我们不把这起真实的公开事件当作新闻转述来看，而是从“如何防御这类攻击？”的角度进行解读。本文基于**公开记录（官方调查委员会报告及相关报道）**撰写，信息来源列于文末。我们不提供攻击操作方法，也不包含可识别个人身份的细节。承包商和供应商名称并非重点，因此我们以角色而非名称加以描述。
- 目标
- 大阪综合医疗中心（大阪府立医院机构）。包括EMR在内的医院系统
- 发现时间
- 2022年10月31日凌晨（先是承包商系统故障，随后医院EMR出现故障）
- 入口（据报告）
- 餐饮服务承包商服务器上的远程维护VPN设备，未打补丁且可使用泄露的凭据访问。由于医院与承包商保持持续连接，攻击者通过承包商进入医院
- 扩散原因（据报告）
- 服务器和电脑共用密码，管理员权限过大，EMR服务器未安装防病毒软件，网络分段薄弱，以及“封闭网络是安全的”这一认知
- 影响
- EMR瘫痪；门诊、计划手术和急诊接收受限。完全恢复耗时两个多月。据报道，医院未支付赎金
- 主要修复措施
- 梳理承包商连接并及时修补面向互联网的VPN / 杜绝凭据重复使用并实施最小权限 / 网络分段 / EDR与监控 / 医疗BCP（纸质备用流程、离线备份、经过演练的恢复）
事件经过（通俗描述）
勒索软件会加密系统使其无法使用，并以恢复系统为由索要赎金。本案中，最先被突破的并非医院本身，而是承包商的连接。在为患者提供餐食的公司服务器上，设有一台用于远程维护的VPN设备。据委员会报告，该设备未打补丁，且可使用此前泄露的凭据进入。
医院的EMR与承包商的系统持续连接，以交换餐食数量等数据。因此，一旦承包商被攻破，攻击者便可进入医院内部。承包商的弱点就是医院的弱点。进入之后，报告解释了损害为何会扩散到整个EMR：登录凭据被共用，许多用户拥有管理员权限，关键服务器没有防病毒软件，网络分段也不充分。攻击者一旦在某一点得手，内部几乎没有阻挡扩散的措施，加密迅速蔓延。门诊停止，计划手术被取消，急诊接收受限，EMR完全恢复耗时两个多月。
“封闭网络是安全的”是一种错误认知；承包商连接也是你的攻击面
调查的一个核心发现是：人们相信与外部隔绝的网络本质上是安全的。但实际上，封闭网络始终存在通往外部的连接：维护VPN、与承包商的持续连接、远程支持等。只要存在哪怕一条这样的连接，且内部没有分段，一个进入一次的攻击者便可触及所有系统。承包商或维护服务商的连接在名义上可能属于另一家公司，但从安全角度看，它就是你攻击面的一部分，应当纳入清单管理。
攻击的各个阶段及阻断方法
这一攻击链同样在每个阶段都有可以阻断的节点。阅读时不应只把它看作攻击步骤，而应看作本可以在哪里被切断。
① 通过承包商未打补丁的维护VPN + 泄露凭据进入
面向互联网的维护VPN未打补丁，且可使用此前泄露的凭据访问。
⊘ 阻断：尽快修补面向互联网的VPN；梳理承包商连接；多因素认证；撤销泄露的凭据
② 医院与承包商持续连接 → 进入内部网络
用于餐食数据的持续连接意味着承包商一侧的入侵会波及医院内部。
⊘ 阻断：将承包商连接隔离在独立网段；尽量减少跨段流量；监控边界
③ 共用密码、全员管理员、网络分段薄弱 → 扩散至所有服务器
共用凭据和过大的权限使加密迅速波及EMR服务器。
⊘ 阻断：杜绝凭据重复使用；最小权限；网络分段；登录监控与账户锁定
④ 防病毒/EDR薄弱且恢复准备不足 → EMR长时间瘫痪
关键服务器防护薄弱，恢复耗时，诊疗因此受限数周。
⊘ 阻断：EDR/防病毒；离线备份与经过演练的恢复；医疗BCP（纸质备用流程）
公布的时间线
2022-10-31
凌晨承包商系统出现故障，随后医院EMR出现故障。确认为勒索软件攻击；为阻止扩散，系统被关停。2022-11
门诊基本停止，计划手术被取消，急诊接收仅限重症患者。诊疗改为纸质方式继续进行。2022-12
核心系统分阶段重新启动；门诊逐步恢复。2023-01-11
包括EMR在内的系统基本全部恢复——用时两个多月才完全恢复。2023-03-28
信息安全事件调查委员会发布报告，指出入口路径、扩散因素，以及“封闭网络是安全的”这一认知。
根本原因：不仅是入口，还有承包商管理和损害扩散方式
把这起事件简单归结为“医院的VPN被攻破”，就抓不住要点。攻击者确实通过承包商进入，但使损害扩散到整个EMR的，是内部的配置：共用凭据、权限过大、网络分段薄弱。真正的问题在于一旦有人进入，损害能否被控制住。
报告指出的薄弱环节（当时的情况）
- 通过承包商未打补丁的维护VPN + 泄露凭据进入
- 医院与承包商持续连接，承包商的弱点波及内部
- 服务器和电脑共用密码，用户拥有过大的管理员权限
- 关键EMR服务器未安装防病毒软件；网络分段薄弱
- “封闭网络是安全的”这一认知削弱了防御
防御到位的配置（预防）
- 梳理承包商连接；及时修补面向互联网的VPN；多因素认证
- 对承包商连接进行分段，并尽量减少其流量
- 杜绝凭据重复使用；最小权限；登录监控与账户锁定
- 关键服务器部署EDR/防病毒；网络分段
- 医疗BCP：纸质备用流程、离线备份、经过演练的恢复
医疗BCP：即使系统停止，诊疗也必须继续
对一般企业而言，“服务中断”可能只是一次损失；对医院而言，关键在于诊疗能否持续。因此，医疗BCP必须假定EMR可能长时间停用，并在平时就准备好维持患者诊疗的纸质备用流程，以及检查、用药和收费的替代流程，同时还需要离线/多版本备份和经过演练的恢复方案。支付赎金既不能保证恢复，也不能保证数据不会外泄。应依靠预先准备好的网络分段、备份和BCP。（相关案例：Capcom事件，入口为一台老旧的VPN/网络设备；以及KADOKAWA事件，网络分段薄弱导致损害波及全公司。）
在您的环境中防止再次发生
这些经验远不止适用于医院，而是适用于任何存在承包商或维护连接的机构。按优先级排列如下：
将承包商/维护连接纳入清单，视为自身的攻击面
梳理哪些人、哪些设备、通过哪条路径与您相连。将面向互联网的VPN设备的补丁更新列为最优先事项，并关闭不再使用的连接。在合同和实际操作中，要求承包商执行同等的补丁和认证标准。
杜绝凭据重复使用；转向最小权限
在服务器和电脑上废除共用密码，区分账户，并取消一刀切的管理员权限，实行最小权限原则。在可行的情况下启用多因素认证，增加登录锁定和监控，并撤销已泄露的凭据。
按重要性对网络进行分段
将承包商连接、EMR和后台业务系统分置于不同网段，并尽量减少跨段流量。封闭网络并不会自动安全，因此在封闭网络内部也要进行分段。请将此纳入您的机构安全基线。
保护关键服务器，建立医疗BCP与恢复机制
在EMR等关键服务器上部署EDR/防病毒。平时就要确定：如果核心系统长时间停用，如何继续诊疗和运营——准备纸质流程、离线备份，以及经过演练的恢复。请按照“付款也无法让你恢复”的前提做好准备。
与本站设计原则的关联
这一结论表明，防御不应止步于自身机构：承包商或维护连接同样是您攻击面的一部分。这与本站自身的原则恰恰相反：一旦某个部分被突破，应限制损害可能扩散的范围，隔离重要部分，并将连接和权限降至最低。“封闭网络是安全的”这一认知，其危险与一个共用密码可以触达所有服务器、或单一故障点并无二致。梳理与您相连的一切，杜绝重复使用，按重要性分段，并为系统停止时仍能继续运转做好准备。 无论机构规模或行业如何，这些防御措施任何人都可以实施。
信息来源（公开记录）
本文事实基于以下公开信息。我们不提供攻击操作方法、不包含可识别个人身份的细节，也不包含承包商或供应商名称，仅呈现防御层面的经验教训。
- 大阪府立医院机构，大阪综合医疗中心——《信息安全事件调查委员会报告》（发布于2023年3月28日）——gh.opho.jp
- 相关报道（经由承包商维护VPN进入、共用密码、“封闭网络是安全的”的认知，以及2022–2023年的恢复过程）——以官方委员会报告为依据
延伸阅读
- 2026年的医院：网络攻击导致的诊疗中断（美国、比利时、日本）与停机应对流程
- 当VPN成为入口：VPN设备是最大的入口——数字厅事件后的远程访问防御
- 术语表：什么是勒索软件（工作原理及如何避免支付赎金）/ 什么是EDR（端点/服务器检测）
- 实践：备份基础（3-2-1规则） / 机构安全基线（网络分段、最小权限）
- 案例：半田医院勒索软件事件（2021）（未打补丁的VPN漏洞与备份隔离）/ KADOKAWA勒索软件事件（2024）（网络分段薄弱导致全公司扩散）/ Capcom勒索软件事件（2020）（老旧VPN设备成为入口）/ Codecov供应链事件（2021）（滥用可信路径）