旭化成セラピューティクスの情報提供サイトが攻撃を受け、医療従事者 最大約51万人分

事案の概要データ

図解：この事故の構造

何が起きたのか

旭化成セラピューティクスは2026年10月6日、医療従事者向けの情報提供サイトがサイバー攻撃を受け、最大約51.4万人分の医療従事者の情報が流出したおそれがあると公表しました。委託先を経由して発生したとされています。

製薬会社は、医師・薬剤師・看護師などの医療従事者に対して、医薬品の情報を提供するためのWebサイトを運営しています。利用には資格確認を伴う会員登録が必要なため、「どの医療機関の誰が、どの分野の医師か」という情報が蓄積されます。

医療従事者の情報が狙われる理由

医療従事者の名簿は、攻撃者にとって価値の高いデータです。所属医療機関・診療科・氏名・連絡先がそろっているため、その後の標的型攻撃やフィッシングの精度が大きく上がります。

「○○製薬です。新薬の情報をご案内します」というメールは、医師にとってごく日常的な連絡です。そこにマルウェア付きのファイルを添付されれば、警戒するのは難しくなります。

医療機関は近年ランサムウェアの主要な標的であり、2024年の岡山県精神科医療センター、2025年の宇都宮セントラルクリニックや徳島大学病院、2026年の九州大学病院と被害が続いています。医療従事者の名簿流出は、その入口を広げることにつながります。

委託先経由という共通パターン

この事案も委託先経由とされています。10月第1週には、大和証券・シチズン時計・損害保険ジャパンが同じ委託先（スカラコミュニケーションズ）のシステム経由で被害を受けた事案も公表されました。

Webサイトの構築・運用を外部に任せること自体は一般的です。問題は、そこに預けた会員データが、委託先のセキュリティ水準に守られているという点です。委託元として、預けるデータの範囲と、委託先の体制を定期的に確認する必要があります。

時系列で見る経過

• 2026年10月医療従事者向け情報提供サイトがサイバー攻撃を受ける
• 2026年10月事案を把握し、調査を開始
• 2026年10月6日医療従事者 最大約51.4万人分の流出のおそれを公表

中小企業が学ぶべきポイント

1. 会員制サイトの構築・運用を委託していても、データの管理責任は委託元にある。
2. 委託先に預ける会員データの範囲と項目を定期的に見直す。
3. 医療従事者・専門職の名簿は標的型攻撃の材料になる。流出時は関係先へ注意喚起を。
4. 流出した側の業界（ここでは医療機関）に対し、なりすましメールへの警戒を促す。

出典・参考

• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope