旭化成の医薬品子会社である旭化成セラピューティクスは2026年10月6日、医療関係者向け情報提供ウェブサイト「Pharma DIGITAL（ファーマデジタル）」がサイバー攻撃による不正アクセスを受け、サイトに連携する会員データベース内の個人情報が閲覧または取得された可能性があると発表した。対象は医療従事者の氏名・所属施設名・職種などで、最大約51万4,000人分にのぼる。サイトの運営と情報管理は外部の委託先が担っており、不正アクセスはその委託先が管理する会員データベースで確認された。
委託先からの報告で発覚、サイトは即時停止
発表によると、旭化成セラピューティクスは2026年10月2日、Pharma DIGITALの運営と情報管理を委託している株式会社医薬情報ネットから、会員データベースに対するサイバー攻撃による不正アクセスを確認したとの報告を受けた。同社はサイトを即時停止し、追加被害を防ぐ措置をとったとしている。
不正アクセスの経路についてはすでに是正措置を講じており、発表時点で再度の不正アクセスは確認されていないという。一方で、攻撃の手口や侵入の原因は明らかにされておらず、医薬情報ネットと連携して原因と影響範囲の調査を続けている段階である。サイトの運用停止は当面続ける方針だ。
Pharma DIGITALは、国内の医療関係者に向けて、同社の医療用医薬品の適正使用に関する情報や医学・医療情報を提供するウェブサイトである。
漏えいした可能性がある情報
公表された内訳は次のとおりである。
- 医療従事者：氏名、所属施設名、施設住所、職種、診療科など（最大約51万4,000人）
- 医療従事者：上記の情報に加え、メールアドレスなども対象となる区分（約4万4,000人）
- 旭化成セラピューティクスの従業員：氏名、メールアドレス、写真（約700人）
報道では、医療従事者の2つの区分を合わせて最大約56万人分と伝えられている。同社によると、クレジットカード情報や要配慮個人情報（病歴など、取り扱いに特に配慮が必要な個人情報）はデータベースに保管しておらず、発表時点で情報の不正利用などの被害は確認されていない。
同社は関係当局へ報告したうえで、対象となる医療従事者には電子メールなどで個別に連絡するとしている。あわせて、不審なメールに記載されたURLへのアクセスや添付ファイルの開封、個人情報の入力をしないよう注意を呼びかけている。
医療従事者の名簿は「なりすまし」の材料になる
氏名・勤務先の施設名・診療科・職種がそろった名簿は、直接お金に結びつかなくとも、特定の相手を狙い撃ちにする標的型のフィッシングメールやなりすまし連絡の材料として価値が高い。製薬会社や学会、医療機器メーカーからの連絡は医療従事者の業務になじみがあるため、それらを装ったメールは本物と見分けにくい場合がある。病院やクリニックの側にとっても、職員を入口にした不正侵入やランサムウェア被害につながるおそれがあり、注意が必要だ。
また、今回も自社システムではなく、サイトの運営を任せた委託先のデータベースが侵害された事案である。9月下旬以降、国内では委託先や外部サービスを起点とした個人情報の漏えいの公表が相次いでいる。自社で集めた会員情報をどの委託先がどこに保管しているのか、委託先の脆弱性管理や不正アクセスの監視がどう行われているのか、侵害時にどの経路で何時間以内に報告が来るのか。委託契約の書面だけでなく、実際の運用まで踏み込んで確認しておくことが、情報を預ける側の責任として問われている。
同じ手口に、自社は備えられていますか？