医療
このタグの記事 9 件
旭化成セラピューティクスの医療関係者向けサイトへの不正アクセス（約51万4,000名）：漏れた可能性がある情報と、医師・薬剤師・看護師がやること
旭化成セラピューティクス株式会社は2026年10月6日、医療従事者向けの情報提供サイト「Pharma DIGITAL」がサイバー攻撃を受け、会員データベースの個人情報が閲覧または取得された可能性があると発表した。対象は、氏名・所属施設名・施設住所・職種・診療科などの医療従事者約51万4,000名、それらに加えメールアドレスなどの約4万4,000名、同社従業員約700名（氏名・メールアドレス・写真）。10月2日にサイトの委託先から報告を受け、サイトを停止した。クレジットカード情報と要配慮個人情報は保管しておらず、10月6日時点で不正利用は確認されていない。当サイトの結論：製薬会社や学会、講演会の案内を装った偽のメールが考えられる。メールのリンクからログインせず、医療情報サイトと同じパスワードを使い回していれば変える。
米ワシントンDCのメディケイド情報露出（約40万人）：公開報告書に残った受給者番号と、受給者・公開する側がやること
米ワシントンDC（コロンビア特別区）でメディケイド（低所得者向けの公的医療保険）を運営する医療保険財政局（DHCF）は、同局のウェブサイトに2023年から2026年7月まで掲載していた統計報告書2件に、集計の元になった個人データが「隠しフィールド」として含まれ、権限のない人が見られる状態だったと公表した。含まれていたのはメディケイド番号、生年月日、医療機関名、人種、性別、居住区（ward）、民族で、氏名、社会保障番号、金融口座の情報は含まれていないとしている。2026年7月21日に把握し、報告書を削除した。米保健福祉省（HHS）への届出では対象は399,086人。当サイトの結論：画面に集計しか見えない報告書でも、ファイルの中に元のデータが残ることがある。受給者は心当たりのない受診記録に注意し、報告書を公開する側は、元データを含まないファイルを作り直して公開する。
ポーランドMyDrの患者データ流出（最大1880万人）：PESEL・健康情報・連絡先が漏れたおそれと、対象者がやること
ポーランドで1万2000を超える医療機関が使う電子カルテ（電子診療記録）ソフトの会社MyDr sp. z o.o.は2026年8月、外部からの犯罪行為で、同社のクラウドに保存されていたデータベースの内容が第三者にコピーされたと公表した。対象は主に2024年4月12日より前の過去のデータで、ポーランドのデジタル化省は最大1880万人・1万2000超の医療機関に影響し得るとした。同社によれば、項目は氏名、住所、連絡先、PESEL（国民識別番号）、健康に関するデータ、社会保険の情報、勤務先などで、すべてが全員に当てはまるわけではない。原因や侵入の経路は公表されていない。政府はbezpiecznedane.gov.plで自分のPESELが対象かを確かめられるようにし、PESELの登録制限（zastrzeżenie PESEL）を呼びかけている。当サイトの結論：1社のソフトに数千の医療機関の患者情報が集まると、漏えいはその全体に及ぶ。今回コピーされたのは2年以上前のバックアップだった。対象者は確認・PESELの登録制限・病状に触れる脅しへの備えの3つを進める。運営側は、古いバックアップを本番と同じ水準で守っているかを確かめる。
AdaptHealthの情報漏えい（約412万人）：健康保険と病状の情報が漏れ、患者は保険の明細と電話を確かめる
米国で在宅医療機器を提供するAdaptHealthは、2026年6月5日の不正アクセスで、患者の氏名、連絡先、属性情報（生年月日などの人口統計的な情報）、健康保険の情報、健康の情報が漏えいしたと公表した。米保健福祉省（HHS）への報告では411万5,802人。同社によれば、社会保障番号（SSN）、口座番号、カード番号は含まれず、悪用は確認されていない。米証券取引委員会（SEC）への7月2日付の報告書によれば、原因は外部の委託先に関わる利用者のセッションがソーシャルエンジニアリング（人をだまして情報やアクセスを得る手口）で乗っ取られたことで、保険請求に使うパスワードを保存したファイルも持ち出され、外部の電子カルテのポータルにもアクセスされた。当サイトの結論：SSNがないので信用情報の凍結より先に、保険の利用明細（EOB）で受けていない医療や届いていない機器の請求がないかを見ることと、機器の再注文を名目にした電話で保険番号を答えないことが大事。運営側の教訓は、委託先のアカウント1つから自社のクラウドと取引先のポータルまで届いてしまう構造を見直すこと。
仏Cegedim Santéの患者データ流出（約1500万人）：医師向けソフトから漏れたときに患者・診療所がやること
フランスのCegedimグループで医療従事者向けソフトを手がけるCegedim Santéは2026年2月26日、2025年末に、医師向けソフトMLM（MonLogicielMedical.com）を使う医師のアカウントで通常と異なるリクエストの動きを検知したと公表した。MLMを使う医師3800人のうち1500人が影響を受け、MLMのデータベースにある患者の個人データが不正に閲覧または抽出されたとしている。対象は患者の事務情報（氏名、性別、生年月日、電話番号、住所、メールアドレス）と、医師が自由に書く事務的なコメント。ごく一部の患者では、このコメントに機微な情報に関する医師のメモが含まれ得る。構造化された診療記録は無事だったとしている。フランス保健省は対象を約1500万人とし、機微なメモを含むのは約1%と説明したと報じられている。1社のクラウドソフトに数千の診療所の患者情報が集まると、漏えいはそのソフトを使う診療所全体に及ぶ。もっとも深刻だったのは、「事務的なコメント」という軽そうな名前の自由記述欄だった。患者はなりすましと脅しの連絡に備える。診療所は自由記述欄の使い方と、医師ごとのアカウントの普段と違う動きに誰が気づく仕組みかを確かめる。
2026年にサイバー攻撃で診療が止まった病院4件：何が止まり、患者・医療機関は何をすればいいか
2026年、米国・ベルギー・日本でサイバー攻撃により診療が止まった病院が相次いだ。各病院の発表を並べると、入院と救急はダウンタイム手順（システムが止まったときに紙などで業務を続ける手順）で続いたのに、外来・化学療法・院内薬局・予約の電話・患者ポータル・救急車の受け入れといった、患者の自宅や救急隊など病院の外とのやり取りに関わる機能が止まっていた。ダウンタイム手順は病棟だけでなく、こうした外とのやり取りの機能についても決めておく。侵入口は医療機器の保守用VPN装置のような、医療情報システムと意識されにくい機器にもある。患者は公式サイトで状況を確かめ、急ぐ薬は専用窓口へ、病院を名乗る不審な電話には応じない。
2026年の米国の医療情報漏えい6件：知らない会社から通知が届いたときの確かめ方
2026年、米国では医療情報の漏えいが相次ぎ、その多くは患者が名前も知らない会社で起きた。HHSの公開一覧で6件を並べると、4件は医療機関などから業務を請け負う委託先（Business Associate）、1件は医療機関から検体と情報を受け取る検査会社、残る1件は医療機関本体だが、侵入のきっかけは委託先側だった可能性があると本人が説明している。当サイトの結論：知らない会社からの通知は、それだけでは詐欺の証拠にならない。通知に書かれた番号やリンクを使う前に、HHSの公開一覧と州司法長官の掲載を自分で開いて照合する。組織側は、患者データを渡した先の一覧、契約終了時の返却・廃棄の確認、フィッシングに強い多要素認証（パスキーなど、偽サイトにだまされても認証を渡してしまわない方式）の3つから始める。
つるぎ町立半田病院 ランサムウェア事件（2021）— VPNの未パッチCVEと、本番と一緒に暗号化されたバックアップ
侵入口は、外部公開のVPN装置の既知脆弱性（CVE-2018-13379）を未パッチで放置し、流出済みの認証情報が使えた点だと有識者会議報告書は指摘している。加えて、短いパスワード・アカウントロックなし・利用者が管理者権限という内部の弱さで、院内の他の端末へ被害を広げる（横展開）のが容易だった。決定的だったのは、本番とバックアップが同一ネットワークにあり両方が暗号化されたこと。バックアップが『隔離・オフライン』でなければ、いざというとき復旧の頼りにならない。電子カルテ復旧まで約2か月。あなたの環境では、外部公開VPNの迅速な更新、流出認証情報の失効と使い回し廃止、そして3-2-1＋オフラインのバックアップで守る。
大阪急性期・総合医療センター ランサムウェア事件（2022）— 委託先VPNから侵入、医療のBCP
侵入口は病院本体ではなく、給食委託事業者のリモート保守用VPN機器の脆弱性放置と、流出済み認証情報の悪用だったと調査委員会報告書は指摘している。病院と委託先が常時接続していた構成、サーバ/PCで共通のパスワード、全ユーザーへの管理者権限、電子カルテ系のアンチウイルス未導入、ネットワーク分離不足が重なり、被害が電子カルテ全体に波及。外来・手術・救急が制限され、完全復旧まで2か月強を要した。あなたの環境では、委託先の接続を『自分の攻撃面』として扱い、外部公開VPNの更新、認証情報の使い回し廃止、最小権限、分離、そして医療BCP（紙運用と復旧訓練）で守る。