鳳應会グループ、ウェブインフラにサイバー攻撃 解析・証拠保全完了し刑事告訴を検討

医療法人鳳應会グループは8月14日、グループのウェブインフラを狙ったサイバー攻撃を12日夜に検知し、デジタルフォレンジック解析と証拠保全を完了したと発表した。グループ企業で医療情報サービスを手掛けるMedi Face（メディフェイス、東京・中央区）が解析を実施した。患者情報などの個人情報漏えいや診療への影響の有無は明らかにしていない。同グループでは保全した証拠を基に刑事告訴や損害賠償請求などの法的措置を検討する。

鳳應会グループの解析によると、攻撃はPHPのウェブシェルを起点に、グーグルのサーチコンソール（GSC）の所有権奪取、ホスティングプラットホーム「Cloudflare Pages（クラウドフレアページズ）」を使ったブランド詐称、アクセス元に応じて表示内容を変える「ジオクローキング」などを組み合わせていたという。同グループでは検索結果から違法ギャンブルサイトなどへ誘導するSEOポイズニングを狙った攻撃とみている。

攻撃者は海外のIPアドレスなどを経由して接続し、日本国内など特定のアクセス元には不正なコンテンツを表示しない仕組みを設けていたという。「Cloudflare Pages」上では、メディフェイスなどのブランド名を使った偽ページを作成し、検索エンジン経由で別サイトへ誘導する仕組みも確認したとしている。

鳳應会グループとメディフェイスは、削除されたバックドアファイルのキャッシュ断片やファイルシステムの情報、22万3701行のサーバーアクセスログなどを解析し、証拠を保全した。解析結果から、単発的な不正アクセスではなく、数カ月前から準備された多段階攻撃だった可能性があるとみている。

鳳應会グループは、攻撃に使われたIPアドレスやサーバーログなどのIoC（侵害の痕跡）を含む技術解析結果を公開した。ウェブシェルやジオクローキング、ブランド詐称などの手口を医療機関やセキュリティー関係者と共有し、同様の被害防止につなげる。

鳳應会グループは、攻撃を主導した人物とみられる接続元IPアドレスを東京都内で確認したという。今後は保全したデータを基に攻撃主体の特定を進め、刑事告訴や損害賠償請求などの法的措置を検討する。