旭化成セラピューティクスの「Pharma DIGITAL」に不正アクセス、なぜ医療従事者最大51万4000人が対象になったのか。委託先からの報告の経緯を確かめる

まず初めに

医療従事者向けサイトというのは、言ってしまえば「医師や薬剤師の名刺を何十万枚もまとめて保管した金庫」のようなものだ。そこを守るはずの鍵を、外部の委託先に預けていた――というのが今回の構図である。51万人という数字の大きさに驚くのは簡単だが、具体的な侵入経路は公表されておらず、別の事案と同じ手口だったとは言えない。委託先に情報を預けるなら、鍵を渡した後の管理も気になる。※個人の感想です

何が起きているのか

旭化成セラピューティクス株式会社(旭化成グループの医薬品事業を統括する中核子会社、旧:旭化成ファーマ)は2026年10月6日、医療関係者向け情報提供サイト「Pharma DIGITAL(ファーマデジタル)」がサイバー攻撃による不正アクセスを受けたと発表しました。

同サイトの運営とデータ管理は、外部の委託先「医薬情報ネット」に委託されていました。公式発表によると、旭化成セラピューティクスは10月2日に医薬情報ネットから、会員データベースへの不正アクセスが確認され、個人情報が閲覧または取得された可能性があるとの報告を受けました。委託先が検知した日時は、この発表では明示されていません。報告を受け、同社はサイトを直ちに停止する措置を取りました。

同社は、不正アクセスの経路への是正措置を既に講じ、10月6日の発表時点で再度不正アクセスされた事実は確認されていないと説明しています。経路の具体的な手口は公表されていませんが、是正措置が未実施という意味ではありません。

流出の可能性がある情報の対象は2つに分かれます。1つめは、サイトに登録している国内の医療従事者で、最大約51万4000人分の氏名、所属施設名、施設住所、職種、診療科などが対象です。このうち最大約4万4000人分では、これらに加えてメールアドレスも流出した可能性があります。2つめは同社の従業員で、約700人分の氏名、メールアドレス、写真が対象とされています。

同社は、クレジットカード情報や、病歴などの要配慮個人情報は保管していないと説明しています。発表時点では、今回の事案に起因する個人情報の不正利用や被害は確認されていないとしています。

サイトは現在も運用を停止したままで、再開時期は明らかにされていません。対象となる医療従事者には、電子メールなどで個別に連絡するとしています。同社は関係当局への報告を行うとともに、外部の専門組織や医薬情報ネットと連携して、原因や影響範囲の調査を進めているとしています。

なぜ重要なのか

今回の事案が注目される理由の一つは、対象となる可能性がある人数が51万人規模と大きいことに加え、流出の可能性がある情報が医療従事者の所属施設名や診療科といった、業務上の立場に直結する情報である点です。氏名と所属医療機関、診療科、メールアドレスが組み合わさって流出していた場合、医療機関や医薬品関連の取引を装った、なりすましメールの材料に使われるおそれがあります。

もう一つの理由は、サイトの運営自体を外部の委託先に任せていたという構造です。企業が自社サービスの運営・データ管理を外部に委託するのは一般的な手法ですが、委託先のシステムが攻撃を受けた場合、委託元の企業が持つ顧客・利用者情報がまとめて流出するリスクを抱えることになります。サプライチェーン攻撃さぷらいちぇーんこうげき(取引先や委託先など、供給網の一部を経由した攻撃)への警戒が必要になっている背景には、こうした委託構造が広く使われている実情があります。

私たちへの影響

一般の消費者が直接Pharma DIGITALを利用する機会は多くありませんが、今回の対象者は医療従事者であり、私たちが受診する医療機関の医師・薬剤師なども含まれている可能性があります。対象となった医療従事者本人にとっては、所属施設名やメールアドレスをもとにしたなりすましメール・フィッシングの標的になるリスクが生じます。

旭化成セラピューティクスは、診療科・所属施設・メールアドレスを組み合わせたなりすましメールに注意するよう呼びかけています。対象に該当するかどうかにかかわらず、同社や関連する医薬品企業を名乗るメールのリンクを不用意に開かない、添付ファイルを安易に開封しない、個人情報の入力を求められても応じないことが基本的な対応になります。

初心者が知っておくべきこと

「不正アクセス」とは、本来アクセスする権限を持たない第三者が、サーバーやデータベースなどのシステムに侵入する行為のことです。侵入の手口には、IDやパスワードの盗用、システムの脆弱性(安全上の欠陥)を突く攻撃など複数のパターンがあり、今回の事案では侵入の具体的な経路は発表時点で明らかにされていません。

今回のように、サイトの運営自体を外部の企業に委託している場合、利用者側からは「自分の情報がどの会社のサーバーに保管されているか」が分かりにくいという特徴があります。普段利用しているサービスが不正アクセスを公表した際は、自社のシステムだけでなく、委託先のシステムが原因になっている場合もあることを知っておくと、ニュースの内容を理解しやすくなります。

Q. 自分(または自分の勤務先)がPharma DIGITALの対象に当たるか確認するには? A. 出典で確認できた範囲では、旭化成セラピューティクスは対象となる医療従事者に電子メールなどで個別に連絡するとしています。該当するかどうかが心配な場合は、同社の公式発表や、Pharma DIGITALの運営に関する最新のお知らせを確認することをおすすめします。

IT Postの見方――「餅は餅屋」も、餅屋ごと崩れたら元も子もない

IT Postは、サイトの運営やデータ管理を専門の外部企業に委託すること自体は、悪いことではないと考える。餅は餅屋、という言葉どおり、自社に専門知識が無い分野を専門家に任せるのは合理的な経営判断だ。

ただ、今回のように運営と情報管理を外部に委託するサービスでは、委託先選びと、その委託先のセキュリティ体質まで把握しておく責任は、やっぱり委託した側にも残っているはずだとIT Postは考える。「情報管理は外に出したから、うちの責任は軽い」とはならない。51万人という数字の重みは、その原則を思い出させてくれる良い機会ではないか。※個人の感想です

今後どうなりそうか

旭化成セラピューティクスは、外部の専門組織や医薬情報ネットと連携して原因や影響範囲の調査を継続するとしています。具体的な侵入経路の詳細や、サイトの再開時期については、発表時点では明らかにされていません。経路への是正措置は実施済みという説明と区別する必要があります。IT Postでは、続報や新たな事実が発表され次第、改めて取り上げます。