A Decade of Healthcare Cyber Threats: Empirical Analysis, Evidence-Based Prioritisation, and AI Threat Model

デジタル世界を、あらゆる建物が異なる種類のビジネスを展開する、巨大で賑やかな都市だと想像してみてください。おもちゃを売る建物もあれば、服を売る建物もありますが、ある特定の街区が町で最も価値のある不動産となっています。それは「病院街」です。なぜでしょうか？ それは、これらの建物の中で、人々が命に関わる秘密（医療記録など）を保管し、文字通り人々を生かし続けるための機械を動かしているからです。もし泥棒が玩具店に侵入すれば、アクションフィギュアを盗むだけで済むかもしれません。しかし、もし彼らが病院に侵入すれば、街全体の明かりを再び灯すための身代金を要求して、街全体を人質に取ることができます。あるいは、秘密を盗んでブラックマーケットで売ることもできます。このため、「泥棒」（サイバー犯罪者）は長年、侵入を試みてきましたが、彼らはもはやバールを使っているだけではありません。彼らは「透明なマント」を羽織る術を学んだのです。

これらの泥棒をどのように追跡するかを理解するために、セキュリティの専門家は MITRE ATT&CK と呼ばれる、巨大で生きた地図を使用しています。この地図を、単なる「鍵のリスト」ではなく、「動きのカタログ」と考えてください。これは単に「窓を割った」と言うのではなく、「バールを使った」、「鍵を開けた」、あるいは「持ち主が開けっ放しにしていたので正面玄関から歩いて入ってきた」といったことを伝えます。この地図は、防衛者がどのような手口に注意すべきかを知る助けとなります。もう一つのツールは、CISA Known Exploited Vulnerabilities (KEV) リストです。ATT&CKが「動きのカタログ」であるなら、KEVリストは「指名手配」の掲示板です。これは、最近泥棒が実際に中に入るために使用した具体的な「壊れた鍵」や「開いた窓」のみをリストアップしており、まだ誰も触れていない理論上の穴は無視しています。研究者たちが問い続けてきた大きな疑問は、「警備員は正しいドアを見張っているのか？」ということです。

本論文は、この問いに答えるために、過去10年間の病院におけるデジタル侵入事件を深く掘り下げています。研究者たちはデジタル探偵として振る舞い、2017年から2024年までの膨大な「犯罪報告」1,214件を集めました。彼らは、組織犯罪グループから国家主導のスパイに至るまで、44の異なる攻撃者グループを調査し、彼らが具体的にどのような「動き」を用いたかを追跡しました。そこで彼らが見つけたのは、少し意外な展開でした。長い間、警備員は「派手な」動き、つまり泥棒が窓を叩き割ったり（初期潜入）、絨毯の下に秘密のメモを隠したり（永続化）する動きに対して訓練を受けてきました。しかし、本論文は、泥棒たちのスタイルが変わったことを示しています。彼らは今や「静かな」動きの達人となっています。侵入して隠れるのではなく、所有者自身の鍵を使い、正面玄関から堂々と歩いて入り込み、周囲の風景に溶け込んでいるのです。

この研究は、今日の攻撃者が最も頻繁に使用する動きは 防御回避（Defense Evasion） であり、これが毎年すべての行動の約15%から20%を占めていることを明らかにしています。これは、姿を消す技術です。対照的に、昔ながらの動きである「屋根裏に隠れる」（永続化）や「正面ドアを壊す」（初期潜入）といった手法は、2017年から2024年の期間におけるデータ分布において大幅に減少し、観測されたテクニックの使用率においてゼロまで低下しました。これは、これらの戦術が絶滅した、あるいは決して使われなくなったという意味ではありません。むしろ、より隠密性の高い手法が台頭する中で、これらがデータ上の主要な戦術ではなくなったことを意味しています。攻撃者は、病院がすでに持っている正当なツール（コンピュータ自体のコマンドセンターや、スタッフの有効なログインバッジなど）を使用すれば、足跡を残さないということに気づいたのです。それは、鍵を開けるのではなく、持ち主がドアを開けるのを待ち、そのまま入り込んで、まるで自分がそこにいるべき人間であるかのように振る舞う泥棒のようなものです。

ここからが恐ろしい部分です。警備員は依然として「足跡」を探しています。本論文は「構造的な逆転」を発見しました。つまり、セキュリティのアドバイスは、泥棒が最も活動している場所では最も弱く、泥棒が最も活動していない場所で最も強くなっているということです。警備員は、犯罪の終盤における派手で乱暴な侵入を捕まえるための素晴らしいセンサーを構築していますが、犯罪の極めて初期段階で起きている静かで目に見えない動きに対するセンサーはほとんど持っていません。研究者たちは、現在進行形で起きているものの、ほとんど監視されていない42の具体的な「動き」を特定しました。これらは、病院が直ちに修正すべき最優先事項です。

さらに興味深いことに、本論文は、これはもはや古いコンピュータだけの問題ではないことを示しています。病院は診断を支援するために人工知能（AI）を使い始めています。研究者たちは、泥棒が通常のコンピュータで行うのと同じ「静かな」トリックが、これらの新しいAIシステムにも完璧に通用することを発見しました。泥棒はAIに侵入するための新しい方法を学ぶ必要はありません。彼らは、何年も使い続けてきた古いトリックをそのまま使うだけなのです。本論文は、泥棒が「かつて何をしていたか」に基づいてセキュリティを構築するのではなく、「今、何をしているか」に基づいて構築する必要があると結論付けています。つまり、正面玄関から歩いて入り、制服を着て、自分がそこにいてはいけない存在だと思われないように立ち回っている、その動きに対してです。幸いなことに、本論文は阻止すべき42の動きの明確な「ToDoリスト」を提供しており、そのうちの42個中12個については、セキュリティツールがすでに存在しており、今すぐ無料で有効にすることができます。