我們不是把這起真實的公開事件當成新聞重述來看，而是從「如何防禦這類攻擊？」的角度來解讀。本文是根據**公開紀錄（官方專家委員會報告與相關報導）**撰寫的說明文章，來源列於文末。我們不收錄攻擊手法的教學，也不包含可識別個人身分的細節。廠商與承包商的名稱不是重點，因此我們以角色描述，不列出名稱。
- 目標
- Tsurugi Handa Hospital（德島縣），包括電子病歷在內的醫院系統
- 發現時間
- 2021 年 10 月 31 日凌晨（勒索通知從印表機列印出來；電子病歷與帳務系統停擺）
- 入侵途徑（依報告）
- 面向網際網路的 VPN 裝置未修補 CVE-2018-13379，且外洩的憑證從未被撤銷
- 擴散與復原失敗原因（依報告）
- 簡短密碼、沒有帳號鎖定、使用者擁有管理員權限，使橫向移動變得容易。主要系統與備份位於同一網路，兩者都遭加密。存在「封閉網路就是安全」的想法
- 影響
- 電子病歷系統停擺，醫療嚴重受影響；約 85,000 名患者的病歷無法存取。正常醫療約兩個月後恢復
- 主要改善措施
- 監控並快速修補面向網際網路裝置上的已知 CVE／撤銷外洩與重複使用的憑證、採用 MFA、最小權限、帳號鎖定／3-2-1 原則加上離線、不可變更的備份／網路分段／醫療 BCP
事件經過（白話說明）
勒索軟體會加密系統使其無法使用，並要求付款才能復原。這次的入侵並不是高明的零日攻擊。醫院對外開放的一台 VPN 裝置上，有一個自 2019 年起就已公開、卻仍未修補的漏洞（CVE-2018-13379）。更糟的是，該漏洞先前已造成憑證外洩，而這家醫院的裝置也在外洩名單之中。長期未修補的公開漏洞，加上從未被撤銷的外洩憑證，讓攻擊者很容易進入。
進入內部後，報告說明了攻擊為何會擴散：簡短密碼、沒有登入鎖定機制，以及使用者擁有管理員權限。一旦某台電腦遭入侵，攻擊者就能以管理員權限在整家醫院擴散。最嚴重的是，主要系統與其備份位於同一網路，兩者都遭加密。原本應該作為保障的備份，與正式環境一起被加密，無法用於復原。電子病歷持續停擺，正常醫療直到約兩個月後才恢復。
「有備份」與「能夠復原」不是同一回事
備份光是存在，並不保證能夠復原。如果它與正式環境位於同一網路，並擁有相同權限，勒索軟體就會把正式環境與備份一起加密（Handa Hospital 正是因此兩者都遺失）。有效的做法是：備份與正式環境隔離，離線或異地保存，有版本管理，最好是不可變更，並且實際演練過還原。基本原則是 3-2-1 加上離線保存。
攻擊的每個階段與阻斷方式
這同樣是一條每個階段都有阻斷點的攻擊鏈。讀這部分時，重點不是攻擊步驟，而是哪裡本來可以中斷。
① 面向網際網路的 VPN 未修補 CVE-2018-13379 + 憑證外洩 → 入侵起點
2019 年的漏洞仍然存在，外洩的憑證也從未被撤銷。
⊘ 阻斷：監控面向網際網路裝置的 CVE；快速修補；撤銷外洩憑證；MFA
② 簡短密碼、無鎖定、使用者擁有管理員權限 → 在醫院內擴散
從一台遭入侵的電腦出發，管理員權限讓攻擊得以廣泛延伸到整家醫院。
⊘ 阻斷：強化驗證；帳號鎖定；最小權限；網路分段；登入監控
③ 主要系統與備份位於同一網路 → 兩者都遭加密
備份未與正式環境隔離，因此也遭到加密。
⊘ 阻斷：離線或異地、有版本管理、不可變更的備份（3-2-1）
④ 電子病歷長時間停擺 → 醫療嚴重受影響
復原花了約兩個月，對地區醫療造成重大影響。
⊘ 阻斷：演練過的復原流程；醫療 BCP（紙本備援）；快速的事件應變與公開說明
公開時間軸
2021-10-31
凌晨時分，印表機列印出勒索通知；電子病歷與帳務系統停擺。當天舉行了記者會。2021-11
醫療改以紙本方式持續進行。調查與復原支援開始展開；據報導資料復原是可行的。2021-12
確認電子病歷資料已完成復原；復原工作分階段進行。2022-01-04
系統恢復運作，正常醫療重新展開，距感染約兩個月。2022-06
專家委員會發表調查報告，指出入侵途徑（未修補的 VPN 漏洞）、備份設計，以及「封閉網路就是安全」的想法。
根本原因：不只是入口點，而是缺少基本控制
如果只把這件事歸結為「醫院的 VPN 被攻擊」，就沒有抓到重點。被利用的是已知的公開漏洞，不是新穎或高明的攻擊。入侵、擴散與復原失敗，都源自於被忽略的基本功：修補、憑證管理與備份隔離。報告嚴厲批評在未持續更新的情況下，販售並運作一套極度脆弱的系統（我們不點名該廠商）。但更深層的教訓是：即使把營運外包出去，風險依然在你身上。
報告指出的弱點（當時情況）
- 面向網際網路的 VPN 未修補 CVE-2018-13379
- 裝置的憑證已外洩，且未被撤銷
- 簡短密碼、沒有鎖定、使用者擁有管理員權限
- 主要系統與備份位於同一網路，兩者都遭加密
- 存在「封閉網路就是安全」的想法；資訊科技人力不足
已防禦的設置（預防）
- 監控面向網際網路裝置的 CVE，並快速修補；採用 MFA
- 撤銷外洩或重複使用的憑證；最小權限；帳號鎖定
- 備份與正式環境隔離，採離線或異地、有版本管理、不可變更
- 依重要性對網路分段（即使是封閉網路也要分段）
- 演練過的復原流程，以及醫療 BCP（紙本備援）
在你的環境中防止重演
這些做法不只適用於醫院，而是適用於任何有面向網際網路裝置與備份的組織。依優先順序如下：
監控面向網際網路裝置上的已知 CVE，並快速修補
監控 面向網際網路設備（如 VPN、防火牆）上的已知漏洞（CVE），並在修補發布後盡快套用。建立 CVE 修補流程，確保「已知的公開 CVE 被遺漏未修補」在結構上不會發生。
撤銷外洩或重複使用的憑證，並採用最小權限
撤銷外洩的憑證，禁止重複使用，並在可行之處採用 MFA。加上帳號鎖定與登入監控，不要隨意發放管理員權限（最小權限原則）。
讓備份與正式環境隔離，並離線保存（3-2-1）
將備份放在獨立網路、使用獨立權限，離線或異地保存，有版本管理並設為不可變更，並演練還原。這是防止「備份與正式環境一起被加密」的核心防禦。
進行網路分段，並建立醫療 BCP
依重要性對網路分段（組織資安基準），並準備 BCP（紙本備援流程），以便核心系統長時間停擺時仍能持續照護病患。Handa Hospital 因快速啟動 BCP 並公開說明而受到肯定；正是事前的準備，讓快速應變成為可能。
與本站設計原則的關聯
重點在於，決定損害大小的是被忽略的基本功，而非高明的攻擊：修補已知 CVE、妥善管理憑證、隔離備份。這些都不是新概念，也不困難。這與本站自身的原則正好相反：快速修補已知漏洞、不重複使用憑證、保持可復原的架構。尤其是「我們有備份，但它與正式環境放在同一處」，其風險就像一把 API 金鑰能存取所有資料集一樣。修補面向網際網路的裝置、嚴格管理憑證，並隔離備份且演練復原。 這些防禦任何組織都能實施，不分規模與產業。
資料來源（公開紀錄）
本文事實根據以下公開資訊。我們不收錄攻擊手法、可識別個人身分的細節，或廠商與承包商的名稱，只說明防禦上的教訓。
- Tsurugi Handa Hospital：「電腦病毒感染事件專家委員會調查報告」（2022 年發表）— handa-hospital.jp
- 報導與分析（經由未修補的 VPN 漏洞 CVE-2018-13379 入侵、主要系統與備份位於同一網路、「封閉網路就是安全」的想法，以及 2021–2022 年的復原過程）— 根據官方委員會報告
延伸閱讀
- 2026 年的醫院：網路攻擊造成的醫療中斷（美國、比利時、日本）與停機應變流程
- 當 VPN 成為入侵途徑：VPN 裝置是最大的入侵途徑，數位廳遭入侵後的遠端存取防禦
- 術語：什麼是勒索軟體（運作方式與如何避免付款）／什麼是 CVE（管理已知漏洞）
- 實務：備份基礎（3-2-1 原則）／CVE 修補手冊／組織資安基準
- 案例：大阪醫院勒索軟體事件（2022）（承包商的 VPN 與醫療 BCP）／Capcom 勒索軟體事件（2020）（一台舊的 VPN 裝置是入侵途徑）／KADOKAWA 勒索軟體事件（2024）（網路分段不足，導致全公司擴散）