2026年の上半期だけで、国内の病院で電子カルテや院内システムが停止するランサムウェア被害が相次ぎました。2月の日本医科大学武蔵小杉病院では約13万人分の患者情報が漏えいし、3月の白梅豊岡病院では電子カルテが閲覧できなくなったうえ患者情報がダークウェブに公開されました。4月には市立奈良病院でも電子カルテが止まり救急受け入れを停止しましたが、こちらは奈良市の報告書（2026年8月31日）で、外部からのサイバー攻撃ではなく、セキュリティ監視装置の過検知に自動遮断が連動したシステム障害だったと結論づけられています。
本記事では、2026年に公表された病院・医療機関の主な事例を時系列で整理し、侵入経路・診療への影響・復旧までの経過を各機関の公表資料と報道に基づいてまとめます。そのうえで、過去の重大事例（半田病院・大阪急性期・総合医療センターなど）との共通点と、医療機関が優先すべき対策を解説します。厚生労働省ガイドラインへの対応全体は医療機関のセキュリティ・ランサムウェア対策ガイド｜厚労省ガイドライン対応と診療継続を参照してください。
※本記事の事実関係は2026年8月末時点の各機関の公表資料・報道に基づきます。調査継続中の事案は今後内容が更新される可能性があります。
1. 病院が狙われる理由：止まると「人命」に直結する
病院がランサムウェアの標的になるのは、システム停止の影響が診療そのものに及び、復旧を急ぐ動機が他業種より強いからです。電子カルテが止まれば検査結果も処方も参照できず、救急の受け入れ停止や手術の延期に直結します。2021年の半田病院、2022年の大阪急性期・総合医療センターでは、通常診療の全面再開まで約2か月を要しました。
もう一つの理由は、病院ネットワークの構造です。電子カルテ本体は閉域で守られていても、医療機器メーカーが遠隔保守に使うVPN装置、給食や検査の委託業者との接続、ナースコールや画像管理サーバーなど、情報システム部門の管理が届きにくい機器が多数つながっています。2026年の事例でも、侵入口はこうした「本体の外側」でした。
警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）では、2025年のランサムウェア被害報告226件のうち侵入経路はVPN機器が6割以上を占め、復旧に1か月以上を要した組織が約半数、復旧費用1,000万円以上が5割超と報告されています。医療機関はこの一般傾向に「診療停止」の損失が上乗せされます。
2. 2026年に公表された病院・医療機関の主な事例（時系列）
発生・公表 | 医療機関 | 事象と侵入経路 | 診療・情報への影響 |
|---|---|---|---|
2026年2月9日発生 | 日本医科大学武蔵小杉病院（神奈川県） | ナースコールシステムのサーバーがランサムウェアに感染。侵入口は医療機器保守用VPN装置 | 患者約13万人、職員・臨床実習医学生約1,700人の個人情報が漏えい。外来・入院・救急は継続 |
2026年3月1日発生 | 白梅豊岡病院（静岡県） | 電子カルテをはじめ院内システムがランサムウェアに感染 | 各種システムが閲覧不能。患者・家族・ケアホーム利用者らの氏名・住所・電話番号・病名などが流出し、ダークウェブに公開 |
なお、2026年4月21日に市立奈良病院（奈良県）で電子カルテなどが使えなくなった事案は、発生当初はサイバー攻撃が疑われましたが、奈良市の報告書では外部からの攻撃ではなかったと結論づけられたため、上の表には含めていません。経過と教訓は次の節で参考として紹介します。
3. 主要事例の詳細：侵入口・影響・復旧の経過
日本医科大学武蔵小杉病院（2026年2月）：ナースコールの保守用VPNから侵入、約13万人の情報が漏えい
2026年2月9日午前1時50分ごろ、ナースコール端末の動作不良を病院が覚知し、システムベンダーが調査したところ、ナースコールシステムのサーバーがランサムウェア攻撃を受けていたことが判明しました。侵入口は、医療機器の遠隔保守に使われていたVPN装置です。病院は2月13日の第1報で約1万人分の漏えいを公表し、その後の精査で新たに約12万件の漏えいを確認したため、2月27日の第5報で漏えい規模を患者約13万人分としました。あわせて職員と2021年以降の臨床実習医学生の計約1,700人分も対象になっています。
漏えいした情報は患者ID・氏名・性別・住所・電話番号・生年月日で、診療録（カルテ）・クレジットカード情報・マイナンバー情報の漏えいは、2月27日の第5報の時点で確認されていません。窃取されたデータは、その後攻撃者側のリークサイトで公開されたことが確認されています。診療への影響は限定的で、外来・入院・救急の受け入れは通常どおり継続されました。
この事例の教訓：ナースコールという「医療機器系」のシステムが、電子カルテと同じ患者基本情報を保持していました。医療機器ベンダーの保守用VPNは情報システム部門の管理台帳から漏れやすく、機器ごとに誰が・どの経路で・いつ接続できるかを把握し直す必要があります。
白梅豊岡病院（2026年3月）：電子カルテが閲覧不能、患者情報がダークウェブに公開
2026年3月1日、静岡県の白梅豊岡病院で電子カルテシステムをはじめとする院内システムがランサムウェアに感染し、各種システムが閲覧できない障害が発生しました。厚生労働省から初動対応チームの派遣を受けて調査した結果、同院と併設の白梅豊岡ケアホームの利用者・家族・関係者の氏名・住所・電話番号・携帯電話番号・病名などが外部に流出したことが判明しています。3月6日の第3報では、患者や関係者のデータがダークウェブ上に公開されたことも公表されました。3月26日の第4報によれば、厚生労働省の初動対応支援チームからVPNの脆弱性等の指摘を受けています。
報道では、2月の武蔵小杉病院を攻撃したのと同じグループの関与が指摘されています。
この事例の教訓：病名を含む情報の流出は、漏えい件数以上に患者への影響が重い事案です。暗号化による診療停止と、窃取データの公開という二重の被害を前提に、「流出したら誰にどう連絡するか」までを事前に決めておく必要があります。ダークウェブ上の公開状況を監視する手段についてはダークウェブ監視サービスとは？仕組み・料金・選び方で解説しています。
【参考】市立奈良病院（2026年4月）：当初は攻撃を疑ったが、報告書の結論は監視装置の過検知と自動遮断によるシステム障害
2026年4月21日午後10時15分、市立奈良病院のセキュリティ監視装置が、リモート保守用中継端末からの通信を異常と判定して自動遮断しました。その後、眼科システムや生体検査システムでも異常通信の検知と自動遮断が続き、電子カルテ本番系・医事サーバーなどにも警報が連鎖して、初回検知から約5時間で警報は計13件に達しました。発生時点ではサイバー攻撃かシステム上の問題かを判断できなかったため、病院は電子カルテの仮想サーバー群をネットワークから物理的に隔離し、4月22日未明に電子カルテの停止と救急受け入れの中止を決め、外来診療も制限しました。
厚生労働省から派遣された支援チームの協力を得た安全確認では、患者情報・診療記録の改ざんや漏えい、ウイルス感染、バックドア設置などの痕跡は確認されませんでした。4月23日午後8時に電子カルテ本番系を再稼働し、4月24日午前8時30分から外来・入院・救急受け入れを含む通常診療を再開しています。救急受け入れの停止は約53時間で、外来予約約500件と予定手術18件が延期されました。
奈良市が設置した専門家会議の検証をまとめた報告書【概要版】（2026年8月31日）は、本事案を「外部からのサイバー攻撃ではなく」、セキュリティ監視装置の監視対象または学習対象の変動により過検知が生じ、これに自動遮断が連動したシステム障害と整理しています。監視装置ソフトウェアの自動更新・再起動を契機に監視対象が633台から1,954台へ約3倍に増え、それまで十分に学習されていなかった院内通信が平常時のパターンから外れたと判定された可能性が示されています。一方で、攻撃の可能性を否定できない中で安全を優先した初動の判断には「相応の合理性」があったと評価されています。
この事例の教訓：攻撃がなくても、セキュリティ製品の過検知に自動遮断が連動すると、電子カルテが止まり救急受け入れの停止にまで至ることがあります。報告書は他の医療機関にも参考になる点として、自動遮断の適用条件・確認手順・復旧手順を事前に整理すること、ソフトウェア更新のルール（更新前後の確認と切戻し手順）を決めること、監視が正常に機能しているかを継続的に確認すること、原因を検証できるようログの範囲と保存期間を決めておくこと、診療制限や緊急遮断を誰が判断するかを明確にすることを挙げています。
4. 過去の重大事例との比較：侵入口はいつもVPN
2026年のランサムウェア2事例を、過去に長期の診療制限を招いた事例と並べます（市立奈良病院はサイバー攻撃ではなかったため含めていません）。
発生 | 医療機関 | 侵入経路 | 通常診療再開まで |
|---|---|---|---|
2021年10月 | 徳島県つるぎ町立半田病院 | VPN装置の既知の脆弱性 | 約2か月 |
2022年10月 | 大阪急性期・総合医療センター | 給食委託事業者のVPN装置を経由 | 約2か月 |
2024年5月 | 岡山県精神科医療センター | VPN装置の脆弱性 | 90日超 |
2026年2月 | 日本医科大学武蔵小杉病院 | 医療機器保守用VPN装置 | 診療は継続（ナースコール系の被害） |
2026年3月 | 白梅豊岡病院 | VPNの脆弱性等を厚生労働省の初動対応支援チームが指摘（第4報） | 公表資料に記載なし |
侵入経路が判明している事例は、2021年から2026年まで一貫してVPN装置です。しかも自院が管理するVPNだけでなく、給食委託事業者や医療機器ベンダーが持ち込んだVPNが起点になっています。病院側が「自分たちのVPNは更新した」と考えていても、委託先・ベンダーの接続が残っていれば同じ経路が開いたままです。
5. 医療機関が優先すべき対策（優先順）
優先度 | 対策 | 具体的に何をするか | 対応する事例 |
|---|---|---|---|
1 | 外部接続の全数棚卸し | 自院のVPNに加え、医療機器ベンダー・給食・検査・清掃など委託先の遠隔接続を機器単位で台帳化し、不要な接続を止め、残す接続は多要素認証と接続元制限をかける | 武蔵小杉病院、大阪急性期・総合医療センター |
2 | VPN・ネットワーク機器の更新 | サポート切れ機器の交換と、既知の脆弱性への修正適用を期限つきで実施。適用状況を月次で確認する | 半田病院、岡山県精神科医療センター |
3 | 電子カルテと周辺系の分離 | ナースコール・画像管理・部門システムと電子カルテ本体の間を分離し、一方の感染が他方に波及しない構成にする | 武蔵小杉病院 |
4 | 検知と遮断の体制 | ネットワーク監視で異常通信を検知し、夜間でも切り離しを判断できる当直体制と連絡網を整備する。自動遮断を使う場合は、過検知時の確認・遮断解除・復旧の手順と、監視装置の更新時の確認手順も決めておく | 市立奈良病院（攻撃ではなく、過検知と自動遮断によるシステム障害） |
5 | オフラインバックアップと紙運用の訓練 | ネットワークから切り離したバックアップを保持し、電子カルテ停止時の紙運用（処方・検査・救急）を年1回訓練する | 半田病院、大阪急性期・総合医療センター |
6 | 漏えい時の連絡・公表手順 | 患者・家族への連絡方法、厚生労働省・個人情報保護委員会への報告、ダークウェブ公開の監視と広報対応を手順化する | 白梅豊岡病院、武蔵小杉病院 |
厚生労働省の「医療情報システムの安全管理に関するガイドライン」への対応項目との対応関係は医療機関のセキュリティ・ランサムウェア対策ガイド、初動の手順はインシデントレスポンスとは？初動対応・手順・体制構築ガイド【2026年版】、侵入経路別の対策はランサムウェアの侵入経路ランキングと企業が今すぐやるべき5つの対策を参照してください。
6. よくある質問（FAQ）
Q. 電子カルテは閉域網なので安全ではないのですか？
A. 電子カルテ本体が閉域でも、保守用VPN、部門システム、ナースコールなどの周辺機器が外部とつながっていれば、そこから閉域網の内側に入られます。武蔵小杉病院ではナースコールのサーバーが患者基本情報を持っていました。「閉域かどうか」ではなく「外部から到達できる接続が何本あるか」で評価してください。
Q. 中小規模の病院・クリニックでも同じ対策が必要ですか？
A. 規模にかかわらず、外部接続の棚卸しとVPN機器の更新は必要です。半田病院は病床120床の町立病院でした。予算が限られる場合は、優先度1と2（外部接続の棚卸しと機器更新）に集中し、監視や訓練は外部サービスの利用を検討してください。
Q. 感染に気づいたとき、最初に何をすべきですか？
A. 感染が疑われる機器のネットワーク切り離し、電子カルテの紙運用への切り替え宣言、厚生労働省への連絡（初動対応チームの派遣要請）、外部専門機関への連絡です。電源を切る前に、ログとメモリの証拠を保全します。復元は侵入経路を特定してから行わないと再感染します。
7. 参考情報（一次情報）
- 日本医科大学武蔵小杉病院「当院へのサイバー攻撃による個人情報漏洩に関するご報告とお詫び」（第1報2026年2月13日、第5報2月27日、第7報4月9日）
- 白梅豊岡病院「白梅豊岡病院へのサイバー攻撃による個人情報漏洩に関するご報告とお詫び」（第1報2026年3月3日、第3報3月6日、第4報3月26日）
- 奈良市「市立奈良病院へのサイバー攻撃の疑いによる診療体制の一部制限と現状について（第2報）」（2026年4月）
- 奈良市「市立奈良病院におけるシステム障害に係る報告書【概要版】～検証結果と今後の対応～」（2026年8月31日）
- 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）
- 厚生労働省「医療情報システムの安全管理に関するガイドライン」
AEVUSの医療機関向けセキュリティ支援
AEVUSは、病院・医療機関に対して次の支援を提供しています。
- 外部公開資産診断・ペネトレーションテスト：保守用VPN、委託先接続、公開サーバーを攻撃者の視点で検証し、侵入口になる接続を特定します
- SOC・インシデント対応：24時間365日の監視と、夜間の検知から切り離し・初動までの対応を代行します
- ダークウェブ監視：患者情報や認証情報の流出をダークウェブ上で継続的に監視します
「自院に外部から到達できる接続が何本あるか」を把握するところから始めたい医療機関は、SOCサービス・ダークウェブ監視のページをご覧いただくか、お問い合わせフォームからご相談ください。
2026年10月には大阪公立大学で学内システムが止まり、全授業を1週間休講にする被害が出ました。大学・学校の事例は大学・教育機関のサイバー攻撃事例【2026年版】で整理しています。
まとめ
- 2026年は武蔵小杉病院（約13万人の漏えい）、白梅豊岡病院（電子カルテ停止とダークウェブ公開）とランサムウェア被害が続いた。4月の市立奈良病院の電子カルテ停止は、報告書で攻撃ではなくシステム障害と結論づけられた
- 侵入口は2021年以降一貫してVPN装置。自院のVPNだけでなく、医療機器ベンダーや委託先が持ち込んだ接続が起点になる
- 市立奈良病院の事案は、監視装置の過検知に自動遮断が連動すると、攻撃がなくても診療が止まりうることを示した。自動遮断の適用条件、更新のルール、遮断解除と復旧の手順、判断する人を平時に決めておく
- 優先順位は、外部接続の全数棚卸し → VPN・機器の更新 → 電子カルテと周辺系の分離 → 検知・遮断体制 → オフラインバックアップと紙運用訓練 → 漏えい時の連絡手順
