Boston Scientific社へのサイバー攻撃、世界的に業務を混乱

Boston Scientific社は、一部のITシステムをダウンさせ、世界中での顧客注文の処理・出荷能力に支障をきたしたサイバー攻撃について調査を進めています。

同社は8月25日にこの事案を検知し、インシデント対応手順を発動するとともに、第三者のサイバーセキュリティ専門家を招き入れて調査と侵入の封じ込めに当たっています。 

今回の攻撃で注目すべきは、単なる大企業のシステム障害にとどまらないという点です。 

Boston Scientific社は患者治療に用いられる医療機器を製造しているため、長期化する業務停止はITシステムの範囲を超えた影響をもたらしかねません。 

「出荷予定日に間に合わなかった心臓デバイスは、手術の中止を意味しかねません」と、Suzu LabsでSecure AI Solutions & Cybersecurity担当シニアディレクターを務めるJacob Krell氏はeSecurityPlanetへの電子メールで述べています。

同氏はさらにこう付け加えています。「だからこそBoston Scientificのような企業は、恐喝の標的として非常に魅力的なのです。攻撃者は何かを破壊する必要すらありません。ダウンタイムを、要求している金額よりも高くつくものにさえすればよいのです」

筆者は以前、ペースメーカーや除細動器を使用する患者を担当する電気生理学看護師として働いていた経験があり、こうしたデバイスへの迅速なアクセスがいかに重要かを身をもって知っています。 

Jacob氏が述べた通り、適切なデバイスが病院に届くのが遅れれば、患者ケアに直接的な影響が及びかねません。 

サイバー攻撃、Boston Scientificのシステムを混乱させる

Boston Scientific社によると、今回の攻撃は一部の運用システムや業務アプリケーションへのアクセスに影響を及ぼしており、その中には顧客注文の処理・出荷に用いるシステムも含まれています。影響を受けたシステムの全面復旧について、時期は示されていません。 

マサチューセッツ州に本拠を置く同社は、世界規模で事業を展開し、幅広い医療機器を製造しています。 

同社の製品には、ペースメーカーや除細動器といった心臓関連デバイスのほか、その他の医療処置に用いられる機器も含まれます。

Corsica Technologies社のCISOであるRoss Filipek氏は、今回の事案が医療機器業界にとって困難な時期に起きたものだと指摘しています。

「医療機器メーカーにとって、今年は厳しい一年でした。Stryker、Medtronic、Abbottはすでにサイバー事案を公表しています」とFilipek氏は述べています。「今回の攻撃で懸念されるのは、単なる企業ITシステムの障害にとどまらない点です」

Boston Scientific社は引き続きこの事案を調査中であり、データが窃取されたかどうかは現時点で不明です。 

本稿執筆時点で、ランサムウェアや恐喝グループが犯行声明を出した事実はありません。

インシデント対応には業務レジリエンスの確保も不可欠

医療機器メーカーへのサイバー攻撃は、あっという間に業務上の問題へと発展しかねません。 

影響を受けたシステムの復旧はもちろん重要ですが、組織は業務停止中も重要な業務機能を維持し続けるための計画も用意しておく必要があります。 

「進行中の侵入下でも業務継続性を維持するためには、セキュリティチームが企業の管理系ネットワークと出荷・配送環境との間に厳格な論理的境界を設け、改ざん不可能なオフラインバックアップを維持し、手動フェイルオーバー手順を定期的に検証しておく必要があります」と、Xcape, Inc.の取締役会メンバーであるDamon Small氏はeSecurityPlanetへの電子メールで述べています。

筆者としても、事案が発生する前に、製造・出荷にとってどのシステムが重要かを組織があらかじめ特定しておくことを推奨します。 

ネットワークセグメンテーションを行えば、企業IT環境への侵入が製造環境や物流環境にまで波及するのを防ぐのに役立ちますし、検証済みのオフラインバックアップがあれば、再構築が必要なシステムの復旧に役立ちます。

また、チームは重要業務に関する手動手順を文書化し、テーブルトップ演習や攻撃シミュレーションツールを通じて検証しておくべきです。 

紙の上にしか存在しないフェイルオーバー計画は、重要システムやその他の依存関係が突如利用できなくなった際には機能しない可能性があります。

医療機器メーカーにとって、攻撃の影響はITの範囲にとどまらず、医療提供者や患者に製品を届ける能力にまで及ぶ可能性があります。