仏血液センター、サイバー攻撃で冷蔵設備に異常発生も被害回避

■ 背景: フランス全土に血液の供給網を持つフランス血液機構（EFS）は、医療インフラの根幹を担う組織だ。今回、その活動を支える冷蔵設備がサイバー攻撃の標的となった。攻撃は、EFSに直接ではなく、冷蔵設備を管理する委託業者のシステムに対して行われたとされており、サプライチェーン全体のリスクが露呈した形だ。温度制御システムが不正に変更されたことで、血液製剤の品質維持に不可欠な低温環境が脅かされた。幸い、監視システムによる迅速な検知と、製剤を安全な場所へ移送する対応が取られたため、直接的な被害は免れたとされている。しかし、医療機関の設備がサイバー攻撃の対象となる事実は、その脆弱性を改めて浮き彫りにしている。

■ なぜ重要か: 医療分野、特に血液製剤のような生命維持に直結する物資の管理システムへのサイバー攻撃は、単なる情報漏洩や金銭的損失に留まらない、人命に関わる深刻な事態を招きかねない。今回、被害が回避されたのは、迅速な対応によるところが大きいが、もし検知が遅れていれば、品質が劣化・失活した製剤が流通するリスクがあった。これは、患者への治療機会の損失や、さらなる健康被害に繋がる可能性も否定できない。また、今回の攻撃が委託業者のシステムを狙ったものであることから、医療機関は自組織だけでなく、取引先や委託業者のセキュリティ対策まで含めた、包括的なリスク管理体制の構築が不可欠であることを示唆している。過去には、スーパーマーケットの冷蔵設備が攻撃される事例も報告されており、インフラ全般への攻撃の広がりが懸念される。

■ 編集部の見立て: 今回の事案は、医療機関におけるサイバーセキュリティ対策の重要性を改めて認識させるものだ。単にファイアウォールを設置するだけでなく、IoT化が進む設備群の管理、サプライチェーン全体のリスク評価、そしてインシデント発生時の迅速な対応計画（インシデントレスポンスプラン）の策定と訓練が不可欠となるだろう。特に、委託業者のセキュリティレベルが自組織のセキュリティに直結する「サプライチェーンリスク」への対応は、今後ますます重要視されるはずだ。EFSのような組織では、委託業者選定の基準にセキュリティ要件を盛り込むことや、定期的な監査の実施などが考えられる。また、医療機器のサイバーセキュリティに関する国際的な標準化や、各国政府による規制強化の動きも加速する可能性がある。今回の攻撃の背後にある意図や、攻撃者が特定されるかどうかは不明だが、医療インフラへの攻撃は、社会インフラ全体への脅威として、継続的に注視していく必要がある。