九州大学病院の治験管理システムに不正アクセス、職員9名のアカウント情報が漏えいのおそれ

事案の概要データ

図解：この事故の構造

何が起きたのか

九州大学は2026年10月28日、外部サービスへの不正アクセスに伴う個人情報の漏えい等について公表しました。2件が掲載されており、そのうちの1件が本件です。

対象は、九州大学病院ARO次世代医療センターが株式会社SOLUMINAと契約して利用している「QLIFICAモニタリングシステム」（治験管理システム）です。

漏えいのおそれがあるのは、本学職員9名のアカウント情報です。項目は氏名、所属、メールアドレス、システム上のログインID、そしてパスワード等のハッシュ値とされています。

患者・被験者情報、要配慮個人情報および業務データの持出しは、現時点で確認されていません。

なお、同日公表されたもう1件は、九州大学校友会のメール配信サービス（ブラストメール）への不正アクセスです。こちらは別の事案として本サイトのブラストメールの記事で扱っています。

9名という規模をどう見るか

9名です。この速報で扱う事案としては、最小の部類に入ります。

それでも取り上げる理由は2つあります。

1つ目は、どんなシステムだったか。 治験管理システムです。治験（新しい薬や治療法の臨床試験）では、被験者の病歴、検査結果、投薬の記録といった、個人情報保護法で要配慮個人情報とされる情報を扱います。これが漏れれば、件数に関わらず重大な事案になります。

今回、患者・被験者情報の持出しは確認されていません。しかし、管理者のアカウント情報が漏れたということは、その先にある情報へ到達される可能性があったということです。

2つ目は、漏れたのが「アカウント情報」であること。 これは、それ自体が被害なのではなく、次の攻撃の材料になります。

氏名、所属、メールアドレス、ログインID。この4つがそろうと、その職員を名指ししたフィッシングメールが作れます。「○○センターの△△様、システムの更新のため再ログインをお願いします」。ログインIDまで書かれていれば、本物にしか見えません。

「パスワードのハッシュ値」が漏れると何が起きるか

公表には「パスワード等のハッシュ値」とあります。これは、パスワードそのものではなく、計算で変換した文字列です。

ハッシュ化してあれば、そのままではログインに使えません。これは安全側の作りです。2026年10月28日に公表された花キューピットの事案も、パスワードがハッシュ化されていたため、直ちに悪用される可能性は低いと判断されました。

ただし、「絶対に安全」ではありません。

攻撃者は、よくあるパスワードを片っ端から同じ方法で変換し、漏れたハッシュ値と一致するものを探します。「password」「Qlifica2026」「組織名＋西暦」のような推測しやすいパスワードは、この方法で解かれます。

だから、ハッシュ値が漏れたときの対応は決まっています。対象者全員のパスワードを変更することです。

そして利用者側の教訓は、こうです。推測されにくいパスワードにする。 単語をつなげた長いもの（例：「赤い自転車と月曜の雨」をローマ字にしたような形）は、長さがあるため解かれにくく、覚えやすいという利点があります。

そして、同じパスワードを他で使わない。 1つ解かれたら、全部入られます。

業務システムの提供元を把握していますか

本件で侵入されたのは、九州大学のシステムではなく、契約して利用している外部のシステムです。

大学や病院に限らず、どの組織も、業務ごとに別々の外部システムを使っています。治験管理、勤怠管理、経費精算、採用管理、顧客管理、予約受付。部署ごとに、現場の判断で導入されたものも多いはずです。

問題は、組織全体でそれを把握している人がいないことです。

情報システム部門が知らないまま、現場がクラウドサービスを契約している。これを「シャドーIT」と呼びます。悪意はなく、業務を早く進めたいだけです。しかし、事故が起きたときに誰も気づけません。

中小企業でも同じです。営業部がクラウドの名刺管理を、総務が勤怠管理を、経理が会計ソフトを、それぞれ別々に契約していませんか。

今日できるのは、各部署に「使っている外部サービスを全部書き出してください」と聞くことです。想像より多く出てきます。そして、その一覧が、次にニュースが流れたときの判断材料になります。

時系列で見る経過

• （日時は未公表）QLIFICAモニタリングシステムへの不正アクセスが発生
• 2026年10月28日九州大学が公表。本学職員9名のアカウント情報に漏えいのおそれ
• 2026年10月28日時点患者・被験者情報、要配慮個人情報および業務データの持出しは確認されていない
• （対応）学内CSIRTおよび個人情報保護委員会へ報告。関係事業者が原因と影響範囲を調査中

中小企業が学ぶべきポイント

1. アカウント情報の漏えいは、それ自体より「次の攻撃の材料になる」ことが問題。
2. 氏名・所属・メールアドレス・ログインIDがそろうと、本人を名指ししたフィッシングが作れる。
3. パスワードのハッシュ値が漏れたら、対象者全員のパスワードを変更する。
4. ハッシュ化されていても、推測しやすいパスワードは解かれる。長い語句をつなげた形にする。
5. 治験管理システムは要配慮個人情報を扱う。管理者アカウントが漏れた時点で深刻度は高い。
6. 部署ごとに現場判断で契約された外部サービス（シャドーIT）は、事故のとき誰も気づけない。
7. 各部署に「使っている外部サービスを全部書き出す」よう依頼する。想像より多く出てくる。

出典・参考

• 外部サービスへの不正アクセスに伴う個人情報の漏えい等について - 九州大学
• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope