クリニックのホームページが攻撃されたら何が起きるか：報告義務・損害賠償・休業までの流れ

外から見える弱点は、自動で探して回る攻撃に見つかりやすい

ホームページへの攻撃の多くは、誰かが特定のクリニックを狙って始めるものではありません。インターネット上のホームページを機械的に巡回し、弱点のあるところを自動で探して回る仕組みが、昼夜を問わず動いています。病院の規模や知名度とは関係なく、条件に当てはまれば見つかる、というのが実際のところです。

見つかりやすいのは、外から見て分かる弱点です。たとえば次のようなものがあります。

• サポートが終わった古い版のPHP（ホームページを動かす仕組みの一つ）を使っている
• WordPressや追加機能（プラグイン）が、長いあいだ更新されていない
• アドレス欄に鍵マークが出ない、または証明書の期限が切れている
• 使われていない古いページや、試しに作った画面が残ったままになっている

こうした弱点は、ホームページを開いた時の応答や、ページの中に書かれている情報から読み取れることがあります。言い換えると、攻撃する側にとっても「入りやすそうな所」の目印になります。逆に言えば、ここを減らしておくことが、後の流れ全体を起こりにくくする一番の近道です。

ページの書き換えと、問い合わせ内容の漏えい

弱点から入り込まれると、まず起きやすいのがページの書き換え（改ざん）です。見た目は普段どおりのまま、裏側に仕掛けが加えられることも少なくありません。

Googleの検索結果に警告が付くと、元に戻した後も解除の手続きが必要になり、すぐには消えません。その流れは「危険なサイト」とGoogleで表示された時の原因と解除の流れで解説しています。

クリニックのホームページで特に気をつけたいのが、問い合わせフォームです。「どんな症状で受診を考えているか」「持病や服薬の有無」といった内容が書き込まれることがあり、ここが漏れると、次の項目で説明する報告の義務につながります。フォームの扱いについては問い合わせフォームの個人情報、クリニックが気をつけたいこともあわせてご覧ください。

病歴や症状が漏れたら：1件でも報告と本人への通知が義務

病歴や症状、受診の内容などは、個人情報保護法で「要配慮個人情報」と呼ばれ、特に慎重な扱いが求められる情報です。2022年4月に施行された改正個人情報保護法（26条）により、要配慮個人情報が漏えいした場合、または漏えいしたおそれがある場合は、件数に関係なく1件でも、個人情報保護委員会への報告と、本人への通知が義務になりました。

報告には期限があります。個人情報保護委員会の案内（2022年）では、まず速やかに（概ね3〜5日以内）速報を出し、そのうえで確報を発覚日から30日以内に出すこととされています。不正な目的で行われたおそれがある場合、たとえば外部からの攻撃による場合は、確報の期限は60日以内です。

ここで大切なのは「おそれ」も含まれる点です。漏れたと確定していなくても、フォームの内容が外へ送られていた形跡がある、といった段階で対応が始まります。原因の調査と報告の準備を同時に進めることになるため、院長や事務長にとっては、診療と並行して大きな負担になります。

出典：個人情報保護委員会「漏えい等報告・本人通知の義務化」、同「漏えい等の対応とお役立ち資料」。実際に報告が必要かどうか、何をどう書くかは状況によって異なりますので、個別の判断は弁護士など専門家にご確認ください。

医療機関には、サイバーセキュリティの措置が義務になっている

個人情報保護法とは別に、医療機関には医療法の側からも決まりがあります。2023年4月から、医療法施行規則（14条2項）により、病院・診療所の管理者は、医療の提供に支障が出ないよう「サイバーセキュリティを確保するために必要な措置」を講じることが義務になりました。あわせて、保健所などによる立入検査でも、この取り組みが確認項目に加わっています（厚生労働省、2023年）。

この義務の中心は、電子カルテや院内のネットワークなど医療の提供を支える仕組みです。ただ、ホームページから予約や問い合わせを受け付けている場合、院の情報の入り口の一つであることには変わりありません。攻撃を受けた後に「どんな対策をしていたか」を説明する場面では、ホームページの管理の状況も含めて問われることになります。

出典：厚生労働省「医療機関の管理者が遵守すべき事項へのサイバーセキュリティ対策の位置づけ」（2023年）。院として押さえておきたい点は医療機関のサイバーセキュリティ対策とホームページ：院長が押さえたい基本で解説しています。

損害賠償と、地域での信用

情報が漏れた時に、漏れた本人から損害賠償を求められることもあります。よく知られた例として、エステティックTBCの会員情報がインターネット上に流出した事件があります。東京地方裁判所は2007年2月、運営会社などに対し、原告1人あたり3万5千円（一部の原告は2万2千円）の賠償を命じました。漏れたのは、氏名や連絡先に加えて、関心のあるエステのコースなど、身体に関わる内容を含む情報でした。

病歴や症状は、法律の上でも要配慮個人情報として、身体に関わる情報と同じかそれ以上に慎重に扱われる情報です。賠償額は事案ごとに判断されるため一概には言えませんが、「人数が少ないから小さな話で済む」とは言い切れません。

金額以上に重いのが、地域での信用です。クリニックは、近隣の患者さんの口コミや紹介に支えられていることが多く、「あの医院から情報が漏れたらしい」という話は、数字に表れにくい形で長く残ります。本人への通知を受け取った患者さんやご家族にとっても、受診を続けるかどうかを考えるきっかけになりえます。

調査と復旧の間、ホームページや予約が止まる

攻撃を受けたと分かると、被害を広げないために、ホームページの公開や、ホームページからの予約受付を一時的に止めることになります。どこから入られたか、何が書き換えられたか、何が漏れたかを調べ、入り口をふさいでから元に戻すまで、期間は状況によってさまざまです。

1. 公開と予約を止める閲覧者への被害を防ぐため、メンテナンス中の表示などに切り替えます。ネット予約は電話での受付に切り替えることになります。
2. 原因と被害の範囲を調べる制作会社や専門の調査会社と、入り込まれた経路や漏れた情報の有無を調べます。調査費用がかかることもあります。
3. 報告と通知を進める要配慮個人情報が関わる場合は、前の項目の期限に沿って報告と本人への通知を進めます。
4. ふさいでから元に戻す仕組みを新しい版に更新し、パスワードを変えたうえで公開を再開します。検索結果の警告の解除にも時間がかかります。

この間、受付の電話対応が増え、院長や事務長は説明や手続きに時間を取られます。新しい患者さんがホームページから来なくなる影響も重なり、診療と経営の両方に響きます。規模や状況によっては、最悪の場合、経営を続けることが難しくなることもありえます。

改ざんに気づいた直後の動き方は、ホームページが改ざんされた時の対処：クリニックが最初にやることで手順に沿ってまとめています。

院がやっておくこと：制作会社に確認する3つ

ここまでの流れを見ると、手を打てるのは一番手前の「外から見える弱点」です。専門的な作業は制作会社や保守会社に任せるとしても、院として次の3つを確認しておくと、状況がぐっと見えやすくなります。電話やメールで聞けば、数日で答えが返ってくる内容です。

1. PHPの版「ホームページで使っているPHPの版はいくつですか。サポート期間内のものですか」と確認します。サポートが終わった版のままなら、更新の予定を聞いておきます。
2. WordPressと追加機能の更新日WordPressを使っている場合、本体と追加機能（プラグイン）を最後に更新したのはいつかを確認します。何か月も止まっているなら、更新を誰が担当するかを決めます。
3. 問い合わせフォームの送信先とバックアップフォームの内容がどこへ送られ、どこに残っているか、そしてホームページの控え（バックアップ）を誰がどこに保管しているかを確認します。

日頃の点検の項目はクリニックのホームページ セキュリティチェックリスト（15項目）にまとめています。

今日すぐ何かが起きる話ではない。弱点を減らすのが一番安い備え

ここまで、攻撃された時に起こりうることを順に見てきました。とはいえ、これは「今日すぐ何かが起きる」という話ではありません。多くのクリニックのホームページは、問題なく動いています。

ただ、報告の手続き、調査や復旧の費用、休止中の影響、地域での信用と、攻撃された後にかかるものを並べると、外から見える弱点を減らしておくことが一番安い備えだと分かります。まずは、自院のホームページが外からどう見えているかを知るところから始めてみてください。

HPドクターの無料の自動診断では、ホームページのアドレスを入れるだけで、古い仕組みが見えていないか、鍵マークに問題がないかなどを約10秒で確かめられます。結果を見て気になる点があれば、担当者が詳しく確認する無料セカンドオピニオンもご利用いただけます。今の制作会社との契約はそのままで、月額10,000円〜30,000円（税別）、初期費用0円で保守をお引き受けしています。