃に対して脆弱であり、2021年5月よりも脆弱になっている可能性が高い。サイバー攻撃は、今では24時間以内に発動する。2021年5月に発生した攻撃は、2か月間潜伏していた。私たちは常にサイバー攻撃に対して脆弱であると思う。システムは、私たちが何をしても回避できるように、より洗練されてきている」と述べた。^[71]

2024年5月、この攻撃に関連してHSEに対して473件の訴訟が起こされたと報告されている。^[72]国家賠償請求庁は、この攻撃に関連してHSEに対して12件の人身傷害事件を処理しており、そのうち11件で法的手続きが行われている。^[72]人身傷害事件は、攻撃による心理的影響に関連している。^{[72]この攻撃に関連して}、欧州連合司法裁判所に多数の訴訟が提起されている。^[72]

• コロニアルパイプラインのサイバー攻撃
• WannaCry ランサムウェア攻撃–英国の国民保健サービス(NHS) に影響を及ぼした
• ワイカト地区保健委員会へのサイバー攻撃

• HSEに対するコンティのサイバー攻撃に関する独立事後報告書（編集済み） -攻撃に関するプライスウォーターハウスクーパースインターナショナルの報告書のコピー
• サイバーセキュリティ攻撃の経済的影響 - gov.ie の2021 年公共サービス会計報告書の第 12 章
• HSE サイバー攻撃から学んだ教訓 -アメリカ病院協会より