医療機関を襲った大規模サイバー攻撃事例から学ぶ：情報システム担当者が知るべき高度な手口と対策

2026年8月12日、医療法人鳳應会グループの株式会社Medi Faceが高度な組織的サイバー攻撃を受けました。同社は迅速なデジタルフォレンジック解析と証拠保全を完了し、その技術的解析結果とIoC（侵害の痕跡：Indicators of Compromise）を緊急公開しています。この情報は、情報システム担当者やDX推進担当者にとって、自社のセキュリティ対策を見直し、強化するための貴重な脅威インテリジェンスとなるでしょう。

今回の公開から得られる課題解決への示唆

本件は、特定のサービスを提供するものではありません。しかし、その詳細な攻撃解析レポートは、多くの企業が直面しうるサイバーセキュリティの脅威に対する理解を深め、自社の防御体制を強化するための重要な情報源となります。

情報システム担当者やDX推進担当者は、この事例を参考にすることで、以下のような課題解決に役立てられます。

高度な攻撃手口の把握： 攻撃者がどのような手法を用いるのかを具体的に知り、自社のシステムにおける潜在的な脆弱性を特定する手がかりとします。
Webインフラのセキュリティ強化： SEOポイズニングやブランド詐称といった、企業の信用に直結する攻撃への対策を検討できます。
インシデント対応計画の見直し： デジタルフォレンジック（不正アクセスや情報漏洩などのインシデント発生時に、電子的証拠を収集・分析する調査技術）や証拠保全の重要性を再認識し、有事の際の対応計画を具体化する参考とします。
脅威インテリジェンスの活用： 公開されたIoCを自社のセキュリティ監視システムに組み込み、同様の攻撃を早期に検知・防御する体制を構築できます。

攻撃の全体像と技術的特異性

今回の攻撃は、約4ヶ月前から計画された「高度標的型組織犯罪（APT：Advanced Persistent Threat）」と判明しています。単なる金銭目的のランサムウェアやランダムな脆弱性スキャンとは一線を画し、医療機関の社会的信用と検索インフラの資産価値を標的とした、非常に巧妙な手口が使われました。

攻撃のキルチェーン（Kill Chain）

攻撃は多段階で構成され、海外IPを経由したPHP Webシェル（ウェブサーバー上で悪意のあるコマンドを実行するためのプログラム）の直接起動から始まりました。

Webシェル侵入： バックドアファイル（fgh.php、yomanx498.phpなど）を用いてシステムに侵入。
Google Search Console（GSC）権限奪取： 検索エンジンの設定ツールであるGSCの所有権を奪い、検索結果への影響力を獲得。
Cloudflare Pagesを用いたブランド詐称： 無料サービスを悪用し、企業のブランド名を冠した偽ページを作成。
SEOポイズニング： 検索エンジン最適化（SEO）の仕組みを悪用し、患者が医療情報を検索した際に違法賭博サイトへ誘導するよう仕向けました。
APIジオクローキングによる隠蔽工作： 検知を回避するための高度な隠蔽技術。

攻撃者が採用した高度な隠蔽技術

特に注目すべきは、攻撃者が検知を避けるために用いた以下の技術です。

三重API地理的クローキング（Geo-Cloaking）： インドネシアのモバイル端末からアクセスした場合のみ違法ギャンブルサイトへ誘導し、日本のIPやPC端末（捜査機関やセキュリティ研究者を含む）からのアクセスは「無害なループ」へ転送することで証拠を隠滅しようとしました。これにより、通常の調査では攻撃の実態が掴みにくい状況を作り出していました。
ブランド詐称とAMPの悪用： Cloudflare Pagesの無料サービスを悪用し、Medi Face社のブランド名（medi-face / fraise-clinic）を冠した偽ページを作成。Google公式のAMP（Accelerated Mobile Pages）フォーマットを使用することで、検索エンジンからの信頼性を偽装していました。
Telegramを用いたC2（指揮統制）： 実行犯グループはTelegramのプライベートチャンネルを利用し、暗号化された環境下で作業分担や進捗を共有しながら協調攻撃を展開していました。

デジタルフォレンジックと法的措置の進捗

Medi Face社は、攻撃者が証拠隠滅を図るために侵入に用いたファイルを削除したにもかかわらず、迅速なデジタルフォレンジックを完了。削除ファイルのキャッシュ断片やファイルシステムメタデータ、22万行を超えるサーバーアクセスログを保全しました。この削除行為自体が、証拠隠滅の故意を示す付加的証拠となります。

解析の結果、首謀者と思われる人物の接続元IPアドレスが、インドネシアを経由した防弾ホスティング（サイバー攻撃や違法行為に使われることを許容するホスティングサービス）の背後に、国内（東京都内・永田町〜六本木付近）から検出されています。同社は現在、刑事告訴を含む厳格な法的措置への移行準備を進めており、国際捜査共助の申請も視野に入れています。

脅威インテリジェンスの活用と情報提供のお願い

今回のレポート公開は、医療業界に留まらず社会全体のサイバーレジリエンス（サイバー攻撃を受けても迅速に回復し、事業を継続する能力）向上を目的としています。情報システム担当者やDX推進担当者は、この解析レポートを自社の脅威インテリジェンスとして活用し、セキュリティ水準の向上に役立てることが可能です。

詳細な技術レポート全文およびIoC一覧は、有識者向けにGitHubにて公開されています。また、Medi Face社は、同一手口による他の被害医療機関・企業の発見、解析内容へのフィードバック、攻撃者インフラのOSINT（Open Source Intelligence：公開情報を活用した調査）調査など、世界中のセキュリティ有識者からの情報提供を広く求めています。