医療法人狙う大規模サイバー攻撃、Medi Faceが解析完了と法的措置へ
医療情報サービスを提供する株式会社Medi Face（医療法人鳳應会グループ）は、2026年8月12日19時33分に同社グループのウェブインフラを標的とした高度な組織的サイバー攻撃を検知しました。同社はこれに対し、迅速型デジタルフォレンジック解析と全証拠の保全を完了したと発表しています。
攻撃主導者と思われる人物の接続元IPは東京都内で特定されており、同社は現在、刑事告訴を含む厳格な法的措置への移行準備を進めているとのことです。医療機関の社会的信用を標的とした悪質かつ高度な手口であるため、同様の被害を未然に防ぐ公益的観点から、今回の攻撃に関する技術的解析結果およびIoC（侵害の痕跡）を緊急公開しています。
攻撃の全体像と手口
今回の攻撃は、約4ヶ月間にわたる中長期計画に基づく構造的なものと判明しました。海外IPを何重にも経由したPHP Webシェルの直接起動を起点とし、Google Search Console（GSC）権限の奪取、Cloudflare Pagesを用いたブランド詐称、さらには検知回避のための三重APIジオクローキングに至るまで、事前に緻密に設計された多段階のキルチェーンで構成されていたといいます。
単なる金銭目的のランサムウェアや無差別な脆弱性スキャンとは異なり、医療機関の社会的信用と検索インフラの資産価値を標的とした高度標的型組織犯罪であると分析されています。
証拠保全の完了と首謀者特定の進捗
Medi Faceの法務チームおよびセキュリティ担当者は、攻撃者が侵入に用いたバックドアファイルの削除によって証拠隠滅を図ったとみられるものの、削除ファイルのキャッシュ断片、ファイルシステムメタデータ、タイムスタンプ、および約22万3千行に及ぶサーバーアクセスログの迅速なデジタルフォレンジックを完了し、すべての証拠を保全済みとしています。ファイルの削除行為自体が、証拠隠滅の故意を示す付加的証拠になるとのことです。
決済関連IPアドレスやトークン等の解析により、組織的サイバー攻撃の実質的な主導者と思われる人物の接続元IPアドレスが、インドネシアを経由した防弾ホスティングの背後に、国内（東京都内・永田町〜六本木付近）から検出されています。
同社の弁護団は現在、特定された首謀者に対し、不正アクセス禁止法、電子計算機損壊等業務妨害罪、名誉毀損罪等の適用を視野に入れた刑事訴訟の提起を検討中です。また、インドネシア側の実行犯グループに対しては、国際刑事司法共助条約を通じた国際捜査共助の申請も並行して準備を進めています。
公開の意義と技術的特異性
今回の攻撃の標的は、国民の健康と医療情報を担う医療法人やクリニックです。医療分野のウェブサイトは、Googleが「YMYL（Your Money or Your Life）」として最高水準の信頼性を要求する分野であり、攻撃者はその高い「ドメイン権威」を意図的に悪用し、患者が医療情報を検索した際に違法賭博サイトへ誘導されるよう仕向けたといいます。これは、医療機関の社会的信頼を意図的に悪用した極めて悪質な高度標的型サイバー犯罪であり、公衆衛生インフラの根幹を脅かす重大な攻撃であるとMedi Faceは指摘しています。
解析レポートを一般公開する最大の目的は、医療業界および社会全体における連鎖的な被害を未然に防ぐという公益的使命にあります。同社は、攻撃者の特定や法的追及にとどまらず、攻撃の技術的構造が広く「脅威インテリジェンス」として共有され、医療機関ひいては社会全体のサイバーレジリエンス向上の一助となることを期しています。
攻撃者が採用した高度な隠蔽技術の一部として、以下の点が挙げられています。
-
三重API地理的クローキング（Geo-Cloaking）： インドネシアのモバイル端末からアクセスした場合のみ違法ギャンブルサイトへ誘導し、日本のIPやPC端末（捜査機関やセキュリティ研究者を含む）からのアクセスは「無害なループ」へ転送し証拠を隠滅する高度な判定機構を実装。
-
ブランド詐称とAMPの悪用： Cloudflare Pagesの無料サービスを悪用し、同社のブランド名（medi-face / fraise-clinic）を冠した偽ページを作成。Google公式のAMPフォーマットを使用することで、検索エンジンからの信頼性を偽装。
-
Telegramを用いたC2（指揮統制）： 実行犯グループはTelegramのプライベートチャンネルを利用し、暗号化された環境下で作業分担や進捗を共有しながら協調攻撃を展開。
詳細な技術レポート全文およびIoC一覧は、有識者向けにGitHubにて公開されています。
エンジニア・ホワイトハッカーへの協力呼びかけ
Medi Faceは、今回の攻撃の手口が極めて計画的であり、同一犯罪グループが日本・アジア圏の他の医療法人・企業に対しても同様の攻撃を現在進行形で展開している可能性が高いとしています。同社内の解析にとどまらず、巧妙化するサイバー犯罪の実態をより深く解明するため、世界中のセキュリティ有識者からの意見を広く求めています。
以下のテーマに関するフィードバックや知見の提供を歓迎するとのことです。
-
同一手口による他の被害医療機関・企業の発見
-
本稿の解析内容（クローキング機構等）へのフィードバック・盲点のご指摘
-
インドネシア国内からのアクセス確認（モバイル端末による証拠コンテンツの表示テスト）
-
攻撃者インフラのOSINT調査（未発見の犯罪インフラの特定）
-
アフィリエイトID・決済経路の追跡調査
-
首謀者と思われる人物の接続元IPアドレス（東京都内・永田町〜六本木付近タワーマンション）
情報提供窓口： info@medi-face.co.jp （参照番号： MF-2026-0812）
本文書に含まれるIoCの防御・研究・教育目的への利用、および転載・引用は歓迎されており、出典の明記を求めています。Medi Faceの公式サイトはこちらです。
ソース元：
【緊急公開】医療機関を襲った8月12日の大規模サイバー攻撃｜医療法人鳳應会グループ Medi Face社がデジタルフォレンジック解析および証拠保全を完了（2026-08-12 19:33:27発生）
https://prtimes.jp/main/html/rd/p/000000017.000080422.html