フランスで献血の収集と血液製剤の供給を担う公的機関「フランス血液機構（EFS）」は、冷蔵設備を管理する委託業者が11月2日にサイバー攻撃を受け、国内3施設の冷蔵室で温度や霜取り機能の設定値が異常に高い値へ変更されたと発表しました。EFSによると血液製剤と検体への被害は回避され、供給への影響も確認されていません。

標的になったのはEFS本体の基幹システムではなく、冷蔵設備を遠隔で監視・制御する委託業者側の仕組みとされています。攻撃者がどの経路で侵入し、なぜ設定を変更したのか、身代金要求や犯行声明があったのかは公表情報だけでは確定していません。

冷蔵室には、医療機関へ届ける前の血液製剤や、研究・検査に使う検体が保管されていました。これらは定められた温度範囲を外れると品質を保証できなくなる場合があります。温度が一時的に表示上変わっただけか、実際の庫内温度がどこまで上昇したかを区別する必要があります。

報道では設定値が110度に変更されたと伝えられていますが、冷蔵庫が実際に110度まで加熱されたという意味ではありません。制御画面上の異常な設定と、製剤が経験した温度は別です。EFSが被害を回避したと説明している点を踏まえ、製剤の汚染や廃棄を断定してはいけません。

血液製剤には赤血球、血小板、血漿などがあり、適切な保存条件や使用期限が異なります。温度逸脱が疑われた場合は、記録計、警報、扉の開閉、予備設備への移動を確認し、品質部門が使用可否を判断します。見た目だけで安全性を判定することはできません。

医療機関にとって、血液の供給が止まれば手術、救急、出産、がん治療などに影響します。今回は供給への影響が確認されていませんが、複数施設が同時に標的になった点は重要です。一つの委託先や同じ制御製品への依存が、地域をまたぐ共通障害になる可能性があります。

産業用制御システムは、建物の空調、冷凍倉庫、工場、水道でも使われます。インターネット経由の保守は迅速な支援に役立つ一方、認証が弱い、古い機器を更新できない、接続先が把握されていないといった弱点が残ることがあります。

医療施設では、診療記録を扱うITと設備制御を別のネットワークに分け、侵入が広がりにくくする必要があります。ただし、分離したつもりでも保守用端末や共通アカウントが橋渡しになる場合があります。実際の通信経路を図にし、不要な接続を閉じます。

遠隔保守のアカウントには、多要素認証、接続時間の制限、操作ログ、個人ごとのIDが必要です。退職者や契約終了後のアカウントを残さず、緊急時の共有IDも使用後に変更します。装置が古く機能を追加できない場合は、外側のゲートウェイで制限します。

温度監視は、制御システムと独立したセンサーを併用すると異常を発見しやすくなります。同じソフトウェアの表示だけを信じると、攻撃で数値まで改変された時に気づけません。現地の温度計、別回線の警報、人による定期確認を重ねます。

警報が鳴った時の連絡先も重要です。夜間や休日に担当者へ届かなければ、技術的に検知できても製剤を移す時間を失います。施設、委託先、品質管理、医療機関の連絡順を決め、実際に電話がつながるか訓練します。

委託契約では、サイバー事故を何時間以内に報告するか、ログを何日保存するか、再委託先をどう管理するかを定めます。「安全に管理する」という抽象的な条項だけでは、事故時に必要な情報を得られません。保守の利便性と責任範囲を具体化します。

医療機関が委託先へ厳しい基準を求める場合、費用も適正に負担する必要があります。安さを優先して古い機器や少人数の監視を選び、事故後だけ責任を追及する運用は持続しません。更新計画と停止できる時間を経営側が理解します。

利用者や献血者が今回の報道を見て、フランスの血液製剤すべてが危険だと考える必要はありません。EFSは製剤への被害がなかったとしています。個別の治療や輸血を自己判断で拒否せず、心配な場合は担当医から品質管理の説明を受けてください。

献血の協力を控える理由にもなりません。供給への不安が広がって献血者が減れば、別の医療リスクが生じます。EFSや医療機関が受付変更を案内していない限り、公式情報を確認して通常の手続きに従います。

今回の事件は、データを盗む攻撃だけでなく、物理的な環境を変える攻撃の危険を示します。画面上の不正操作が製品、設備、人の安全へつながるため、情報システム部門と施設管理部門が別々に対策していては隙間が生まれます。

攻撃者の目的が妨害、金銭、示威、別の侵入を隠すことのどれだったかは未確認です。欧州の複数国で冷蔵設備を狙う攻撃が報じられていますが、同一集団による一連の事件かは捜査と技術分析を待つ必要があります。似た現象だけで結び付けないでください。

捜査では、委託先の認証記録、遠隔操作の送信元、設定変更の時刻、マルウェア、暗号資産の要求などが手掛かりになります。公表を急ぎすぎると攻撃者へ調査状況を知らせる面がある一方、利用者と同業施設へ早く注意喚起する必要もあります。

同種の施設は、特定製品名が公表されるのを待たず、外部公開された管理画面、初期パスワード、更新プログラム、バックアップ設定を点検できます。設定ファイルを安全な場所へ保存し、不正変更時に正常な状態へ戻せるようにします。

復旧訓練では、インターネットを切った状態で冷蔵設備を手動運転できるか、予備電源が何時間持つか、製剤を別施設へ運ぶ車両と容器があるかを確認します。サイバー対策であっても、最後は現場の物流と人員が品質を守ります。

事故後は、製剤が無事だったという結果だけで終えず、なぜ設定変更が可能だったかを検証します。被害が出なかったのが設計した防御の成果か、偶然早く気づいたためかで、必要な再発防止策は違います。独立した監査と訓練結果の確認が役立ちます。

続報では、影響を受けた施設と設備の範囲、実際の温度変化、攻撃経路、委託業者の対策、欧州の他事案との関連を確認します。廃棄や供給制限が新たに発表された場合は、対象となる製剤と地域を正確に示す必要があります。

温度記録を検証する時は、センサー自体の校正と時刻のずれも確認します。攻撃時刻と警報、職員の対応、製剤移動を同じ時間軸に並べなければ、どの製品が影響を受けたか判断できません。記録の改ざん防止と定期的な時刻同期が重要です。

予備冷蔵室があっても、同じ制御ネットワークや同じ委託先につながっていれば同時に影響を受ける可能性があります。予備設備は物理的に別なだけでなく、認証、通信、電源の共通点を調べます。地域外との相互支援も計画します。

製剤を別施設へ運ぶ際は、輸送中の温度を記録し、受け入れ側の容量を確認します。緊急移送を急ぐあまりラベルや追跡記録が失われると、使える製剤まで廃棄することになります。物流事業者を含む演習が必要です。

研究用検体は患者治療へ直ちに使わなくても、長年の研究や希少疾患の資料として代替できない場合があります。金額だけでは損失を測れません。試料ごとの重要度、同意範囲、複製の可否を踏まえた優先移動計画を作ります。

患者や献血者の個人情報が漏えいしたという発表はありませんが、設備委託先がどの情報へアクセスできたかを確認する必要があります。温度管理に氏名は不要でも、製剤番号や施設情報から業務状況が分かる場合があります。権限を必要最小限にします。

公的医療機関が事故を説明する時は、技術用語だけでなく、製剤が安全と判断された根拠、供給への影響、患者が取るべき行動を示します。「影響なし」という一文だけでは不安が残ります。分からない点は調査中と明記します。

規制当局は、医薬品の品質管理基準とサイバーセキュリティ基準を別々に監査するだけでなく、制御システムの異常が品質判断へどうつながるかを確認します。監査部門間の情報共有がなければ、境界の弱点を見落とします。

設備メーカーには、販売後の更新提供期間、脆弱性の連絡窓口、安全な初期設定を示す責任があります。医療施設は長期間機器を使うため、短いサポート期間では更新できない装置が残ります。調達時に保守終了日まで比較します。

欧州全体で同種の設備を使う施設は、攻撃指標が共有された場合に自組織のログを遡って調べます。異常がなかったという結論にも、調査範囲と期間を記録します。確認できない状態を「被害なし」と表現しないことが重要です。

医療機関が追加の安全確認や供給変更を発表した場合は、その地域と対象製剤を確認してください。今回の説明だけを根拠に、別の国や施設の製剤まで危険だと広げることはできません。

写真は医療現場を表すイメージで、フランス血液機構、対象施設、血液製剤、攻撃を受けた冷蔵設備を撮影したものではありません。写真から製剤の安全性や施設の管理状況を判断することはできません。

まとめ

フランス血液機構の委託先が攻撃され、3施設の冷蔵室で異常な設定変更が起きましたが、製剤と検体の被害は回避されました。医療の安全は診療情報だけでなく設備制御にも依存しています。独立監視、手動運転、委託先を含む訓練が再発防止の鍵になります。