九州大学の研究室端末がランサムウェア感染（九州大学病院の患者43名の氏名・手術動画データ流出のおそれ）
公表日
九州大学の研究室のパソコンがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。に感染し、保存されていた九州大学病院の患者43人の氏名と手術動画が外部に流出したおそれがあります。診療への影響はありませんでした。
対象者は？
九州大学病院の患者43人です。氏名と手術の動画データが対象で、外部に流出した可能性を否定できないとされています（公開・悪用は確認されていません）。電子カルテなど診療用のシステムへの影響は確認されていません。
対象の患者の方には、大学から個別に連絡が行われています。問い合わせ先は九州大学病院事務部総務課です。
いますぐできること
- 九州大学病院を受診したことがあり気になる場合は、大学からの個別連絡が届いていないか確認し、分からない点は九州大学病院事務部総務課に問い合わせる
- 九州大学や病院を名乗る不審なメール・電話で、個人情報や支払いを求められても応じない。気になるときは公式サイトに載っている窓口に自分から問い合わせる
何が起きたのか
2026年5月25日、九州大学の研究室が管理するパソコンがサイバー攻撃で不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。に感染したとみられます。不審な動きに気づいてすぐにネットワークから切り離しました。このパソコンには、九州大学病院の患者43人の氏名と手術の動画データが保存されていました。大学は6月10日にこれを公表しました。報道によると、教員がパソコンを起動したときに「Lock Bit Black」という文字と脅迫文が表示されたとされますが、大学はランサムウェアの種類を公表していません。
なぜ起きたのか・なぜ広がったのか
どこから、どのように侵入されたかは、まだ公表されていません。被害がこのパソコンにとどまったのは、診療用のネットワークから切り離されていたためで、電子カルテなどへの影響は確認されておらず、診療も通常どおり続きました。
いまの状況2026-06-10 時点続報待ち
大学は警察と連携して、原因、影響の範囲、侵入の経路を調べています。2026年10月10日の時点で、調査結果や再発防止策の続報は確認できていません。
企業として考えたいこと
患者やお客様の情報が、業務用のシステムの外（研究用や個人のパソコンなど）に保存されていないでしょうか。どこに何があるかを把握できているかを確認しましょう。
技術的な要約
九州大学は2026年6月10日、学内の研究室が管理する端末が5月25日にサイバー攻撃による不正アクセスを受け、ランサムウェアに感染したとみられると公表した。端末には九州大学病院の患者43名の氏名と手術動画データが保存されており、外部に流出した可能性を否定できないとしている（公開・悪用は未確認）。端末は不審な挙動の検知後直ちにネットワークから遮断され、診療用ネットワークから切り離されていたため電子カルテ等の診療用システムへの影響は確認されておらず、診療は通常どおり継続した。FBS福岡放送は、教員が端末を起動した際に『Lock Bit Black』の文字と脅迫文が表示されたと報じた。侵入経路・ランサムウェアの種類は公式には非公表で、警察と連携して調査中。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明九州大学の公表は『サイバー攻撃による不正アクセスを受け、ランサムウェアに感染したとみられる』とし、侵入経路は調査中で非公表。端末が診療用ネットワークから切り離されていたことは明記されているが、研究室ネットワーク・学内ネットワーク・インターネットとの接続状況、リモート接続（RDP/VPN等）の有無、OSや用途は公表されていない。
- 脆弱性
- CVE 非公表不明侵入に用いられた脆弱性・製品は非公表（調査中）
- 攻撃者
- LockBit（LockBit 3.0／LockBit Black）を名乗る 被害組織の言及なしFBS福岡放送の報道として、教員が端末を起動した際に『Lock Bit Black』の文字と脅迫文が表示されたとされる（innovatopia経由で確認）。LockBitのリークサイトへの掲載や犯行声明は確認できなかった。2022年に流出したLockBit 3.0のビルダーにより第三者が同名のランサムウェアを生成できるため、本家グループの犯行とは限らない。
- ATT&CK
影響
- 業務停止
- なし 被害は研究室の端末に限られ、診療用ネットワークから切り離されていたため電子カルテ等の診療用システムへの影響は確認されていない。診療業務は通常どおりで、患者の受診への影響も確認されていない（公式）。
- データ
- おそれ上限 43確定 —人氏名健康情報九州大学病院の患者43名の氏名と手術動画データ。『外部に流出した可能性を否定できない』とされ、公開・悪用は確認されていない（公式）。手術動画は診療情報であり要配慮個人情報（健康情報）に該当すると整理した。動画の件数・内容、氏名以外の属性（ID・生年月日等）の有無は非公表。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
公表された事実：分離された研究端末1台の感染 事実
九州大学によれば、5月25日に研究室が管理する端末が不正アクセスを受けランサムウェアに感染したとみられ、不審な挙動の検知後に直ちにネットワークから遮断された。端末は診療用ネットワークから切り離されていたため、電子カルテ等の診療用システムへの影響は確認されておらず、診療は通常どおり継続した。端末には九州大学病院の患者43名の氏名と手術動画データが保存されており、外部流出の可能性を否定できないとしている。公表時点で公開・悪用は確認されていない。報道（FBS福岡放送）では、教員が端末を起動すると『Lock Bit Black』の文字と脅迫文が表示されたとされる。侵入経路、OS、端末の用途、ネットワーク接続形態、ランサムウェア名は公式には公表されていない。
ネットワーク分離は効いたが、データは分離の外にあった 解釈
研究系と診療系のネットワーク分離により、被害は端末1台に封じ込められ、病院の診療は止まらなかった。近年の国内病院のランサムウェア被害で電子カルテが長期停止した事例と比べると、分離設計の有効性を示す事例といえる。一方で、患者の氏名と手術動画という臨床由来のデータが研究室の端末に保存されていた。研究目的で手術動画を利用すること自体は一般的だが、その場合でも匿名化（氏名との分離）や、研究用に管理されたストレージでの保管が求められる。氏名と動画が同じ端末に揃っていたことが『流出のおそれ』を生んだ。データを分離の外に持ち出す運用を誰がどう承認していたかが本質的な論点となる（推測を含む）。
『LockBit Black』表示の意味（推測） 解釈
LockBitグループは2024年2月の国際共同捜査（Operation Cronos）で基盤を押収されたが、その後も同名での活動が続いている。また2022年にLockBit 3.0（通称LockBit Black）のビルダーが流出しており、無関係の攻撃者が同じ名前と脅迫文のランサムウェアを生成できる。したがって画面表示だけでは攻撃者の特定はできず、二重恐喝（データ窃取＋暗号化）が行われたかも不明である。大学が『流出の可能性を否定できない』とした背景には、暗号化前の外部送信の有無をログ等で確認しきれていない事情がある可能性がある。研究室端末はEDRや集中ログ収集の対象外であることが多く、事後調査が難しい点も一般的な課題である。
対応
- 封じ込め
- 不審な挙動の検知後、直ちに当該端末をネットワークから遮断。警察と連携して原因・影響範囲・侵入経路を調査中。対象患者43名へ個別に連絡・謝罪。
- 公表の仕方
- 発生から16日後の6/10に九州大学が公表（患者向け・報道向けの問い合わせ窓口は九州大学病院事務部総務課）。侵入経路・ランサムウェア名は非公表。調査時点で続報は確認できず。九州大学病院サイトのお知らせ（起点URL）は404で確認できなかった。
- 当局対応
- 警察：連携して調査中（九州大学公表）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 臨床データ（患者氏名＋手術動画）が研究室の端末に保存されていた | 研究利用の臨床データは院内の管理されたストレージから、氏名・IDを除去または研究用IDに置換した形でのみ払い出す運用とし、払い出し申請・承認・保存先を台帳管理する。研究室端末へのローカル保存を禁止 |
| 診療系から分離された研究端末が監視の手薄な領域になりやすい | 研究室端末も大学のEDR・資産管理の対象に含め、OS更新状況・外部公開ポート（RDP等）の有無を定期スキャン。管理外端末を学内ネットワークに接続できないようNACで制御 |
| ネットワーク分離が診療停止を防いだ | 診療系と研究・事務系の分離を維持し、境界の通信を許可リスト方式で定期レビュー。分離されていることを前提に、研究系の侵害を想定した机上演習を実施 |
| 流出の有無を確定できない | 研究系端末を含む全端末からの外向き通信をプロキシ・ファイアウォールで記録し、一定期間保存する。大容量の外部送信をアラート化し、事後に流出有無を判断できる証跡を確保 |
自組織などでの確認項目
- あなたの組織で、本番環境の個人データが開発・研究・分析用の端末にコピーされていないか。誰が承認し、どこに保存されているかを即答できるか。
- 基幹ネットワークから分離した端末群は、EDRやログ収集の対象になっているか。分離が『監視の外』を意味していないか。
- ランサムウェア感染時に『流出の可能性を否定できない』で終わらせず、流出の有無を判断するためにどのログが必要か。
未解明点
- 侵入経路（RDP・VPN・フィッシング・USB等）と端末のOS・用途・ネットワーク接続形態
- ランサムウェアの種類の公式確認と、暗号化前のデータ窃取（二重恐喝）の有無、身代金要求への対応
- 患者の氏名と手術動画が研究室端末に保存されていた経緯と承認の有無
- 個人情報保護委員会・文部科学省・厚生労働省への報告の有無
- 続報（調査結果・再発防止策）の有無
出典
- 1九州大学2026-06-10公式本文確認済
- 2九州大学病院2026-06-10公式未確認
- 3セキュリティ対策Lab（Rocket Boys）2026-06-15報道本文確認済
- 4innovaTopia2026-06報道本文確認済
- 5ScanNetSecurity2026-06-23報道本文確認済