病院のお見舞いメールは危ない

先日、北海道帯広市にある北斗病院の「お見舞いメール」を例にとって、お見舞いメールの危険性について書かせて頂きました。　その後、いろいろ調べた結果、北海道内の病院で「お見舞いメール」を導入している病院が多数あって、その全てにおいて個人情報流出の可能性があることが判明しましたので、最悪な例と共にお話ししたいと思います。　ちなみに、「お見舞いメール」を導入している病院はここを使って調べました。
まず、「お見舞いメール」には入力フォームに従って必要な情報を入力する「フォーム型」と、メーラーが起動して自由文形式で入力する「メーラー型」の2種類があることが判明しました。　多くの病院では「フォーム型」を利用して利便性を向上させていますが、「メーラー型」を使っている病院も少なくありません。
「フォーム型」を利用している病院に関しては、次のような問題点がありました。　「サーバ証明書が導入されていない」ため、SSLによる「暗号化通信に対応していない」のと「正しいサーバであることを確認できない」ということです。　従って、個人情報流出の可能性は高いということが言えるでしょう。　なおかつ、独自ドメインで運用していないため「サーバ偽装が容易」なサイトも幾つか見られました。
「メーラー型」を利用している病院に関しては、次のような問題点がありました。　通常のメールを使うため「暗号化通信に対応していない」のと、正しいアドレスかどうか確認できないため「誤送信の可能性がある」ということです。　従って、フォーム型以上に個人情報流出の可能性が高いということが言えるでしょう。　また、「フォーム型」と同様に、独自ドメインで運用していないため「サーバ偽装が容易」なサイトも幾つか見られました。
そして、「メーラー型」において、大変酷いサイトを見つけましたので、ここに報告させて頂きます。　それは北海道深川市にある北海道中央病院というところなんですが、ここは個人情報流出の危険性が非常に高いので、「お見舞いメール」を使用しない方が宜しいかと思います。
まずはトップページから…

ドメイン名を確認すると、fukanavi.com という意味不明のドメイン名になっています。　この段階で怪しさ満点なのですが、例によってwhoisで確認してみると…

となっていて、「深川市」を名乗る所が登録したドメインみたいです。　ただ、本当に「深川市」であるかどうかは判りません。　.comドメインは無審査で誰でも取れるので、ウソの記述をしても問題ないですから…
んで、問題の「お見舞いメール」のバナーをクリックするとメーラーが立ち上がるんですけど…

その送信先メールアドレスのドメインは plala.or.jp となっています。　これもwhoisで調べれば判るんですけど、「ぷらら」というプロバイダなんですね。　先ほどとドメイン名が変わっている上に、所有者も変わっています。　北斗病院の時も書きましたが、これでは本当に病院に送信されるのか判りません。　悪意を持った第三者が取得したアドレスに書き替えても、書き替えられていることすら判らないということになります。
これは大変危険です。　そもそも、ウェブサイト自体の所有者が本当に「北海道中央病院」であるかどうかを知る手段がありません。　その上に、「お見舞いメール」の送信先が本当に「北海道中央病院」であるかどうかを知る手段もないんですね。　だから、ウェブサイトそのものの偽装も非常に容易な上に、違うアドレスにメールを送信させることも容易なんですよ。
これは、悪意のある第三者に「どうぞ偽装して個人情報を持っていってください」と病院自体が宣伝しているようなものなんですね。　こんな所に安易にメールを送ってはいけません。　個人情報が盛大に流出する可能性があります。　こんな感じの病院が、恐らく全国に散在していることでしょう。　大変危険なことだと思います。　サービスするつもりが、セキュリティインシデントを発生させてしまうんですから…
どうして、こんな事が起こってしまうのでしょうか？　それは、病院にいる社内SEの知識不足というのもあります。　給与が非常に低いため優秀なSEが集まらないということもあるでしょうし、そもそも、SEを専業としていないという病院も多いと思います。　また、自前で社内SEを用意できないため、外部に丸投げしたりということもあるでしょう。　でも、それならば「お見舞いメール」なんていう仕組みを用意しなければ良いだけの話しです。　身の丈にあった仕組み作りが大切なんだということを経営者は理解すべきなんですね。
ちなみに、最近は「お見舞いメール」のASPも存在しているようです。　ただ、これらは病院独自のドメインを使えないと個人情報流出の危険性を排除することが出来ません。　従って、それらのサービスを利用しても何ら解決にはならないと言うことだけは書いておきたいと思います。