我們不把這起真實且公開的事件當成新聞重述來看，而是從「我們要如何防禦？」的角度來解析。本文以**公開紀錄（官方調查委員會報告與相關報導）**為基礎，來源列於文末。我們不收錄攻擊手法說明，也不納入可識別個人的細節。承包商與廠商名稱並非重點，因此以角色描述，而不列出名稱。
- 受害機構
- 大阪急性期・總合醫療中心（大阪府立病院機構）。包括EMR在內的院內系統
- 發現時間
- 2022年10月31日凌晨（承包商系統故障，隨後醫院EMR停擺）
- 入侵點（依報告）
- 餐飲服務承包商伺服器上的遠端維護VPN設備，未經修補，且可使用外洩憑證連線。由於醫院與承包商持續連線，攻擊者透過承包商進入醫院
- 擴散原因（依報告）
- 伺服器與電腦共用密碼、管理員權限過大、EMR伺服器未安裝防毒軟體、分段薄弱，以及「封閉網路是安全的」的認知
- 影響
- EMR停擺；門診、預定手術與急診收治受到限制。完全復原耗時逾兩個月。據報導，醫院未支付贖金
- 主要改善措施
- 盤點承包商連線並修補面向網際網路的VPN／停止重複使用憑證並落實最小權限／分段／EDR與監控／醫療BCP（紙本備援、離線備份、經演練的復原）
事件經過（以白話說明）
勒索軟體會加密系統使其無法使用，並要求支付贖金以換取復原。在本案中，最先被突破的並非醫院本身，而是承包商的連線。負責提供病患餐飲的公司伺服器上，設有一台遠端維護用的VPN設備。根據調查委員會報告，該設備未經修補，且可以先前外洩的憑證登入。
醫院的EMR與承包商的系統持續連線，以交換餐點數量等資料。因此，只要承包商遭入侵，攻擊者就能進入醫院內部。承包商的弱點，就是醫院的弱點。報告說明了損害為何會擴散至整個EMR：登入憑證是共用的，許多使用者擁有管理員權限，關鍵伺服器沒有防毒軟體，網路也未妥善分段。攻擊者一旦在某一點取得入侵，內部幾乎沒有東西能阻止擴散，加密迅速蔓延。門診因而停止，預定手術被取消，急診收治受到限制，EMR的完全復原也耗時逾兩個月。
「封閉網路是安全的」是一種錯誤認知；承包商連線也是攻擊面的一部分
調查的核心發現之一，是認為與外部隔絕的網路本質上就是安全的這一想法。實際上，封閉網路總是存在與外部相連的管道，例如維護用VPN、持續連線的承包商通道與遠端支援。只要存在這樣的連線，而內部又沒有分段，一旦攻擊者取得一次入侵，就可能觸及所有系統。承包商或維護廠商的連線在書面上可能屬於另一家公司，但就資安而言，它是你攻擊面的一部分，應當如此盤點。
攻擊各階段及其阻斷方式
這同樣是一條每個階段都有阻斷點的鏈條。閱讀時不妨將它視為可能在哪裡被打斷，而非攻擊步驟。
① 經由承包商未修補的維護VPN＋外洩憑證入侵
面向網際網路的維護VPN未經修補，且可使用先前外洩的憑證連線。
⊘ 阻斷：快速修補面向網際網路的VPN；盤點承包商連線；多因素驗證；撤銷外洩憑證
② 醫院與承包商持續連線 → 進入內部網路
用於餐飲資料的持續連線，使承包商遭入侵後能深入醫院內部。
⊘ 阻斷：將承包商連線隔離於獨立分段；盡量減少跨分段流量；監控邊界
③ 共用密碼、全員管理員、分段薄弱 → 擴散至所有伺服器
共用憑證與過大的權限，使加密迅速觸及EMR伺服器。
⊘ 阻斷：停止重複使用憑證；最小權限；網路分段；登入監控與帳號鎖定
④ 防毒／EDR薄弱且復原準備不足 → EMR長時間停擺
關鍵伺服器防護薄弱，復原需時，導致診療受限達數週。
⊘ 阻斷：EDR／防毒軟體；離線備份與經演練的復原；醫療BCP（紙本備援）
事件時間軸（依公開資訊）
2022-10-31
凌晨承包商系統故障，隨後醫院EMR停擺。確認為勒索軟體攻擊，系統遭關閉以阻止擴散。2022-11
門診大致停止，預定手術取消，急診僅收治重症。診療改以紙本進行。2022-12
核心系統分階段重新啟動，門診逐步恢復。2023-01-11
包括EMR在內的系統大致完全復原，歷時逾兩個月。2023-03-28
資訊安全事件調查委員會發布報告，指出入侵路徑、擴散因素，以及「封閉網路是安全的」之認知。
根本原因：不只是入侵點，還包括承包商管理與損害擴散方式
若將此事件簡單歸結為「醫院的VPN遭到攻擊」，就抓不到重點。攻擊者確實是透過承包商進入，但讓損害擴散至整個EMR的，是內部的設定：共用憑證、權限過大、分段薄弱。真正的問題在於一旦有人入侵，損害能否被控制住。
報告指出的弱點（當時情況）
- 經由承包商未修補的維護VPN＋外洩憑證入侵
- 醫院與承包商持續連線，使承包商的弱點得以深入內部
- 伺服器與電腦共用密碼，使用者擁有過大的管理員權限
- 關鍵EMR伺服器未安裝防毒軟體；分段薄弱
- 「封閉網路是安全的」之認知，使防禦層層鬆懈
已完善的設定（預防）
- 盤點承包商連線；快速修補面向網際網路的VPN；多因素驗證
- 分段承包商連線，並盡量減少其流量
- 停止重複使用憑證；最小權限；登入監控與帳號鎖定
- 關鍵伺服器部署EDR／防毒軟體；網路分段
- 醫療BCP：紙本備援流程、離線備份、經演練的復原
醫療BCP：即使系統停止，照護也必須持續
對一般企業而言，「服務中斷」或許就是全部；但對醫院而言，問題在於照護能否持續。因此，醫療BCP必須假設EMR可能長時間停擺，並在平時就準備好可維持診療的紙本備援流程、檢驗、用藥與計費的替代作業流程，以及離線或多版本備份與經演練的復原程序。支付贖金既不保證能復原，也不保證資料不會外洩。應依賴事先準備好的分段、備份與營運持續計畫。（相關案例：Capcom事件，入侵途徑為舊的VPN／網路設備；以及KADOKAWA事件，分段薄弱導致損害擴散至全公司。）
在您的環境中防止重演
這些做法不僅適用於醫院，也適用於任何有承包商或維護連線的機構。依優先順序如下：
將承包商與維護連線視為自身的攻擊面進行盤點
確認哪些人、哪些設備、經由哪些路徑與您相連。將面向網際網路的VPN設備列為最優先修補對象，並關閉不使用的連線。在合約與實務上，要求承包商遵循同樣的修補與驗證標準。
停止重複使用憑證；改採最小權限
淘汰伺服器與電腦上的共用密碼，改為個別帳號，並撤除一律授予的管理員權限，落實最小權限。在可行處套用多因素驗證，加上登入鎖定與監控，並撤銷外洩的憑證。
依重要性對網路進行分段
將承包商連線、EMR與後勤系統置於不同分段，並盡量減少跨分段流量。封閉網路並不自動安全，因此封閉網路內部也應分段。請將此納入您的組織資安基準。
保護關鍵伺服器，並建立醫療BCP與復原機制
在EMR等關鍵伺服器上部署EDR／防毒軟體。在平時就決定：若核心系統長時間停擺，如何維持診療與營運，並準備紙本流程、離線備份與經演練的復原。請以「付款不會讓您復原」為前提進行準備。
與本站設計原則的關聯
這個啟示是：您的防禦不會止於自身機構的邊界；承包商或維護連線也成為您攻擊面的一部分。這與本站自身的原則正好相反：限制一處被突破時損害的擴散範圍，隔離重要事項，並將連線與權限降至最低。「封閉網路是安全的」這種想法，其危險與「一組共用密碼能進入每台伺服器」或「單點故障」並無二致。**盤點與您相連的一切、停止重複使用憑證、依重要性分段，並為系統停止時仍能持續營運做好準備。**這些防禦任何規模或產業的組織都能實施。
資料來源（公開紀錄）
本文事實係依據以下公開資訊。我們不收錄攻擊手法、可識別個人的細節，或承包商／廠商名稱，僅提供防禦上的教訓。
- 大阪府立病院機構，大阪總合醫療中心——「資訊安全事件調查委員會報告」（發布於2023年3月28日）— gh.opho.jp
- 相關報導（經由承包商維護VPN入侵、共用密碼、「封閉網路是安全的」之認知，以及2022至2023年的復原過程）——依據官方委員會報告
延伸閱讀
- 2026年的醫院：網路攻擊造成的診療中斷（美國、比利時、日本）與停機作業程序
- 當VPN是入侵途徑：VPN設備是最大的入侵途徑——數位廳遭入侵後的遠端存取防禦
- 術語：什麼是勒索軟體（運作方式與如何避免付款）／什麼是EDR（端點與伺服器偵測）
- 實務：備份基礎（3-2-1原則）／組織資安基準（分段、最小權限）
- 案例：半田醫院勒索軟體（2021）（未修補的VPN漏洞與備份隔離）／KADOKAWA勒索軟體（2024）（分段薄弱導致全公司擴散）／Capcom勒索軟體（2020）（舊VPN設備為入侵途徑）／Codecov供應鏈攻擊（2021）（濫用受信任的路徑）