調査が明らかにした、サイバー攻撃が病院の医療に与える影響

The Health Management Academy（ヘルス・マネジメント・アカデミー）が米国の病院に対するサイバー攻撃を分析した結果、攻撃が患者ケアをどの程度混乱させているかが見えてきました。研究の蓄積により、サイバー攻撃後に合併症が増え、患者の転帰が悪化することが示されています。ランサムウェア攻撃などのセキュリティインシデントの後に死亡率が上昇するとの研究結果も複数あります。ある研究では、ランサムウェア攻撃の前の1週間に入院した患者の死亡率が34%から38%上昇したと指摘しています。

ただし、The Health Management Academyが明らかにしたように、サイバー攻撃が患者ケアに与えた影響の分析は容易ではありません。HIPAA違反通知規則（Breach Notification Rule）で米国保健福祉省（HHS）の公民権局（OCR）への報告が義務付けられているのは、サイバー攻撃ではなくデータ侵害です。サイバー攻撃の多くは患者データの侵害を伴いますが、そうでない場合もあります。記録の侵害が確認されなくても、サイバー攻撃は患者ケアに影響を及ぼし得ます。こうしたインシデントは、連邦政府の記録には残りません。

さらにOCRが公表するのは、500人以上に影響した医療データ侵害の概要のみです。流出したデータの規模がそれほど大きくない攻撃でも、患者ケアに影響することはあります。加えて、病院や医療システムがサイバー攻撃による患者ケアへの影響を公表するとは限りません。

The Health Management Academyは、医療機関の上級幹部をつなぎ支援する会員制組織です。リーダーシップ開発プログラムやデータ・市場インサイトを提供するほか、医療リーダーが共通の課題を議論しアイデアを共有できる、信頼性の高いフォーラムやピアグループを運営しています。今回の調査では、2022年1月から2026年9月までの4.5年間に発生した、米国の病院・医療システムへのサイバー攻撃のうち、患者ケアへの影響が報告されたものを記録しました。データは、ニュース報道、業界専門誌、病院の声明から収集しています。

調査チームは、この期間に病院ケアへ影響を与えたサイバー攻撃が、病院・医療システムに対して少なくとも65件あったと結論付けました。影響には、救急搬送の受け入れ停止、予定手術や予約のキャンセル、職員による紙の記録への切り替えなどが含まれます。実際の件数はさらにかなり多いとみられます。Comparitechは、2025年の最初の9か月だけで、病院、診療所、その他の直接医療提供者に対するランサムウェア攻撃を293件確認しているためです。

The Health Management Academyの分析によると、65件のサイバー攻撃は、米国36州、コロンビア特別区、グアム、米領バージン諸島の少なくとも305病院に影響しました。複数の病院に影響した攻撃は21件で、そのうち1件は全米140病院に及びました。記録した攻撃のうち26件（40%）では、救急車の受け入れが停止（ダイバート）されました。このため患者は別の施設へ移動せざるを得ず、救急医療が遅れました。28件（43%）では、手術、予約、治療のキャンセルや延期により、患者のケアが遅れました。

58件（89%）では主要システムがオフラインになり、インシデントの復旧とシステムの復元が終わるまで、職員は紙の記録で業務を続ける必要がありました。電子カルテシステムなどの臨床システムについて復旧日が示された23件では、ダウンタイムの中央値は15日でした。ただし、51%の攻撃ではそれより長いダウンタイムが発生しており、22%の攻撃では1か月を超えています。

現在の数字によると、2025年にOCRへ報告され、データ侵害ポータルに掲載されている大規模な医療データ侵害は807件です。このうち81%がハッキング／ITインシデントに分類されています。ただし、こうしたインシデントが患者ケアに与えた影響は報告項目になっていません。HIPAA Journalは侵害報告の調査を通じて、患者ケアへの影響が公表されないことが多いことを確認しています。

The Health Management Academyが分析のために追跡したインシデントのうち、2025年に患者ケアへの影響が確認された病院・医療システムへのサイバー攻撃は12件にとどまりました。分析対象のインシデントの多くは、いまだOCRの侵害ポータルに掲載されていません。1年以上前に公表されたサイバー攻撃の5件に1件は、現在もOCRの侵害ポータルに載っていません。これらは、500人以上の保護対象医療情報への不正アクセスを伴わなかった可能性があります。それでも、患者ケアに何らかの混乱を引き起こしたことは確かです。

サイバー攻撃が患者ケアに与えた影響を正確に追跡するのは難しいため、The Health Management Academyは、臨床システムのダウンタイム日数、ダイバート（救急受け入れ停止）の時間数、延期された処置の件数といった指標で、データを追跡・共有することを提案しています。そうすれば、病院や医療システムが、同業他社と比べた自らの備えや復旧力をより正確にベンチマークできるためです。同組織のプログラムを通じて、そうした取り組みを行うことは可能です。ただし、OCRが近い将来、こうした報告指標を義務付ける兆しはありません。