事案の概要データ
| 公表日 | 2026年10月19日（適時開示） |
|---|---|
| 発覚 | 2026年10月13日 16時ごろ |
| 対象 | 非連結子会社エンタッチのリモートディテーリングサービスのデータベース |
| 漏洩を確認した情報 | 医療従事者の氏名・所属医療機関・所在地都道府県、管理者やeMR等のユーザー情報、予約連絡先、製品・製薬企業名、面談日時など |
| 件数 | 調査中 |
| 原因 | ランサムウェア攻撃を行う第三者の不正アクセス（具体的手口は未公表） |
| 影響していない範囲 | コンテンツ本体・録画・音声は当該DBに存在しない。他のグループシステムは遮断され影響なし |
図解：この事故の構造
何が起きたのか
東邦ホールディングスは2026年10月19日、非連結子会社エンタッチのデータベースからの漏洩を公表しました。発覚は10月13日16時ごろです。
エンタッチは、製薬企業のMR（医薬情報担当者）が医療従事者にオンラインで情報提供を行う「リモートディテーリング」のサービスを提供しています。
漏洩が確認されたのは、医療従事者の氏名・所属医療機関・所在地都道府県、管理者やeMR等のユーザー情報、予約連絡先、製品・製薬企業名、面談日時などです。件数と詳細な範囲は調査中とされています。
原因は、ランサムウェア攻撃を行う第三者による不正アクセスと公表されています。コンテンツ本体・録画・音声は当該データベースに存在せず、他のグループシステムは遮断されて影響はないとのことです。
「誰が、どの薬の説明を、いつ受けたか」
漏洩した情報の組み合わせに注目してください。医療従事者の氏名・所属医療機関に加えて、製品名・製薬企業名・面談日時が含まれます。
つまり「どの医師が、どの製薬会社の、どの薬について、いつ説明を受けたか」が分かるデータです。
これは製薬業界において極めて機微な情報です。競合他社にとっては営業活動の全体像が見える情報であり、医師にとっては処方の傾向を推測されうる情報です。
個人情報という観点だけでなく、営業秘密・競争情報という観点からも重い漏洩だと言えます。
2026年10月6日の旭化成セラピューティクス（医療従事者 最大約51.4万人分）と同様、医療従事者の名簿が標的になり続けています。
「非連結子会社」で起きたこと
この事案が起きたのは、非連結子会社です。連結対象外ということは、親会社の財務諸表に合算されない規模の会社ということになります。
グループのセキュリティ対策は、本体や主要子会社に重点が置かれがちです。小さな子会社は、予算も人員も限られ、対策が後回しになります。
しかし攻撃者にとっては、規模は関係ありません。ネットワークがつながっていて、価値のあるデータがあれば標的です。
2026年6月のサッポロホールディングス（海外子会社2社）、10月9日のブックオフ（子会社の会員管理システム）、15日のACCESS（台湾子会社）と、子会社が入口になる事案が続いています。
この事案では他のグループシステムが遮断されて影響がなかった点は評価できます。グループ内でネットワークを分離しておくことの価値が示されています。
時系列で見る経過
- 2026年10月13日 16時ごろエンタッチのデータベースからの漏洩が発覚
- 2026年10月他のグループシステムを遮断。影響がないことを確認
- 2026年10月19日適時開示で公表。ランサムウェア攻撃を行う第三者の不正アクセスが原因と説明
中小企業が学ぶべきポイント
- グループの小さな子会社ほど対策が後回しになる。攻撃者に規模は関係ない。
- グループ内でネットワークを分離する。本件は他システムへの波及を防げた。
- 医療従事者の名簿は標的になり続けている。所属・連絡先の管理を厳格にする。
- 面談記録には「誰が・何について・いつ」が残る。営業秘密としても重い。
- 件数が未確定でも、漏洩の事実が確認できた段階で公表する。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。