小田原市立総合医療センター、小児科の診療予約システムに不正アクセス 登録情報約2万2,000件

事案の概要データ

図解：この事故の構造

何が起きたのか

小田原市立総合医療センター（神奈川県小田原市）は2026年11月5日、小児科診療予約システムへの不正アクセスにより、登録者の個人情報が漏えいした可能性があると公表しました。対象は約2万2,000件の登録情報です。

予約システムは停止しており、本記事の時点でも再開していません。

医療の予約情報は、何が特別なのか

件数は約2万2,000件で、本サイトが扱う事案としては大きくありません。それでも取り上げるのは、情報の性質が違うからです。

診療の予約情報には、次のものが含まれる可能性があります。①患者の氏名・生年月日 ②保護者の連絡先 ③受診する診療科 ④受診した（する）日。

「どの診療科にかかったか」は、個人情報保護法でいう「要配慮個人情報」に近い領域です。病歴そのものでなくても、診療科が分かれば健康状態が推測できます。

本件は小児科です。つまり、子どもの情報であり、保護者の連絡先がついています。

想定される悪用は、残念ながら現実的です。「○○病院の小児科です。△△ちゃんの検査結果についてお話が」という電話。親なら、まず切りません。そこから個人情報を聞き出されたり、金銭を要求されたりします。

対象となる可能性がある保護者の方への呼びかけは、はっきり1つです。病院を名乗る電話やメールで、お子さんの情報・保険証の番号・口座情報を聞かれても、その場で答えない。 いったん切って、診察券に書かれた番号にかけ直してください。

本物の病院が、電話で口座情報を聞くことはありません。

中小の医療機関・事業所が、同じ予約システムを使っている

本件で考えたいのは、診療予約システムの位置づけです。

多くの病院・クリニックは、予約システムを自前で作っていません。外部のサービスを使っています。歯科、整骨院、美容院、サロン、学習塾、自動車整備工場も同じです。予約を受けるビジネスは、たいてい何かのシステムを使っています。

そして、予約システムは「電子カルテ」ほど厳しく管理されていません。 カルテは医療情報システムの安全管理ガイドラインの対象ですが、予約は「事務のシステム」と見なされがちだからです。

予約を受ける中小事業者が確認すべきことを挙げます。

1. 予約システムに、どんな項目が入っているか見る。 氏名、電話番号、メールアドレス、生年月日、備考欄。備考欄が危ないです。「○○アレルギーあり」「前回の施術内容」など、重い情報が自由記述で入っていることがあります。

2. 管理画面にログインできる人を数える。 退職したスタッフのアカウントが残っていませんか。

3. 管理画面に多要素認証をかけられるか確認する。 設定できるのに使っていないことが多い機能です。

4. 予約システムが止まったときの手順を決める。 本件のようにシステムが止まると、予約が受けられません。電話と紙で受ける手順を、1枚にまとめておいてください。

5. 過去の予約データを消す。 3年前の予約記録を残す理由はありますか。

時系列で見る経過

• （時期は未公表）小児科診療予約システムが不正アクセスを受ける
• 2026年11月5日小田原市立総合医療センターが公表。登録情報約2万2,000件に漏えいの可能性
• 本記事の時点予約システムは停止中

中小企業が学ぶべきポイント

1. 件数は約2万2,000件だが、小児科の診療予約という情報の性質が重い。
2. 「どの診療科にかかったか」が分かると健康状態が推測できる。要配慮個人情報に近い領域。
3. 病院を名乗る電話で、子どもの情報・保険証の番号・口座情報を聞かれても答えない。診察券の番号にかけ直す。
4. 予約システムは「事務のシステム」と見なされ、カルテほど厳しく管理されていないことが多い。
5. 予約システムの備考欄に、アレルギーや施術内容など重い情報が自由記述で入っていないか確認する。
6. 管理画面にログインできる人を数え、退職者のアカウントを削除する。多要素認証が設定できるか確認する。
7. 予約システムが止まったとき、電話と紙で受ける手順を1枚にまとめておく。
8. 過去の予約データを消す。何年分を残す必要があるかを決める。

出典・参考

• 小田原市立総合医療センター、予約システムに不正アクセス 登録情報約2万2,000件に漏えいの可能性、現在も停止（セキュリティ対策Lab・2026年11月7日）
• 2026年11月の不正アクセス・情報漏えい（不正アクセス・情報漏えい事案一覧）