Forescoutが公表した報告書『Post-Quantum Cryptography (PQC) in Healthcare: From Data Risk to Migration Readiness』によると、脅威アクターは医療提供組織（HDO）のIT、IoMT、OT、IoTの各デバイスを悪用し、ランサムウェアの展開、金銭の要求、盗んだ患者データの収益化を進めています。
研究者らは、50以上のHDOネットワークに接続された250万台超のデバイスのデータセットを分析しました。これとは別に、2026年1月から8月にかけて、世界の医療機関を狙ったランサムウェアの犯行声明461件と、ハクティビストによる攻撃の犯行声明300件を追跡しています。
「患者情報は数十年にわたって価値と機微性を保つため、『今収集し、後で解読する（harvest-now, decrypt-later）』攻撃に特に脆弱です。この攻撃では、攻撃者が現時点で暗号化されたデータを収集しておき、十分に強力な量子コンピューターが使えるようになった時点で解読を試みます。病歴、画像診断データ、検査結果、処方記録といった医療データは、一度流出すればリセットも交換もできません。各組織は、こうしたデータがどこにあり、環境内をどう移動し、どのシステムがPQC標準への移行で最も難航するのかを把握する必要があります」と、ForescoutでOT・ヘルスケア・サイバーリスクソリューション担当VPを務めるDaniel Trivellato氏は述べています。
機器のアップグレードはベンダー次第
企業ネットワーク全体で見ると、PQCに対応可能なSSHソフトウェアを使用していたのは、ITデバイスでは50%だったのに対し、接続された医療機器ではわずか6%、制御技術（OT）デバイスでは16%でした。SSHは、機器を管理するための安全なリモートアクセスを提供します。ただし、この数値はソフトウェアが耐量子保護に対応できることを示すにとどまり、実際にその保護が使われているかどうかまでは示していません。
病院では、輸液ポンプ、人工呼吸器、患者モニター、ビル制御システムなどが何年にもわたって稼働し続けることがあります。これらの暗号の更新は、ベンダーのリリースサイクルや再認証、ハードウェアの交換に左右される場合があります。こうした依存関係が移行を遅らせ、アップグレードの計画を複雑にしかねません。
移行計画では、どのシステムをアップグレードできるのか、ベンダーがいつ対応を提供するのかを明確にする必要があります。更新できない機器は、隔離または交換が必要になる可能性があり、その際は患者のケアを維持できるよう変更を調整しなければなりません。
「医療機関は、最も機微なデータを保存、処理、伝送している資産はどれか、現実的にアップグレードできるシステムはどれか、そしてどこで補完的な対策が必要になるのかを把握しなければなりません。今回の調査では、移行への備えが最も遅れているデバイスが、医療機関が患者ケアの提供で最も頼っているデバイスと重なることが多いと分かりました。実効性のある移行戦略を立てるには、これらの資産と、そこで扱われるデータを可視化することが不可欠です」と、Forescoutでリサーチ担当VPを務めるDaniel dos Santos氏は述べています。
患者情報はネットワークの境界を越える
移行の優先順位は、各システムが扱う情報の内容と、その保護が必要な期間によって決まります。患者記録や画像診断データは、数十年にわたって機微であり続ける可能性があります。診察の予約スケジュールや、患者モニターのリアルタイムの測定値にも、プライバシー、正確性、可用性に関する要件があります。
セキュリティチームは、この情報がどこで作成、保存、送信されるのかを把握する必要があります。サーバー、ルーター、リモートアクセスゲートウェイを通過する経路も対象です。このマッピングは、harvest-now, decrypt-later攻撃に対して脆弱なデータを特定し、アップグレードの優先順位を決めるのに役立ちます。
医療機器と他のシステムとの接続によって、患者情報が漏えいするおそれもあります。たとえばCTスキャナーは、画像を医用画像管理システム（PACS）に送信しますが、このPACSがインターネット経由でアクセスできる状態になっている場合があります。公開状態のシステムは、攻撃者が機微な画像データにアクセスする経路になり得ます。
研究者らは、インターネット上に公開された医療情報システムを5,500件以上確認しました。内訳は、電子カルテ（EMR）プラットフォームが46%、PACSが40%を占めています。このほか、検査管理システムや薬剤払い出しシステムも確認されました。
公開されていたシステムの種類全体で、TLS 1.3に対応していた割合の平均は31%でした。このプロトコルバージョンは、ネットワーク接続における標準化されたPQCの基盤となります。移行への備えを評価するには、耐量子保護が実際に導入されているかどうかの確認も必要です。
翻訳元: https://www.helpnetsecurity.com/2026/10/08/forescout-healthcare-quantum-readiness-report/
