こんばんは。今回は福知山市民病院で不正アクセスにより、大量の迷惑メールが配信されたという記事です。京都新聞の記事からです。
「病院から治療の迷惑メール」とありますが、これは病院が自前でメールサーバを運用しているのではなく、独自ドメインでのメールを利用するために、病院がどこかのISPかレンタルサーバ事業者と契約しているのでしょう。（たぶん）
ここからは推測ですが、契約している事業者からメールサーバのroot権限をもらっていて、初期パスワードのまま変更していない＋業務委託しているベンダがFWやメールサーバの設定の穴を放置していたとかいうようなことではないかと見ています。
この記事に書かれている「電子メールが不正アクセスで外部から乗っ取られ」ですが、これはメールサーバのことを指していると思われます。（たぶん）
もしかしたら、特定個人のアカウントが乗っ取られていたのかもしれません。このへんに関しては、この記事だけからは判断出来ません。いずれにせよ、パスワード管理の甘さがあったということなのでしょうか。
こういう事件を耳にするにつけ、情報処理安全確保支援士を常勤職員として雇いましょうよと思う昨今です。