我们不把这起真实的公开事件当作新闻转载来阅读，而是围绕“如何防御这类攻击？”来展开分析。本文基于**公开记录（官方专家委员会报告及相关报道）**撰写，信息来源列于文末。我们不包含攻击操作方法，也不包含可识别个人身份的细节。厂商和承包商的名称不是重点，因此我们以角色而非名称来描述。
- 目标
- つるぎ町立半田医院（德岛县），包括电子病历在内的医院系统
- 发现时间
- 2021年10月31日凌晨（勒索通知从打印机输出；电子病历和收费系统瘫痪）
- 入口（据报告）
- 一台面向互联网的VPN设备对CVE-2018-13379未打补丁，且泄露的凭证从未被撤销
- 扩散与恢复失败的原因（据报告）
- 弱密码、无账户锁定、用户拥有管理员权限，便于横向移动。主系统与备份位于同一网络，两者均被加密。存在“封闭网络即安全”的认知
- 影响
- 电子病历系统停用，诊疗受到严重干扰；约85,000名患者的记录无法访问。约两个月后恢复正常诊疗
- 主要应对措施
- 持续监控面向互联网设备上的已知CVE并尽快打补丁／撤销泄露且重复使用的凭证，采用多因素认证、最小权限和账户锁定／3-2-1原则加离线、不可更改的备份／网络分段／医疗业务连续性计划（BCP）
事件经过（通俗说明）
勒索软件会加密系统使其无法使用，并索要赎金以恢复系统。这次的入口并非高深的零日漏洞。医院对互联网暴露的一台VPN设备上存在一个自2019年起公开的漏洞（CVE-2018-13379），且仍未修补。更糟的是，该漏洞此前曾导致凭证泄露，而医院的设备就在泄露名单之中。长期未修补的公开漏洞加上从未撤销的泄露凭证，使攻击者很容易进入。
进入内网后，报告解释了攻击为何能够扩散：弱密码、登录无锁定、用户持有管理员权限。一旦一台机器被攻陷，攻击者便可凭借管理员权限在整个医院扩散。最严重的是：主系统与其备份位于同一网络，两者均被加密。本应起到保障作用的备份与生产系统一同被加密，无法用于恢复。电子病历系统持续停用，正常诊疗在约两个月后才恢复。
“有备份”与“能够恢复”并不是一回事
仅仅存在备份并不能保证恢复。如果备份与生产系统位于同一网络、拥有相同权限，勒索软件会同时加密生产系统和备份（这正是半田医院两者皆失的原因）。有效的做法是：备份与生产系统隔离，离线或异地保存，有版本管理，最好不可更改，并且真正演练过恢复。经验法则是：3-2-1原则加上离线保存。
攻击的各个阶段及阻断方法
这同样是一条链条，每个阶段都有可以阻断的节点。阅读时不妨把它当作“可以在哪里被打断”，而非攻击步骤。
① 面向互联网的VPN对CVE-2018-13379未打补丁 + 泄露的凭证 → 入口
2019年的漏洞仍然存在，泄露的凭证也从未被撤销。
⊘ 阻断：监控面向互联网设备的CVE；尽快打补丁；撤销泄露的凭证；多因素认证
② 弱密码、无锁定、用户拥有管理员权限 → 在医院内扩散
从一台被攻陷的机器出发，管理员权限使其能够广泛触及医院内部。
⊘ 阻断：强认证；账户锁定；最小权限；网络分段；登录监控
③ 主系统与备份位于同一网络 → 两者均被加密
备份未与生产系统隔离，因此同样被加密。
⊘ 阻断：离线或异地、有版本管理、不可更改的备份（3-2-1）
④ 电子病历系统长时间停用 → 诊疗严重受阻
恢复耗时约两个月，对区域医疗产生了较大影响。
⊘ 阻断：经过演练的恢复流程；医疗BCP（纸质应急）；快速的事件响应与信息披露
公布的时间线
2021-10-31
凌晨，打印机输出了勒索通知；电子病历和收费系统瘫痪。当天召开了新闻发布会。2021-11
诊疗改用纸质方式继续进行。调查和恢复支持工作启动；据报道数据恢复可行。2021-12
确认电子病历数据已恢复；恢复工作分阶段推进。2022-01-04
系统恢复运行，正常诊疗得以恢复——感染约两个月后。2022-06
专家委员会发布调查报告，指出入侵途径（未修补的VPN漏洞）、备份设计，以及“封闭网络即安全”的认知。
根本原因：不仅是入口，更是缺失的基础控制
把这件事简单概括为“医院的VPN被攻破”，就忽略了关键所在。所利用的是已知的公开漏洞，而非新颖、复杂的攻击。入侵、扩散以及恢复失败，都源于对基础工作的忽视：补丁管理、凭证管理以及备份隔离。报告严厉批评了在未保持更新的情况下销售和运行一个极易受攻击系统的做法（我们不点名厂商）。但更持久的启示是：即便业务外包，风险仍然由你承担。
报告指出的薄弱环节（当时）
- 面向互联网的VPN对CVE-2018-13379未打补丁
- 设备的凭证已泄露且未被撤销
- 弱密码、无锁定、用户拥有管理员权限
- 主系统与备份位于同一网络，两者均被加密
- 存在“封闭网络即安全”的认知；IT能力薄弱
经过防御的配置（预防）
- 对面向互联网设备的CVE进行监控，并尽快打补丁；采用多因素认证
- 撤销泄露或重复使用的凭证；最小权限；账户锁定
- 备份与生产系统隔离——离线或异地、有版本管理、不可更改
- 按重要性对网络进行分段（即使是封闭网络也应分段）
- 经过演练的恢复流程，以及医疗BCP（纸质应急）
在你的环境中防止再次发生
这些经验远不止适用于医院，而是适用于任何拥有面向互联网设备和备份的机构。按优先顺序如下：
监控面向互联网设备上的已知CVE，并尽快打补丁
监控面向互联网设备（VPN、防火墙）上的已知漏洞（CVE），并在发布修复后及时应用。建立CVE修复常规流程，从结构上杜绝“已知的公开CVE长期未修补”的情况。
撤销泄露或重复使用的凭证；采用最小权限
撤销泄露的凭证，杜绝重复使用，并在可行的地方启用多因素认证。增加账户锁定和登录监控，不随意授予管理员权限（最小权限原则）。
将备份与生产系统隔离并离线保存（3-2-1）
将备份放在独立的网络并使用独立的权限中，离线或异地保存，有版本管理且不可更改，并定期演练恢复。这是防止“备份与生产系统一同被加密”的核心防御手段。
对网络分段并制定医疗BCP
按重要性对网络进行分段（机构安全基线），并制定BCP（纸质应急流程），确保核心系统长时间停用时仍能继续接诊。半田医院因迅速启动BCP并公开披露信息而受到肯定；充分的准备使快速响应成为可能。
与本站设计原则的契合之处
核心要点在于：决定损害程度的是被忽视的基础工作，而非复杂的攻击：为已知CVE打补丁、妥善管理凭证、隔离备份。这些都谈不上新颖或困难。这恰恰与本站自身的原则相反：尽快修复已知漏洞，不重复使用凭证，保持可恢复的配置。尤其是“我们有备份，但它和生产系统放在同一个地方”，其风险与一个API密钥可以访问所有数据集相同。给面向互联网的设备打补丁，严格管理凭证，隔离备份并演练恢复。 无论机构规模或行业如何，任何人都可以落实这些防御措施。
来源（公开记录）
本文事实基于以下公开信息。我们不包含攻击操作方法、可识别个人身份的细节，以及厂商或承包商的名称，仅呈现防御性经验。
- つるぎ町立半田医院——《电脑病毒感染事件专家委员会调查报告》（2022年发布）——handa-hospital.jp
- 相关报道与分析（经由未修补的VPN漏洞CVE-2018-13379入侵、备份与生产系统位于同一网络、“封闭网络即安全”的认知，以及2021–2022年的恢复过程）——基于官方委员会报告
延伸阅读
- 2026年的医院：网络攻击导致的诊疗中断（美国、比利时、日本）及停机应对流程
- 当VPN是入口时：VPN设备是最主要的入口——数字厅遭入侵后的远程访问防御
- 术语表：什么是勒索软件（其工作原理及如何避免支付赎金）／什么是CVE（管理已知漏洞）
- 实践：备份基础（3-2-1原则）／CVE修复手册／机构安全基线
- 案例：大阪医院勒索软件事件（2022）（承包商的VPN与医疗BCP）／Capcom勒索软件事件（2020）（一台老旧的VPN设备成为入口）／KADOKAWA勒索软件事件（2024）（网络分段不足导致全公司范围扩散）