米ニューメキシコの病院を止めたハッカーが謝罪　データは返さないまま

アメリカのニューメキシコ大学の病院が、10月26日の昼に止まった。ランサムウェアの攻撃で、救急車の受け入れを2時間止め、その日の外来手術と予約を全部キャンセルした。そして翌日、犯行を名乗る集団が「ごめん」と書き込んだ。えっ、謝るんだ。

集団の名前はBYOD。10月27日に出した声明で、病院部門に限って復号キーを無料で渡すと書いた。理由はこうだ。「we did not know that it was running machines related to assisting patients in real-time」。患者の治療をその場で支えている機械が動いているとは知らなかった、という意味だ。さらに「We have morals and we have a heart, we are not villains」とも書いている。自分たちには道徳も心もある、悪党ではない、と。

謝ったのと同じ文に、こう書いてある

ただ、同じ声明を少し先まで読むと、様子が変わる。かっこの中にこう足してある。「we would keep it locked if it was appointments, patient information + research data only」。予約と患者情報、それに研究データだけだったら、ロックしたままにしていた、という意味だ。

鍵を渡すのは病院部門だけ。盗んだデータは「we are still going to keep the data」、つまり手元に置いたままだと書いている。BYODは、学生と職員の社会保障番号、人事と給与の記録、学生記録、電子カルテの名簿まで取ったと主張している。

患者への申し出もついている。被害にあった患者が証拠を出せば、1人あたり最大2,500ドル（約39万円）払う、と。ただ、証拠を渡す先は匿名の相手だ。

大学は「返事をするな」と言った

ニューメキシコ大学の側は、10月28日の発表で、この金の話にはっきり線を引いた。事件の責任を主張する相手に、患者も学生も職員も返事をしたり関わったりしないように、と書いた。理由は、支払いや補償の虚偽の申し出など、別の詐欺に使われることがあるからだ。大学は、脅しの背後にいるどのグループにも譲歩していないとも説明した。接触があればFBIのネット犯罪の通報窓口に届けてほしい、と呼びかけている。

復旧そのものは速かった。救急車の迂回は26日の12時30分から14時30分まで。その日の午後からシステムを順に戻した。27日には外来の予約が再開し、病院は通常に戻った。大学は、調べた結果、影響は利用者の端末までで、中核のネットワークやサーバーには入られていないとしている。BYODの「3万6千台を侵害した」という主張と、大学の説明は食い違ったままだ。

「越えない線」を、数字で見ると

ハッカー集団が病院を攻撃して謝るのは、初めてではない。2023年には、LockBitという集団がトロントの小児病院への攻撃を謝り、無料の復号ツールを出している。だから今回も「犯罪者にも越えない線がある」と読む人がいる。

セキュリティの側から見ると、そうは見えない。BYODは1か月ほど前に現れた新顔で、被害を主張しているのはまだ6件ほどだ。自分たちの行為を、弱点を暴くペンテストだと説明している。鍵を無料で出すのも、謝るのも、名前を広める働きをする。

謝罪では戻らないものもある。アメリカの経済学の学術誌（American Economic Journal: Economic Policy、2026年2月号）に載った研究では、ランサムウェア攻撃が始まった時点ですでに入院していた患者の院内死亡率が、34〜38パーセント上がっていた。入院の数は攻撃の週に17〜24パーセント減り、元に戻るまで3週間かかっていた。

そしてこの病院は、ニューメキシコ州にただ一つのレベル1外傷センターだ。州で唯一のやけど専門の病棟と小児病院も、同じ場所にある。10月26日の2時間、救急車の行き先が変わったのは、その病院だった。