医療機器の商社・丸木医科器械に不正アクセス 受発注が止まり注文はFAXで

受発注のシステムが止まって2週間、注文はFAXで受けたままです。宮城県仙台市の医療機器・診療材料の商社、丸木医科器械は10月15日、サーバーへの不審なアクセスで基幹システムが全面的に止まったと公表しました。10月26日の続報では、外部からの不正アクセスを確認したと明らかにしました。

同社は仙台・山形・岩手・水沢・八戸・気仙沼に拠点を持ち、病院や診療所に医療機器や診療材料を納める商社です。取引先や顧客の情報が外に出たかどうかは、まだ確認が終わっていません。

10月15日に止まり、26日の続報で不正アクセスを確認

公表の流れは、次のとおりです。

同社は外部の専門家と、影響の範囲の調査と、安全に業務を戻す作業を進めている段階です。調査の結果、情報の流出のおそれがある場合も含めて、法令に基づく追加の報告や、本人への通知をするとしました。復旧の見通しは、10月26日の続報でも示されていません。

止まっているのは、注文・出荷・在庫の確認

15日の発表によると、不正アクセスで、発注・仕入・入出庫のデータを扱えない状態です。影響として、注文の出荷の遅れと、納期の回答や在庫の確認の遅れを挙げています。

注文は、復旧するまで各支店・営業所あてのFAXで受けています。番号は、同社の発表に載っています。院内の物品の管理を同社に任せるSPDの契約を結ぶ施設には、担当の営業から個別に案内するとしています。

「口座の変更は頼まない」 同社を装う連絡に注意

続報は、この件に関連して、同社を装った不審なメール・FAX・電話に注意するよう呼びかけています。この件を理由に、同社から取引先に振込先の口座の変更を頼むことはないとしています。

取引先のシステムが止まっている間は、「システムの入れ替えで口座が変わった」「FAXの番号が変わった」という連絡が、本物らしく見えます。不審な連絡を受けたときは、同社の担当の営業か、続報に載った窓口（法務コンプライアンス室）に確かめるよう求めています。

影響するのは東北の病院・診療所と仕入先

影響を受けるのは、同社から医療機器や診療材料を買っている東北の病院・診療所と、同社に商品を納める仕入先です。物品の発注や納期の確認の流れが、いつもと変わっています。

発表は、同社の基幹システムの障害と、同社のサーバーへの不正アクセスについてのもので、取引先の病院のシステムへの影響には触れていません。同社と取引のない医療機関は、直接の影響を受けません。

病院の購買と情シスが確かめる手順

1. 購買の担当と、丸木医科器械への注文がFAXに切り替わっていることを確かめます。FAXの番号は、同社の公式の発表か、これまでの担当の営業から聞いたものだけを使います。
2. SPDの契約を結んでいる場合は、担当の営業からの案内の内容と、院内の在庫の補充の流れが変わっていないかを確かめます。
3. 10月15日以降に、同社のホームページのフォームから問い合わせを送った部署があれば、電話でもう一度連絡します。
4. 経理の担当に、振込先の口座の変更や、新しい連絡先を知らせるメール・FAXが届いても、そのまま手続きしないよう伝えます。確かめるときは、これまで使ってきた番号に電話します。
5. 発注のシステムやメールの連携など、取引のために同社とつないでいる仕組みがあれば、自院のシステムの担当と、接続の有無と、止める必要があるかを確かめます。同社が流出の有無を公表したら、自院の職員の連絡先などが含まれるかを確かめます。