エムスリー「MR君」への不正アクセス（m3.com会員など25,775名・製薬企業の担当者2,260名）：漏れた情報と、医師・製薬企業の担当者がやること

同社は、同社を装った不審なメール・SMS・電話に注意するよう呼びかけています。漏えいした情報には、氏名と勤務先に加えて、取引先の製薬企業が登録していた「担当関係等」が含まれます。

一般に、この組み合わせがあると、実在する製薬会社の名前や、自分を担当している会社を正しく言い当てた連絡が作れます。講演会・Web講演会の案内、アンケートの謝礼、ポイントの付与、「お詫び」を名目にした連絡でも、リンクは開かずに、m3.comはブックマークか公式アプリから開いて確かめてください（見分け方は フィッシングとは）。

「担当が変わった」「新しいメールアドレスから送る」「別のサイトで資料を見てほしい」といった連絡は、名前や会社名が合っていても、それだけで本物とは判断できません。普段やりとりしている連絡手段で担当者本人に確かめるか、製薬会社の代表窓口に自分で問い合わせてください。

同社は、同社からの個別連絡で、パスワード、クレジットカード情報、銀行口座情報等の入力や提供を求めることはないとしています。これらを聞いてくる連絡は、エムスリーを名乗っていても偽物を疑ってください。

メールアドレスを含むのは、m3.com会員様等25,775名のうち6名だけです。一方で勤務先は含まれているため、一般に、病院や診療所の代表電話・代表メール・郵便あてに、医師の名前を出して取り次ぎを求める連絡が考えられます。受付や医局の事務に、製薬会社やエムスリーを名乗る見慣れない依頼は本人に確かめてから回すよう、ひとこと伝えておくと防ぎやすくなります。

同社の第2報に載っている会員向けの窓口は「エムスリー株式会社 m3.com カスタマーサポート cs-security@m3.com」です（第1報では m3.com の問い合わせページが案内されていました）。届いたメールやSMSに書かれた連絡先ではなく、同社のニュース一覧 から開いたお知らせで確かめてください。

ログインパスワードは含まれていないとされ、同社も変更を求めていません。m3.comと同じパスワードをほかの医療情報サイトや病院の業務システムで使い回している人は、この機会に分けておくと、今後の偽サイトへの備えになります（パスワード管理アプリの選び方）。

同社は、対象の製薬企業へ同社の担当者から順次連絡しているとしています。自社に連絡が来ているかを社内の担当部署に確かめ、対象であれば、取引先や医師を名乗る不審な連絡の報告先を社内で決めておきます。

一般に、氏名・勤務先・メールアドレスがそろうと、取引先を名乗る請求や、ログイン画面への誘導、添付ファイルを開かせる連絡が作りやすくなります。エムスリーの担当者や医療機関を名乗る連絡で、振込先の変更や新しいサイトでのログインを求められたら、普段の連絡手段で相手に確かめてください。

医師から「自分は対象か」と聞かれたときは、推測で答えず、同社のお知らせと会員向けの窓口を案内します。製薬企業として独自に医師へ連絡する場合は、パスワードや個人情報の入力を求めない内容にし、偽の連絡と混同されないようにします。

第2報では、製薬企業が同社サービスに登録していた「担当関係等」と、製薬企業から預かっていたm3.com会員以外の医師の情報も漏えいした情報に含まれていました。一般に、業務で使う外部サービスに登録した情報は、自社のシステムとは別の場所で漏えいの対象になりえます。どのサービスに、どの医師の、どの項目を登録しているかを一覧にしておくと、事故の連絡を受けたときに影響の範囲をすぐに説明できます。

担当を外れた医師や、取引が終わった施設の情報が残っていないかを定期的に確かめ、不要なものは削除します。持っていない情報は漏れません。

今回、対象の製薬企業へは同社の担当者から連絡が来るとされています。連絡を受けた後に、担当者が医師から質問を受けたときの答え方と、案内する公式の窓口を社内で決めておくと、推測で答えてしまうことや、偽の連絡と混同されることを防げます。