米医療機関の97%がサイバー攻撃を経験、74%で患者ケアに支障！Proofpointが2026年10月13日に調査公表、ランサムウェア・AI情報漏えいの影響と対策

2026年10月13日、ProofpointとPonemon Instituteは、米国の医療機関におけるサイバー攻撃の実態をまとめた調査結果を公表しました。調査対象の97%が過去12か月に少なくとも1回のサイバー攻撃を経験し、そのうち74%が患者ケアへの支障を報告しています。特にランサムウェア、サプライチェーン攻撃、クラウドアカウント侵害、AIによる機密情報漏えいが重要なリスクとして浮上しました。医療機関の情報システム担当者やセキュリティ管理者は、患者ケアの継続性とAI利用時の情報保護を優先して確認する必要があります。

Proofpointが2026年10月13日に公表した医療機関のサイバー攻撃調査

ProofpointとPonemon Instituteが公表した第5回「Cyber Insecurity in Healthcare」レポートは、米国の医療機関に所属するIT・ITセキュリティ担当者705人の回答を基にしています。

調査では、医療機関へのサイバー攻撃が頻度、コスト、医療業務への影響のいずれの面でも深刻化していることが示されました。

過去12か月間にサイバー攻撃を経験した組織は97%に達し、攻撃を経験した組織の74%が患者ケアに支障が出たと回答しました。

また、組織当たりの平均攻撃件数は2025年の43件から51件へ増加しています。最も高額なサイバー攻撃による平均損失額も390万ドルから420万ドルに上昇しました。

今回の結果は米国の調査回答者に基づくものであり、世界中の医療機関の97%が攻撃を受けたことを意味するものではありません。

サイバー攻撃による患者ケアへの影響と主要データ

今回の調査では、サイバー攻撃が医療情報システムの問題だけにとどまらず、検査や処置の遅延、入院期間の延長、医療上の合併症といった患者ケアへの影響につながっていることが明らかになりました。

調査項目	2026年の結果	影響・比較
過去12か月に攻撃を経験	97%	調査対象の医療機関
攻撃による患者ケアの中断	74%	攻撃経験組織の回答
平均攻撃件数	51件	2025年は43件
最も高額な攻撃の平均損失	420万ドル	2025年は390万ドル
通常業務の中断による平均損失	139万ドル	最大の費用項目
作業停止・生産性低下による平均損失	105万ドル	業務停止に伴う負担
サプライチェーン攻撃による患者ケアの中断	90%	2025年は87%
ランサムウェアによる患者ケアの中断	72%	2025年は67%
クラウド・アカウント侵害による患者ケアの中断	65%	クラウド利用に伴うリスク
AIで扱う機密データの管理統制がない	60%	AI利用時の情報保護に課題

特に注目すべき点は、攻撃による損失がシステム復旧費用だけではないことです。通常の医療業務が中断することによる平均損失額は139万ドルで、調査で示された費用項目の中で最大となっています。

医療機関では、サイバー攻撃の被害評価において、情報漏えいや復旧コストに加えて、医療業務を継続できるかどうかを確認する必要があります。

サプライチェーン攻撃が患者ケアに最大の影響

調査対象となった攻撃の種類は、クラウド・アカウント侵害、ランサムウェア、サプライチェーン攻撃、ビジネスメール詐欺（BEC）の4種類です。

このうち、サプライチェーン攻撃を経験した組織の90%が患者ケアへの支障を報告しました。2025年の87%から上昇しており、調査対象の攻撃種類の中で最も高い割合となっています。

サプライチェーン攻撃は、医療機関が利用する外部サービスや取引先などを経由して影響が広がる攻撃です。医療機関自身のシステムだけを監視していても、外部サービスに依存する業務が停止する可能性があります。

患者ケアに支障が出た回答者のうち、4種類の攻撃を通じた平均では、53%が医療処置に伴う合併症の増加、52%が入院期間の延長、52%が検査や処置の遅延を報告しました。

これらの割合は調査回答に基づくものであり、個々の患者について攻撃と医療上の結果との因果関係がすべて立証されたという意味ではありません。

ランサムウェア被害では72%が患者ケアの中断を報告

ランサムウェアに関する調査では、身代金の支払いが減少している一方で、医療業務への影響は拡大していることが示されました。

ランサムウェア攻撃を経験した組織のうち、身代金を支払った割合は2025年の33%から31%に低下しました。最も高額な身代金支払額の平均も120万ドルから110万ドルへ減少しています。

しかし、ランサムウェア攻撃によって患者ケアが中断した割合は2025年の67%から72%に上昇しました。

さらに、患者ケアの中断を報告した組織の70%が入院期間の延長を挙げています。

この結果から、身代金の支払いを回避できたことだけでは、患者ケアへの影響を防げたとは判断できないことが分かります。

医療機関がランサムウェア対策を評価する際は、マルウェアの検知やデータ復旧だけでなく、電子的な医療情報を利用できない状況でも診療を継続する手順が重要になります。

AI導入が進む一方、60%の医療機関で機密データの管理統制が不足

今回のレポートでは、医療機関におけるAI利用とセキュリティ管理の差も重要な問題として取り上げられています。

回答組織の45%は、サイバーセキュリティ業務、またはサイバーセキュリティと患者ケアの両方にAIを組み込んでいます。さらに30%が今後の導入を計画しています。

一方で、60%の組織ではAIシステムで使用する機密データに関する管理統制が整備されていません。

AIシステム、AIエージェント、生成AIに特化したセキュリティ対策を導入している組織は42%にとどまります。

また、従業員による未承認AIツールの利用状況を完全に把握できている組織は32%でした。

AI利用で懸念されている3つの情報セキュリティリスク

医療機関が挙げたAI固有の主な懸念は、AIベンダーに関連するサプライチェーンリスクが40%、プロンプトを通じた情報漏えいが36%、AIを利用したフィッシングやソーシャルエンジニアリングが34%でした。

さらに、データ損失の原因として24%の回答者が、適切な制御のないAIエージェントを挙げています。

AIエージェントは、指示に基づいて情報の取得や処理などを実行するAIシステムです。適切なアクセス制御やデータ利用制限がない場合、機密情報の取り扱いに新たなリスクが生じます。

医療機関ではAIの導入可否だけでなく、AIがどの患者情報にアクセスできるか、入力されたデータがどのように取り扱われるかを確認する必要があります。

医療情報の漏えいは患者の安全にも影響

調査対象の組織では、過去2年間に機密性の高い医療情報に関するデータ損失や外部流出が平均21件発生しています。

こうした事案を経験した組織の54%が患者ケアへの支障を報告しました。

さらに、そのうち56%が死亡率の上昇を報告しています。

これは回答者が報告した関連する影響であり、医療情報の漏えいが直接的に死亡率を上昇させたと因果関係を確定するものではありません。

データ損失の主な原因としては、引き続き従業員の不注意が最も多く報告されています。また、管理上の制約が不十分なAIエージェントも新しい原因として挙げられています。

患者情報を保護する対策では、外部からの不正侵入だけでなく、従業員の情報取り扱いやAIシステムによるデータアクセスにも注意が必要です。

クラウドへの医療システム移行でアカウント侵害リスクも拡大

医療機関のクラウド利用も進んでいます。

臨床アプリケーションをクラウドへ移行した組織は2025年の30%から35%に増加しました。また、44%の組織が今後2年以内に移行を予定しています。

一方、クラウド・アカウント侵害は組織当たり平均で最大20件発生しており、こうした侵害を経験した回答者の65%が患者ケアへの支障を報告しました。

クラウド移行により医療システムへのアクセス方法が変化するため、医療機関ではアカウントの認証、アクセス権限、外部接続の管理を含む運用上の確認が重要です。

クラウドサービス側の対策だけに依存せず、医療機関側で利用者アカウントと機密情報の取り扱いを管理する必要があります。

医療機関が優先して確認すべきサイバーセキュリティ対策

今回の調査は被害実態を示すもので、すべての医療機関に共通する具体的な設定手順を提示したものではありません。ただし、報告されたリスクから、実務上は次の項目を優先して確認することが考えられます。

1. 医療業務の中断に備えた継続手順を確認する

ランサムウェアやクラウド障害などによってシステムが利用できなくなった場合でも、重要な診療業務を継続できるか確認します。

1. 停止すると患者ケアに影響するシステムを特定する。
2. システム停止時の代替業務手順を確認する。
3. バックアップから必要な情報を復元できるか検証する。
4. 復旧までの連絡体制と対応責任者を確認する。

2. AIエージェントと生成AIの機密情報アクセスを管理する

AIシステムが利用できるデータの範囲と利用者の権限を確認します。

1. 業務で使用しているAIツールとAIエージェントを把握する。
2. 患者情報などの機密データを入力できる範囲を定める。
3. AIエージェントのアクセス権限を必要な範囲に制限する。
4. 未承認AIツールの利用状況を確認する。

特に、患者情報を外部サービスへ送信する処理については、組織の情報管理ルールに適合しているか事前確認が必要です。

3. 外部サービスとクラウドアカウントを点検する

サプライチェーン攻撃による患者ケアへの支障が90%に達していることから、医療機関内部だけでなく、外部サービスへの依存状況も確認対象になります。

1. 重要な医療業務で使用する外部サービスを洗い出す。
2. 取引先やサービス提供元で障害が発生した場合の影響を確認する。
3. クラウドアカウントの多要素認証とアクセス権限を点検する。
4. 不正アクセスを検知した場合の対応手順を確認する。

これらは今回の調査結果から考えられる一般的な対策であり、実際の優先順位は各医療機関のシステム構成や患者ケアへの影響度に応じて判断する必要があります。

FAQ：医療機関へのサイバー攻撃に関するよくある疑問

Q. 医療機関の97%がサイバー攻撃を受けたというのは本当ですか？

ProofpointとPonemon Instituteが公表した調査では、米国の医療機関に所属する705人のIT・ITセキュリティ担当者の回答に基づき、97%の組織が過去12か月に少なくとも1回の攻撃を経験したと報告されています。米国のすべての医療機関や世界全体についての割合ではありません。

Q. ランサムウェア攻撃は患者にどのような影響を与えますか？

調査では、ランサムウェア攻撃を経験した組織の72%が患者ケアへの支障を報告しました。そのうち70%が入院期間の延長を挙げています。システム停止が診療業務に影響することが重要な問題です。

Q. 医療機関でAIを利用すること自体が危険なのでしょうか？

今回の調査はAIの利用自体を危険と断定していません。問題として示されたのは、AI利用の拡大に対して、機密データの管理やAIエージェントのアクセス制御が追いついていないことです。

Q. 患者自身がすぐに対応する必要はありますか？

今回の調査は米国の医療機関全体の傾向を扱っており、特定の病院で情報漏えいやシステム障害が発生したことを通知するものではありません。患者が個別に何らかの被害を受けたと判断する根拠にはなりません。

Q. 医療機関のセキュリティ担当者は何を最優先で確認すべきですか？

患者ケアへの影響が大きいシステムを特定し、停止時の代替手順と復旧方法を確認することが重要です。あわせて、外部サービスへの依存、クラウドアカウントの保護、AIによる機密情報の取り扱いを点検することが考えられます。

まとめ：医療機関のサイバー対策は患者ケアの継続性が重要

2026年10月13日に公表されたProofpointとPonemon Instituteの調査では、米国の医療機関におけるサイバー攻撃の頻発と、それに伴う患者ケアへの深刻な影響が報告されました。

特にサプライチェーン攻撃では90%、ランサムウェアでは72%の被害組織が患者ケアへの支障を報告しており、医療業務を継続するための対策が重要であることを示しています。

また、AI導入の進展に対して機密情報の管理統制が追いついていない組織も多く、AIエージェントの権限管理と情報漏えい防止が新たな確認項目となっています。

医療機関では、サイバー攻撃を防ぐ対策に加えて、攻撃を受けても重要な診療業務を継続・復旧できる体制を確認することが重要です。

出典：Proofpoint・Ponemon Institute「2026 Study on Cyber Insecurity in Healthcare: The Cost and Impact on Patient Safety and Care」（2026年10月13日公表）

関連解説：Proofpoint公式ブログ