医療機関向けランサムウェア攻撃が過去最高に急増

新しい脅威インテリジェンスによると、医療機関を標的としたランサムウェア インシデントは、2025 年最後の 3 か月間で今年の四半期合計で最高に達し、医療部門に対する攻撃が 190 件記録されたとのことです。 報告 Health-ISAC より。

医療業界全体のサイバーセキュリティ傾向を分析したこの報告書では、全セクターのサイバーインシデントの総数が2025年に8,903件に増加し、2024年に記録されたインシデント5,744件から55％増加したことが判明した。医療セクター特有のインシデントは2024年の476件から2025年の575件と、前年比21％増加した。

当四半期中に 2 つの重大な脆弱性が脅威の状況を支配したため、Health-ISAC は、インフラストラクチャが公開されている可能性がある会員組織に対して 183 件の対象を絞ったアラートを発行しました。

1 つ目は Ivanti Endpoint Manager に関するもので、12 月のセキュリティ アドバイザリで、認証されていない攻撃者が管理コンソールと管理するすべてのデバイスに対する完全な管理制御を取得できる可能性がある重大な欠陥 1 件と重大度の高い欠陥 3 件が明らかになりました。 Health-ISAC は、BlueVoyant のインテリジェンス パートナーと協力して、潜在的に脆弱な会員組織を特定し、警告を発しました。

2 番目の重大な脆弱性は、Windows Server Update Services に影響を与えました。 Microsoft は、CVSS スコア 9.8 の重大なリモート コード実行の欠陥である CVE-2025-59287 に対処するために、10 月にアウトオブバンド セキュリティ アップデートをリリースしました。この脆弱性は、.NET BinaryFormatter の安全でない使用に起因し、認証されていない攻撃者が SYSTEM 権限で任意のコードを実行できるようになります。概念実証が公開されてから数時間以内に、積極的な悪用が始まりました。

オープンかつ公開されたデータベースと公開されたリモート アクセス ツールも、この四半期のアラート テーマの中で顕著に取り上げられました。

アンダーグラウンド市場による医療ネットワークへのアクセスの取引

当四半期中、脅威アクターは地下フォーラムを通じて医療機関へのアクセスを販売し続けました。 RAZOR-X とされるユーザーは 11 月にロシア語のサイバー犯罪フォーラムに投稿し、米国、カナダ、英国、オーストラリア、欧州連合（医療分野の企業 2 社を含む）のネットワークへの初期アクセスを販売すると主張しました。

最初のターゲットは年間収益が 1,100 万ドルで、ドメイン管理者権限を含むフォーティネット VPN 経由でアクセスできると説明されています。 2 番目の企業は、年間収益が 2,500 万ドルで、ドメイン ユーザー権限を備えた同様のフォーティネット VPN アクセスを提供していました。売り手は価格を公表せず、関係者に非公開で連絡するよう指示した。

報告書は、攻撃者が頻繁に被害者の身元を秘匿しながら、オークションにかけられるデータの価値を示す収益数値やセクター情報を提供していると指摘している。支払いは通常、暗号通貨で要求され、フォーラム管理者によって取引が促進されることもあります。

テイク・イット・アウェイ

• 特にどちらかのシステムがインターネットに公開されている場合は、Ivanti Endpoint Manager と Windows Server Update Services に直ちにパッチを適用します。
• 脅威アクターはこれらのシステムを通じて取得したネットワーク アクセスを積極的に販売しているため、フォーティネット VPN の構成とアクセス制御を確認してください。
• すべてのアカウント、特にリモート アクセス機能を持つアカウントに多要素認証を実装します。
• 重要なデータの定期的なオフライン バックアップを維持し、回復手順をテストして、身代金を支払わずに復元が可能であることを確認します。
• エンドポイントの検出および応答ソリューションを展開し、異常な PsExec の使用や異常な RDP アクティビティなど、Akira ランサムウェアに関連する侵害の兆候を監視します。
• ネットワークのセグメンテーションを強制して重要なシステムを隔離し、攻撃者による横方向の移動を防ぎます。
• 定期的な侵入テストとレッドチーム演習を実施して、脅威アクターが行う前に脆弱性を特定します。
• Health-ISAC などの組織を通じて脅威情報を同業他社と共有し、集団防御を強化します。