旭化成セラピューティクスのサイトに不正アクセス、最大約51万4,000名の医療従事者の情報

旭化成の医薬品の子会社、旭化成セラピューティクスは2026年10月6日、医療従事者向けの情報提供サイト「Pharma DIGITAL」が不正アクセスを受けたと発表しました。会員データベースの個人情報が、閲覧または取得された可能性があります。不正利用は、現時点で確認されていないとしています。

旭化成セラピューティクスが10月6日に公表した内容

Pharma DIGITALは、国内の医療関係者に、同社の医療用医薬品の適正使用や医学・医療の情報を届けるサイトです。運営と情報の管理は、委託先の株式会社医薬情報ネットが担っています。

同社の対応

• 委託先の報告を受けて、サイトを即時に停止し、追加の被害を防ぐ措置をとった
• 不正アクセスの経路は是正済みで、再度の不正アクセスは確認されていない
• 関係当局に報告し、外部専門組織と委託先で原因と影響範囲を調べている
• 追加の被害を防ぐため、サイトの運用停止を続ける
• 対象の医療従事者に、電子メール等で個別に連絡する
• 委託先の管理・監督の体制を強め、個人情報保護と情報セキュリティの管理体制を見直す

原因と手口は、発表に書かれていません。この記事でも推し量りません。

影響する人・会社、しない人・会社

• 影響する: Pharma DIGITALに会員登録していた医療従事者。同社は、最大で約51万4,000名の氏名・所属施設名などが対象になる可能性があるとしています。
• 影響する: 所属先のメールアドレスで登録した医療従事者がいる病院、薬局、クリニックなど。発表は、なりすましの連絡による二次被害を注意しています。
• 影響する: 旭化成セラピューティクスの従業員約700名。氏名、メールアドレス、写真が対象になる可能性があります。
• 影響しない: クレジットカード情報と要配慮個人情報。同社は保管していないとしています。
• 影響しない(発表に書かれていない): 旭化成グループのほかのサイトと、取引先の業務のシステム。ただし、委託先にサイトを任せている会社は、下の点検に使えます。

委託先にサイトを任せている会社の備え

公表から言えること

• 運営と情報の管理は委託先で、不正アクセスが確認されたのも委託先が管理する会員データベースでした。
• 同社が知ったのは10月2日、公表は10月6日です。委託先の報告から公表まで4日です。
• 公表の時点で、サイトの停止、経路の是正、当局への報告、外部専門組織との調査が進んでいます。
• 発表が再発防止の柱に挙げているのは、委託先に対する管理・監督の強化です。

一般的な備え

ここからは旭化成セラピューティクスの公表ではなく、会員サイトや問い合わせサイトを委託先に任せている会社の一般的な備えです。今回の原因がこれらに当たるかは、公表されていません。

個人情報保護委員会は、個人データの漏えい(おそれを含む)が起きたときの報告と本人への通知の考え方を、資料にまとめています。委託先で起きた場合も、委託元として対応を問われます。

• 委託先が運営している自社名義のサイトと会員データベースを、一覧にする
• 会員データベースの中身を、項目ごとに確かめる。職種や診療科のような、集まると人を特定しやすい項目は、本当に要るかを見直す
• 委託先が事故に気づいたときに、委託元へ何時間以内に連絡するかを契約に書く
• 委託先の脆弱性診断の日付と範囲、アクセスの記録の保存期間を、委託元が確かめられるようにする
• サイトを止めたときの代わりの連絡手段と、会員への連絡の文面を、あらかじめ決めておく

本人への通知を含む流れは、委託先で個人情報が漏えいしたら?報告3〜5日・30日と本人通知の流れで整理しています。同じ時期のほかの漏えいは、情報漏えい・不正アクセス12件を図解 9月末〜10月6日の件数・原因・公表日数にまとめています。

会社・情シスが今日やること

1. 医療従事者や取引先の担当者に、旭化成セラピューティクスや医薬情報ネットを名乗るメールのURLや添付ファイルを開かないよう知らせる
2. 社員から問い合わせが来たら、10月6日のお知らせと、委託先の窓口(10月8日以降は0120-88-2566)を案内する
3. 自社が委託先に任せているサイトと会員データベースを一覧にし、委託先に会員の項目の一覧を出してもらう
4. 委託契約の、事故のときの連絡の期限と調査への協力の条文を確かめる
5. 委託先のサイトの、直近の脆弱性診断の日付と範囲を確かめる

社員への注意の文面は、次の文例集を書き換えて使えます。