対象：Dexcomから情報漏えいの通知を受け取った人と、Dexcomの製品の利用者で自分が対象か知りたい人。本記事はDexcomの声明と、同社がカリフォルニア州司法長官に届け出た通知文にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
Dexcomから情報漏えいの通知を受け取った人と、Dexcomの製品の利用者で自分が対象か知りたい人。
- 影響が確認された範囲表で見る ↓
- 社内の文書への権限のないアクセス
- 文書が違法なサイトで公開された
- 製品と業務
さらに1件
- 信用情報の監視の案内
可能性があるとされた項目
- 氏名
- 社会保障番号、生年月日、政府発行IDの情報
- 住所と健康情報（薬局、医療提供者、生年月日、処方番号、一部の診断、利用者であることを示す情報）
- 未確認事項
- 対象の人数（同社にも届出にも記載なし）
- どちらの通知が、どの人たちに届くのか（通知に記載なし）
- 米国外の利用者への影響（記載なし）
さらに1件
- 2種類の通知の見本にある項目より詳しい、関わったファイルと情報の区分
- 今やること手順を見る ↓
- 自分の通知に書かれた項目を確かめる
- 通知にSSNがあるとき：監視サービスに登録し、信用情報を確かめる
- 通知に健康情報があるとき：明細を確かめ、もっともらしい偽の連絡に備える
さらに2件
- この件の電話・SMS・メールは、自分で調べた番号で確かめる
- 機器は今までどおり使う
- 最終確認日時
- 2026年11月15日時点
発表の続報予定と確認の記録
同社は、調査は完了し、事案を締めくくるとし、今後も自社のシステムの監視を続けるとしています（11月12日の声明）。続報の予定は書いていません。11月15日に同社のページを確認した範囲では、11月12日より新しい声明は見当たりませんでした。
通知を受け取った人が今日やること
自分の通知に書かれた項目を確かめる
司法長官のサイトにある通知の見本は2種類で、項目が違います。1つは氏名、社会保障番号、生年月日、政府発行IDの情報。もう1つは氏名、住所と、希望する薬局、医療提供者（医療機関・医師など）、生年月日、処方番号、一部の診断などの限られた健康情報です。どちらが誰に届くのかは書かれていないので、自分の通知の項目を読んでください。通知が届いていない人は、対象と公表されたわけではありませんが、同社は人数も公表していません。
通知にSSNがあるとき：監視サービスに登録し、信用情報を確かめる
この通知は、信用情報の監視、不正利用の相談、被害の回復支援を2年間、監視サービスの事業者を通じて無料で提供すると書いています。登録しても信用スコアには影響しないとあります。信用情報の監視は、18歳以上で米国の信用履歴、本人名義のSSN、米国の住所があることが条件で、米国外の利用者は使えない可能性があります。通知に印刷されたサイトと会員番号を使い、期限は自分の通知の日付で確かめます（見本は空欄）。通知の案内は、口座の明細と無料の信用情報（annualcreditreport.com、米国で1-877-322-8228）を確かめること、悪用が疑われるときは連邦取引委員会（FTC）、警察、州の司法長官に連絡することです。不正利用の警告と、無料の信用情報の凍結も説明しています（米国の信用情報機関3社が対象）。
通知に健康情報があるとき：明細を確かめ、もっともらしい偽の連絡に備える
この通知は、社会保障番号、クレジットカード・デビットカードの番号、そのほかの金融情報は関わっていないと書いています。案内は、口座の明細と信用情報を確かめ、不正な請求は金融機関に知らせることです。薬局、医療提供者、処方番号は、偽の電話がもっともらしくなるための材料になります（一般に言えることで、同社が被害を報告したわけではありません）。こちらから連絡したのではない相手に、生年月日、処方番号、カード番号を伝えないでください。
この件の電話・SMS・メールは、自分で調べた番号で確かめる
同社は、事案の始まりを標的型のビッシングと説明しています。Dexcomのアカウントや処方について電話が来たら、いったん切って、通知、同社のサイト、自分の控えにある番号にかけ直します。通知の窓口は(844) 971-8641（米国中部時間の月〜金曜 8:00〜17:30、米国の主な祝日を除く）です。
機器は今までどおり使う
同社は、製品は安全で通常どおり動いており、製品と業務に影響はないとしています（10月10日と11月12日の声明）。声明にも通知にも、機器の設定の変更やDexcomのパスワードの再設定を求める案内はありません。そう書かれた連絡があれば注意してください。偽の連絡の一般的な見分け方は フィッシングとは にあります。
何が起きたのか（Dexcomの声明と通知より）
以下は、Dexcomのサイバーセキュリティ更新のページ（10月10日の声明、11月12日の更新）と、同社がカリフォルニア州司法長官に届け出た通知の見本2種類にもとづきます。同社自身の説明であり、第三者による検証を受けたものではありません。
10月10日
同社の最初の声明：標的型のビッシングの後、社内の文書の限られた情報への権限のないアクセスを伴うサイバーセキュリティ事案を見つけた。事案への対応手順を動かし、外部のフォレンジックの会社に独立した調査を依頼し、封じ込めた。製品、業務、顧客・取引先への対応に影響はない、とした。11月2日
実際に不正アクセスがあった日付は公表されていない。通知文が、一部の人の情報が関わった可能性があると同社が判断した日として書いている日。司法長官の一覧では、漏えいの日が2026年11月2日になっている。11月12日
同社の更新：標的型のビッシングで社内の文書に権限のないアクセスがあり、その文書は後に違法なサイトで公開された。影響を受けたファイルのごく一部に個人情報が含まれていた。影響を受けた人に通知を進めており、調査が完了したので事案を締めくくる。11月13日
司法長官の一覧にある同社の届出日。通知の見本2種類が付いている。
- 経緯（同社の表現）
- 従業員のアカウントへの権限のないアクセス。調査で、権限のない第三者がソーシャルエンジニアリングでアクセスし、一部のファイルをダウンロードできたと判断した
- 封じ込め
- 侵害されたアカウントのアクセスを取り消した。調査で、現在も続く不正な活動の証拠は見つかっていない
- 通知1：関わった可能性のある情報
- 氏名、社会保障番号、生年月日、政府発行IDの情報の1つ以上
- 通知2：関わった可能性のある情報
- 氏名、住所と、希望する薬局、医療提供者（医療機関・医師など）、生年月日、処方番号、一部の診断、Dexcomの利用者であることを示す情報などの限られた健康情報
- 含まれない（通知2）
- 社会保障番号、クレジットカード・デビットカードの番号、そのほかの金融情報
- 監視サービス
- 通知1だけ：信用情報の監視、不正利用の相談、被害の回復支援を、監視サービスの事業者を通じて2年間無料で提供
- 悪用
- 同社は、情報が悪用された形跡は把握していないとしている
- 窓口
- (844) 971-8641、米国中部時間の月〜金曜 8:00〜17:30、米国の主な祝日を除く（2種類の通知とも）
分かっていること・分かっていないこと
2026年11月15日時点の状態です。続報が出たら、この表の状態欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 社内の文書への権限のないアクセス | 標的型のビッシングの後。ファイルがダウンロードされた（通知） | 確認済み（同社） |
| 文書が違法なサイトで公開された | 11月12日の声明が、後に公開されたと書いている | 確認済み（同社） |
| 氏名 | 2種類の通知の両方に記載 | 可能性（同社：関わった可能性） |
| 社会保障番号、生年月日、政府発行IDの情報 | 通知1に記載 | 可能性（同社：関わった可能性） |
| 住所と健康情報（薬局、医療提供者、生年月日、処方番号、一部の診断、利用者であることを示す情報） | 通知2に記載 | 可能性（同社：関わった可能性） |
| 社会保障番号、カード番号、そのほかの金融情報（通知2の人） | 関わっていない | 含まれない（同社） |
| 通知1の人のカード番号 | 記載なし | 記載なし |
| 製品と業務 | 影響なし。製品は安全で通常どおり動いている | 確認済み（同社） |
| 情報の悪用 | 悪用の形跡は把握していない | 確認されていない（同社） |
| 対象の人数 | 書かれていない | 記載なし |
| 通知1と通知2が誰に届くか | 書かれていない | 記載なし |
| 米国外の利用者 | 書かれていない | 記載なし |
| 信用情報の監視の案内 | 通知1だけ | 確認済み（同社） |
読み方の注意：2種類の通知は項目が違い、届出は見本である
通知の見本は州に届け出た雛形で、宛名、日付、登録の期限は空欄です。それぞれの通知が何人に届いたのか、1人が両方を受け取ることがあるのかは書かれていません。片方の通知にSSNがあるからといって全員のSSNが漏れたと読んだり、全員に健康情報が関わったと読んだりしないでください。それぞれの通知は、宛先の本人の情報が関わった可能性があると書いているものです。
読み方の注意：同社の説明は第三者の検証を受けていない
声明と通知は同社自身の調査にもとづきます。外部のセキュリティ会社が支援していますが、その調査結果の公表はありません。文書が違法なサイトで公開されたという点は、同社の表現です。ほかの者がこの事案について主張している内容は、本記事では扱いません。
健康情報と本人確認の番号が取られると、何が起きうるか
以下は一般に言えることで、今回これらが起きたという意味ではありません。同社は、情報が悪用された形跡は把握していないとしています。
社会保障番号、生年月日、政府発行IDの情報がそろうと、他人の名前で信用を申し込むのに必要な材料になります。通知が信用情報の確認、不正利用の警告、凍結を案内するのはそのためです。薬局の名前、医療提供者の名前、処方番号、生年月日は、それだけで口座は開けませんが、薬局、クリニック、機器の会社を名乗る偽の電話や連絡をもっともらしくします。処方の確認、手数料の支払い、確認コードの読み上げを求められる形が考えられます。これらの情報から始まって何かを求める連絡は、自分で調べた番号で確かめるまで、確認できていないものとして扱ってください。
組織が見直すこと
同社の説明では、入口は従業員を狙った電話を使うソーシャルエンジニアリングで、その後にファイルのダウンロードがありました。公表された経過から、当サイトの見解として、同社の評価ではなく一般的な点だけを挙げます。顧客の健康情報や本人確認の情報を含むファイルに届く従業員には、電話の相手ではなくこちらで確かめる手段（既知の番号へのかけ直し、チケットでの依頼）が要ります。そのファイルへのアクセスは絞って記録し、個人情報を含む古い文書を広く届く場所に置かないようにします。攻撃そのものの手順は扱いません。
出典（公開記録）
本記事の事実関係は以下の公開情報にもとづきます。攻撃の手順の詳細は扱っていません。
- Dexcom「Dexcom Cybersecurity update」（公式の声明。2026年10月10日付、11月12日更新。11月15日に確認） — dexcom.com
- Dexcom, Inc.の届出ページ（カリフォルニア州司法長官のサイト。漏えいの日2026年11月2日、届出日11月13日。11月15日に確認） — oag.ca.gov
- 通知の見本1（氏名、社会保障番号、生年月日、政府発行IDの情報。監視サービスの案内。ELN-28926） — oag.ca.gov（PDF）
- 通知の見本2（氏名、住所、健康情報。ELN-28930） — oag.ca.gov（PDF）
- カリフォルニア州司法長官「Search Data Security Breaches」（Dexcom, Inc.の一覧の行） — oag.ca.gov
更新履歴
2026-11-15：初版。Dexcomのサイバーセキュリティ更新のページ（10月10日の声明と11月12日の更新）と、11月13日にカリフォルニア州司法長官に届け出た通知の見本2種類にもとづく。同社の声明と通知を正本とした。続報が出たら更新する。
次に読む
- 米国の医療情報漏えいの事例：米国の医療情報漏えい（2026年）｜主な事例と通知の確認方法
- 本人確認書類の番号が漏れたとき：運転免許証の情報が漏れたときの対処
- 偽の電話・連絡：フィッシングとは
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）