クリニックのホームページ、
セキュリティは大丈夫ですか？
医療・介護1,767件を診断してわかった実態。

クリニックや医療機関のホームページは、いまや「診療案内のパンフレット」ではありません。Web予約・問診票・お問い合わせフォームを通じて、患者さんの氏名・連絡先・症状といった、極めて機微な個人情報が日々やり取りされる窓口です。それにもかかわらず、そのサイトの「安全性」に目を向けたことがある院長先生は、決して多くありません。

今回私たちは、医療・介護分野の約1,767サイトを対象に、公開情報の範囲でSSL（暗号化）・管理画面の露出・CMS（WordPress等）のバージョン露出などを自動診断しました。結果は、率直に言って楽観できるものではありませんでした。

約1,767件の診断でわかった、医療・介護サイトの「弱点」

公開されている範囲で確認できた「外から見える弱点」のうち、該当率が高かった項目です。

※参考までに、業種横断で約2万3千社を診断した全体の傾向では、管理画面の露出は31.8%、古いCMS等の露出は53.5%でした。医療・介護も「特別に安全」とは言えず、むしろ平均並みかそれ以上に弱点が残っているのが実情です。

とくに危ないのは「管理画面が丸見え」の状態

クリニックだからこそ深刻な、3つのリスク

一般企業のサイトが乗っ取られるのと、クリニックのサイトが乗っ取られるのとでは、影響の重さがまったく違います。

① 患者さんの個人情報（要配慮個人情報）の漏洩

病歴や症状は、個人情報保護法で特に手厚く守るべき「要配慮個人情報」に当たります。Web予約や問診フォームから集めたこれらの情報が流出すれば、患者さんへの被害はもちろん、クリニックの信頼は一夜で崩れます。「あそこは情報がずさん」という評判は、地域医療において致命的です。

② サイトの改ざん・なりすまし

管理画面から侵入されると、診療時間や休診情報を書き換えられたり、まったく無関係な広告・詐欺サイトへの誘導を埋め込まれたりします。患者さんが「偽の休診情報」を見て来院できなくなる、あるいは偽ページで金銭被害に遭う、といった二次被害に発展します。

③ 攻撃の「踏み台」にされる加害者化

乗っ取られたサイトは、他所への攻撃メール送信や、別のサイバー攻撃の中継地点（踏み台）として悪用されることがあります。被害者のはずが、知らないうちに“加害者側”に回ってしまう——これは医療機関にとって説明のつかない事態です。

「うちは小さいから狙われない」が通用しない理由

院長先生からよく伺うのが「大きな病院ならともかく、うちのような小さなクリニックが狙われるはずがない」という言葉です。しかし、これは大きな誤解です。

攻撃者は「〇〇クリニックを狙おう」と考えているわけではありません。弱点のあるサイトを機械的に探し、見つけ次第、片っ端から侵入を試みるのです。つまり、狙われる理由は「有名だから」ではなく「たまたま鍵が開いていたから」。規模の大小はまったく関係ありません。IPA（情報処理推進機構）の調査でも、中小規模の組織の多くが「何から手をつければよいか分からない」まま放置している実態が指摘されています。

専門知識ゼロでも今日からできる、確認と対策

「専門的すぎて、何をすればいいか分からない」——それが普通です。まずは以下の順で進めれば十分です。

ステップ0：まず自分で確認する4つのポイント

• ブラウザのURL欄に「保護されていない通信」や鍵マークの警告が出ていないか
• 自院ドメインの後ろに /wp-login.php や /wp-admin/ を付けて、ログイン画面が誰でも開けてしまわないか
• フッターの著作権表記（Copyright）の年数が古いまま止まっていないか
• 制作会社との保守契約に「CMS・プラグインの定期更新」「脆弱性対応」が含まれているか

ステップ1：技術的な穴を、まず塞ぐ

• SSL化（https）：未対応ならまず最優先で対応。患者情報の暗号化は最低限の礼儀です。
• 管理画面の保護：ログインURLの変更、アクセス制限、二段階認証などで「玄関」を隠します。
• CMS本体・プラグインの最新化とバージョン非表示：既知の弱点を塞ぎ、版数を外から見えなくします。

ステップ2：セキュリティヘッダーなど「基本装備」を整える

クリックジャッキング対策や、ブラウザに安全な通信を強制する設定（HSTS）などは、一度整えれば継続的に効く“基本装備”です。専門的に見えますが、対応箇所は決まっており、設定ファイルの数行で大きくリスクを下げられます。（当社の自社サイトも、この基本装備を整えて外周点検スコアを100点にしています。）

ステップ3：年に数回の「定点観測」を仕組みにする

一度直しても、時間が経てばCMSは古くなり、新しい弱点も見つかります。大切なのは「作って終わり」にせず、定期的に点検する仕組みを持つこと。院内リソースで難しければ、外部の定期点検を利用するのが現実的です。

よくある質問（FAQ）

クリニックのホームページは、専門の攻撃者に狙われるのですか？

多くの場合、名指しで狙われるわけではありません。攻撃は自動化されており、弱点のあるサイトを機械的に見つけて無差別に侵入を試みます。“たまたま弱いから狙われる”ため、規模の大小は関係ありません。

制作会社に任せているので、セキュリティも大丈夫ですよね？

必ずしもそうとは限りません。保守契約が「サーバー代の立て替え」だけで、更新や脆弱性対応が含まれないケースは多く見られます。まず契約内容を確認してください。

自院のサイトが危ない状態か、どうすれば分かりますか？

URLの「保護されていない通信」警告、/wp-login.php が誰でも開けるか、フッターの年数の3点がまず簡単な目安です。判断が難しければ、公開情報の範囲で無料の外周点検を受けるのが確実です。

まとめ｜患者さんの信頼は「戸締まり」から

クリニックが積み上げてきた地域からの信頼は、丁寧な診療だけでなく、「預かった情報をきちんと守っている」という安心感の上に成り立っています。Webサイトの戸締まりは、その信頼を守る、目立たないけれど大切な仕事です。

まずは今日、自院サイトのURL欄の鍵マークと、/wp-login.php が開かないかを確認することから始めてみてください。もし不安があれば、外から見える弱点を無料で点検し、優先度順に整理してお渡しします。