メディカ出版のランサムウェア被害（約64万人）：医療職の読者・著者・出版社がやること

同社は、影響を受けた、または受ける可能性のある人に順次、個別に連絡しているとしています。ただし本人への直接の通知が難しい場合は、同社ホームページでの公表に代えるとも説明しています。

メディカID登録者、書籍や雑誌の購入者、セミナー受講者、著者・講師、同社に業務を委託した病院・施設・団体の関係者、同社の従業員・応募者は、連絡が来ていなくても対象の可能性があります。確かめたい場合は同社お客様センター（0120-276-115／06-6398-5008、9時〜17時、土日祝除く）に問い合わせてください。番号は、メールに書かれたものではなく同社の公式サイトで確認したものを使います。

同社は5月1日、同社を名乗る偽メールが確認されたとして注意を呼びかけました。偽メールは「不正アクセスがあった」「個人情報が流出した可能性がある」「パスワードの再設定が必要」などと書き、個人情報を入力させるページへ誘導するものです。

同社は、いかなる場合もメールで個人情報や機密情報の入力・確認を求めることはない、個人情報の入力は公式サイトでしか行えない、としています。差出人欄に同社のドメインのアドレスが表示されていても、同社は自社の発信ではないとしています。差出人の表示は信用の根拠になりません（見分け方は フィッシングとは）。

同社が公開した偽メールの文例は、流出した可能性がある情報としてログインパスワードやクレジットカード情報の一部を挙げていました。一方、本物の発表では、メディカIDのパスワードは別に管理されているため漏えいの可能性はない、オンライン販売ではクレジットカード情報を保持しない仕組み、とされています。

公式発表と食い違う流出項目を並べて手続きを急がせるメールは、それだけで疑う理由になります。

医療職向けの名簿が狙われると、偽の連絡は「流出のお知らせ」だけとは限りません。医療職にとって日常的な、次のような名目が考えられます（当サイトの見立て）。

• 購読の更新
• オンラインセミナーの受講案内
• 学会参加や研修の単位（ポイント）の手続き
• 教材の請求

こうした連絡でも、メールのリンクや記載の電話番号は使わず、自分で開いた主催者の公式サイトや、所属先の担当部署を通して確認します。職場のメールアドレスで受け取ったなら、病院や施設の情報システム担当にも共有しておくと、同僚に同じ偽メールが届いたときの被害を防ぎやすくなります。

著者・外部事業者の情報には銀行口座番号が含まれます。銀行は、口座番号に加えて暗証番号が知られると、インターネットバンキングで不正出金される被害につながるおそれがあるとして、暗証番号を電話で聞いたり音声ガイダンスで入力させたりすることはないと注意喚起しています。全国銀行協会も、暗証番号やパスワードを尋ねることはないとしています。

「原稿料の振込先の確認」「謝礼の支払い手続き」を名乗り、暗証番号やネットバンキングのID・パスワード、ワンタイムパスワードを求める連絡には応じないでください。ネットバンキングやアプリの入出金通知を有効にし、身に覚えのない取引があれば取引銀行に連絡します。

著者・外部事業者のうち登録している人のみマイナンバーが対象に含まれます。マイナンバーは原則として変わりませんが、番号法第7条第2項により、漏えいして不正に用いられるおそれがあると認められるときは、本人の請求などで市区町村長が新しい番号を指定できます。まず同社の窓口で自分の情報が対象かを確かめ、必要なら住民票のある市区町村に相談してください。

メディカIDのパスワードに漏えいの可能性はないとされていますが、同社は定期的な変更を勧めています。同じパスワードを他のサービスで使っているなら変えておきます（パスワードマネージャーの選び方）。困ったときは、次の公的窓口に相談できます。

• 偽メールを受け取った：フィッシング対策協議会に転送して報告できる
• 入力してしまった・端末が心配などの技術的な相談：IPA 情報セキュリティ安心相談窓口（03-5978-7509、10時〜17時、土日祝・年末年始除く）
• 詐欺の被害や不安：警察相談専用電話 #9110

3月17日の発表は、関与先リストにもアクセスできない状況のため、告知をもってまず知らせると書いていました。ランサムウェアで業務システムが止まると、影響を受けた人に個別に連絡するための名簿そのものが使えなくなることがあります。

取引先・著者・主要顧客の連絡先は、業務ネットワークから切り離したバックアップ（オフラインや別の管理系統）にも置き、定期的に本当に復元できるかを試してください（バックアップの基本（3-2-1ルール））。

同社は、第三者が正規のアカウント情報を用いて社内ネットワークに侵入したことが起点だとしています。パスワードだけで入れる接続経路（VPN＝社外から社内ネットワークにつなぐ仕組み、リモートデスクトップ、クラウドの管理画面など）が1つでもあれば、そこが全体の弱点になります。

まず社外から入れる接続経路を一覧にし、それぞれに多要素認証が設定されているかを確認することから始めます。同社も、実施済みの対策にIDの認証・セキュリティ強化を、今後の対策に不正ログインを防止するための認証基盤の強化を挙げています。同じ型の事案は 2026年の情報漏えいは「正規の認証情報」で起きている にまとめています。

第3報の項目を見ると、読者の連絡先、著者の口座番号とマイナンバー、預かった健康診断結果、従業員の人事評価が、同じ攻撃の影響範囲に入っていました。

支払調書（報酬の支払いを税務署に届け出る書類）のために必要なマイナンバーや振込用の口座番号は、保存場所とアクセスできる人を分け、支払いが終わって不要になった情報は削除する。分けて保管していれば、1か所に侵入されても、影響を受ける情報の種類を減らせます。

あわせて、自社ドメインを名乗る偽メールへの備えとして SPF・DKIM・DMARCの設定 を確認しておくと、顧客に本物のメールの見分け方を案内しやすくなります。