丸木医科器械へのサイバー攻撃で基幹システムが全面ダウン、FAX受注に切り替え 2週間たっても復旧せず

事案の概要データ

図解：この事故の構造

何が起きたのか

医療機器卸の丸木医科器械は2026年10月15日、同社サーバーがサイバー攻撃を受けたと公表しました。

公表文によれば、同日10時頃からサーバーが不審なアクセスを受けた影響で、発注・仕入・入出庫管理を担う基幹システムが全面的にダウン。一時的に商品の注文受付と出荷業務を停止せざるを得ない状況になりました。

10月26日の続報では、「その後、弊社サーバーへの外部からの不正アクセスが確認されており」として、個人情報保護委員会への速報を実施し、警察等への報告・相談を進めていると公表しています。

同じ続報の時点でも「現在もシステム障害の影響が続いております」としており、発生から11日たっても復旧していません。顧客・取引先の情報への影響と外部への情報流出の有無は、「現時点では確認が完了しておりません」とされています。

ランサムウェアによるものかどうかは、公表文に記載がありません。

医療機器が届かなくなるということ

この事案の重さは、漏えいの件数ではありません。止まったものが何かです。

丸木医科器械は、東北地方の病院や診療所に医療機器・医療材料を納める卸です。基幹システムが止まると、注文を受けられず、在庫を確認できず、出荷もできません。公表文は影響として「ご注文の出荷遅延」「納期回答、在庫確認の遅延」を挙げています。

医療機関にとって、医療材料は在庫を切らせない物品です。手術や処置に使う消耗品が届かなければ、予定を動かすことになります。

2026年10月は、医療に関わる事案が続きました。メドレーの「アットリンク」（医療機関業務支援システム）、東邦ホールディングスの子会社エンタッチ（リモートディテーリング）、九州大学病院の治験管理システム。そして本件です。

共通するのは、攻撃を受けたのは医療機関ではないのに、医療の現場が止まるという構造です。病院が自前でどれだけ守っても、卸やシステム会社が止まれば影響を受けます。

FAX番号を全部載せた、という判断

注目したいのは、初報の公表文に各支店・営業所のFAX番号がすべて書かれていることです。仙台支店、山形支店、岩手支店、水沢営業所、八戸営業所、マルプロジック北東北。

システムが止まったとき、「FAXでお願いします」とだけ書く会社は多いです。しかし取引先は、どこに送ればいいのか分かりません。問い合わせの電話が殺到し、電話もパンクします。

番号を全部書く。 地味ですが、これで取引先は自分で動けます。

そしてもう1つ。続報には、「ホームページのお問い合わせフォームについて、10月15日以降、送信いただいた内容を確認できない状態が続いております」と書かれ、電話番号と受付時間が案内されています。

これは見落とされがちな点です。問い合わせフォームも止まっている。送った側は「送信完了」の画面を見て、届いたと思っています。しかし届いていません。これを明示したのは誠実です。

自社のサイトやシステムが止まったとき、確認してください。問い合わせフォームは生きているか。 生きていないなら、それを先に伝える必要があります。

「振込先の変更はお願いしません」という一文

続報にはもう1つ、短いですが重要な一文があります。

「本件を理由として、弊社からお取引先様に対し、振込先口座の変更をお願いすることはございません。」

なぜこれを書くのか。システム障害が起きている会社を装って、「システム障害のため、今月の振込先を変更してください」というメールやFAXを送る手口があるからです。混乱している最中なので、取引先は疑いません。これがビジネスメール詐欺（BEC）の典型的な入り方です。

事故の公表は、同時に攻撃者への情報提供にもなります。「あの会社は今、システムが止まっている」と分かるからです。だから、混乱に便乗した詐欺を先回りして否定しておく必要があります。

中小企業がシステム障害や事故を公表するときは、この一文を入れてください。「本件を理由に、振込先の変更をお願いすることはありません」。 1行で書けて、取引先のお金を守ります。

止まった状態が2週間続く、という現実

10月15日に発生し、10月26日の続報でも復旧していません。ランサムウェアかどうかは公表されていませんが、システムが止まったまま2週間近く事業を続けるという状態が現実に起きています。

中小企業の事業継続計画（BCP）で、地震や台風は想定されていても、「基幹システムが2週間止まる」は想定されていないことが多いです。

考えてみてください。自社の受発注システムが明日から2週間使えなくなったら、何が起きますか。

・どの注文が入っているか分かるか（システムの中だけにあるなら、分からない）

・在庫がいくつあるか分かるか（棚を数えれば分かるが、何日かかるか）

・取引先に連絡できるか（連絡先がシステムの中だけにあるなら、できない）

・請求書を出せるか（今月の売上が集計できないと、出せない）

最低限の備えは3つです。①取引先の連絡先リストを、システムの外（紙かローカルのファイル）に持つ。 ②直近の受注・在庫データを定期的に書き出して、別の場所に保管する。 ③手書き・FAXでも業務を回せる書式を用意しておく。

「クラウドだから大丈夫」ではありません。クラウドが止まることも、自社が止まることもあります。紙に戻れる準備を、1日かけて作っておく価値があります。

時系列で見る経過

• 2026年10月15日 10時頃サーバーが不審なアクセス（サイバー攻撃）を受け、基幹システムが全面的にダウン
• 2026年10月15日注文受付と出荷業務の停止を公表。各支店・営業所のFAX番号を掲載し、FAXでの注文を案内（初報）
• 2026年10月15日以降ホームページの問い合わせフォームで、送信内容を確認できない状態が続く
• 2026年10月26日続報を公表。サーバーへの外部からの不正アクセスを確認。個人情報保護委員会への速報を実施し、警察等への報告・相談を進行中。システム障害の影響は継続
• （継続）外部の専門調査機関と連携し、原因の特定と安全な復旧を進行中。情報流出の有無は確認中

中小企業が学ぶべきポイント

1. 攻撃を受けたのが卸やシステム会社でも、止まるのは医療や小売の現場。自社だけ守っても足りない。
2. 代替手段を案内するときは、FAX番号や電話番号を全部書く。「FAXでお願いします」だけでは相手が動けない。
3. システム障害のときは、問い合わせフォームが生きているかを確認する。送信側は届いたと思っている。
4. 公表文に「本件を理由に振込先の変更をお願いすることはありません」の一文を入れる。便乗詐欺を防ぐ。
5. 事故の公表は、攻撃者に「あの会社は今混乱している」と伝えることにもなる。便乗を先回りして否定する。
6. BCPに「基幹システムが2週間止まる」を入れる。地震や台風だけが想定ではない。
7. 取引先の連絡先リストを、システムの外にも持つ。
8. 直近の受注・在庫データを定期的に書き出して別の場所に保管し、手書き・FAXで回せる書式を用意する。

出典・参考

• 【重要】弊社システム障害に伴う、受注・出荷の停止に関するお詫びとご案内（丸木医科器械）
• 【続報】弊社システム障害に関するお詫びとご案内（丸木医科器械）
• 丸木医科器械へのサイバー攻撃で基幹システムがダウン、FAX で注文受付（ScanNetSecurity）