関節リウマチの治療を受ける患者を支えるサポートプログラムが、サイバー攻撃の標的になった。旭化成セラピューティクスとシミックヘルスケア・インスティテュート（CHI）は2026年7月24日、患者サポートプログラム「RAコネクト」に関連して、患者や医療従事者など計1,940人分の個人情報が流出したおそれがあると公表した。流出した可能性のある情報には、病名の推測につながりかねない要配慮性の高い内容が含まれており、医療分野が扱う情報の繊細さと、その委託管理の難しさをあらためて突きつける事案となった。
Web公開領域のファイルが突かれる
問題が起きたのは、関節リウマチ治療薬「ケブザラ」の患者を対象としたサポートプログラム「RAコネクト」だ。このプログラムの運営を受託していたCHIのシステムにおいて、Web上に公開された領域に置かれていた一部のファイルが、第三者による不正アクセスを受けたとされる。
外部から到達できる場所に個人情報を含むファイルが存在していた点が、今回の被害の中心にある。旭化成セラピューティクスは、データの取り扱いやアクセス制御の運用上の不備に加え、委託先に対する確認・監督体制が十分でなかったことが背景にあると説明している。攻撃の高度さそのものよりも、公開範囲やアクセス権限の設定という運用面の綻びが突かれた構図がうかがえる。
「病名が推測できる」情報が対象に
流出したおそれがあるのは、計1,940人分の情報だ。内訳は患者246人、医療従事者1,535人、旭化成セラピューティクスの従事者159人とされる。
とりわけ深刻なのは、患者に関する情報の性質である。報道によると、患者の氏名、年齢、性別、電話番号、居住する都道府県、かかりつけの医療機関名などが含まれ、一部にはメールアドレスも含まれていたとされる。「RAコネクト」が関節リウマチという特定の疾患の患者を対象としたプログラムである以上、その利用者であるという事実自体が、本人の病状を推し量る手がかりになりかねない。氏名などと結びついた形での流出は、単なる連絡先の漏えいにとどまらず、機微な健康情報の露出につながる危険をはらんでいる。医療従事者については氏名や所属医療機関名などが、社員については氏名や営業所名などが対象となったとみられる。
発覚から公表までの経緯
公表された経緯によると、不正アクセスが発生したのは2026年6月15日だった。その後、CHIが情報流出を確認したのが7月11日、委託元である旭化成セラピューティクスへ報告したのが7月13日、そして両社が公表に踏み切ったのが7月24日である。
不正アクセスの発生から確認まで、そして公表に至るまでには一定の時間差がある。侵入の痕跡をたどり、どの情報がどれだけ影響を受けたかを見極める調査には相応の手間がかかるのが実情だが、機微な情報を扱う医療関連サービスでは、検知の早さと影響範囲の特定の速度が被害の受け止め方を大きく左右する。
委託の連鎖にこそ潜むリスク
この事案が浮き彫りにするのは、製薬会社が患者向けプログラムの運営を外部に委託する、という医療領域で一般的な体制に潜むリスクだ。情報を保有・活用する主体と、システムを実際に運用する主体が分かれるほど、どこにどの情報が置かれ、誰がアクセスできるのかという全体像は見えにくくなる。今回、公開領域のファイル管理とアクセス制御の不備が指摘され、委託先の監督体制の弱さにまで言及されたことは、その死角がそのまま突かれたことを意味する。
患者支援プログラムのように、本人にとって助けとなるはずの仕組みが、集約された機微情報ゆえに攻撃者にとって価値の高い標的にもなり得る。委託元と委託先のいずれもが、公開範囲の点検、アクセス権限の最小化、そして「預けたら終わり」にしない継続的な監督を徹底しなければ、同種の被害は繰り返されかねない。医療・ヘルスケア分野で個人情報を扱うすべての組織にとって、他人事ではない教訓を含む事案だ。