Opinionニュース

フランス血液施設の委託先にサイバー攻撃。冷蔵制御の改変が示す医療供給網の穴

2026/11/5更新 2026/11/59分で読める

フランスの血液事業を担うEFS（フランス血液機関）の3施設で、血漿などを保管する冷蔵設備の温度と霜取り設定が不正に変更された。攻撃はEFSそのものではなく、冷蔵設備の委託先を経由して11月2日に発生した。監視システムが異常を検知し、血液製剤や検体の損失、健康被害は確認されていない。[1]

被害を防いだのは攻撃を受けなかったことではない。制御系とは別の監視と警報が動き、職員が製剤を移動・保全できたことである。医療機関のサイバー対策は患者情報や電子カルテだけでなく、温度、電力、空調といった設備の委託先まで含めて考える必要がある。

温度と霜取りの設定が「極端に高い値」へ変わった

EFSの声明によると、影響を受けたのは血液製剤を医療機関へ送る前に保管する低温室と、バイオバンクの検体を保管する設備である。攻撃者は温度と霜取りのしきい値を「極端に高い値」へ変更した。3施設で異常が起きたが、監視と警報によって早期に発見された。製剤や検体は移動または安全な状態に置かれ、採血と病院への供給は中断しなかった。[2]

フランス保健省も、11月2日に複数の地域施設で冷蔵室の監視・制御システムが影響を受けたと説明した。保管品の損傷はなく、国家情報システムセキュリティ庁（ANSSI）と保健省が調査している。攻撃主体や侵入経路は公表されていない。[3]

一部報道は設定値が110度まで引き上げられたと伝えたが、これはEFSの公式声明が示した数字ではない。確認できるのは「極端に高い値」への変更と、製剤の損失がなかったという点までだ。[1]

輸血用の新鮮凍結血漿が入ったバッグ — 新鮮凍結血漿のイメージ。今回被害を受けた施設で撮影されたものではない。出典：Wikimedia Commons / DiverDave（CC BY-SA 3.0）

狙われたのは血液機関ではなく冷蔵設備の委託先

EFSは、サイバー攻撃の直接の標的は冷蔵設備を提供する事業者だったと説明している。設備会社Coolworldは、報道されている脆弱性が第三者の部品に関係し、自社の直接管理外にあったとの見解を示した。影響は限られた台数にとどまり、対策を進めているという。[1]

ただし、どの製品や脆弱性が使われたかは調査中である。10月にフランスなどのスーパーで発生した冷蔵・冷凍設備への攻撃と似ているが、同じ攻撃者や同じ侵入経路だとは確認されていない。欧州刑事警察機構は10月の複数事案について各国当局と連携していたものの、オランダ当局は当時、各事案が結びついていると考える理由はないと説明していた。[4]

ここで企業が見るべき点は、委託先を使っても事業継続の責任は移らないことだ。遠隔保守のアカウント、インターネットから見える管理画面、更新が終わった機器の有無は、医療機関だけでは把握しきれない。契約時のセキュリティ要件と、運用中の資産台帳を接続しなければ、調達先が増えるほど見えない入口も増える。

病院に限った話でもない。食品倉庫、医薬品物流、研究施設、データセンターでは、温度や空調の維持が製品品質やサービス継続の条件になる。設備保守を外部へ任せている企業は、委託先が使う遠隔接続と障害時の連絡手順を自社の管理対象に含める必要がある。

デジタル被害が血液の品質へ直結する

冷蔵設備への攻撃は、画面やサーバーが止まるだけでは終わらない。保存温度を外れた血液製剤は、見た目に問題がなくても患者へ使えるとは限らない。再検査や廃棄が必要になれば、採血から加工、保管、病院への配送までが連鎖して遅れる。

今回は警報が間に合ったため、EFSは製剤の損失も供給停止もないと報告した。これは「被害が小さかった」事例であると同時に、攻撃が物理的な品質管理へ到達した事例でもある。サイバー事故と医療安全を別の会議で扱うだけでは、温度異常を誰が止めるかが抜け落ちる。

制御機器の脆弱性を研究するClarotyは、8月に商業用冷蔵設備の管理基盤で複数の問題を報告し、メーカーが修正したと説明している。一方、10月のスーパー被害では、更新提供が終わった旧型機器が多く含まれていたとメーカーがAPに述べた。[5][4] 修正の存在だけでは、現場の全機器が更新されたことを意味しない。