エムスリー「MR君」に不正アクセス 医師ら2万5,775人と製薬企業の担当者2,260人

エムスリーは10月23日、製薬企業向けのサービス「MR君」への不正アクセスについて、第2報を出しました。10月15日の第1報では「医師会員全体の1割未満」「数百名規模」としていた対象が、医師ら2万5,775人と、製薬企業の担当者2,260人と分かりました。

MR君は、製薬企業の担当者（MR）が、医師に薬の情報を届けるためのサービスです。漏れた情報には、氏名や勤務先に加えて、どの製薬企業のどの担当者が、どの医師を受け持っているかという関係も含まれます。

第1報の「1割未満」が、第2報で2万5,775人に

10月23日の時点で、漏えいした情報が不特定多数に公開されたり、不正に使われたりした事実は確認されていません。不正アクセスを許した原因は、第1報の時点で調査中とされ、第2報も原因には触れていません。

漏れたのは、氏名・勤務先と「担当の関係」

第2報が漏えいを確認した情報は、次のとおりです。

ログインのパスワードと、保有するm3ポイントは含まれていません。クレジットカードの番号などは、もともとエムスリーが持っていません。m3.com会員などの中には、m3.comの会員ではなく、製薬企業からエムスリーが預かっていた医師の情報も含まれています。

メールアドレスまで漏れた人は、医師らで6人、製薬企業の担当者で264人と、全体のごく一部です。多くの人については、氏名と勤務先、担当の関係が中心です。

「担当の関係」が漏れると、何が起こりうるか

担当の関係は、医師にとっては「いつも情報をくれるMRは誰か」、製薬企業にとっては「どの医師を誰が受け持っているか」を示す情報です。名簿の一部としては目立ちませんが、なりすましの材料になりえます。

たとえば、実在の担当者の名前と会社名で、医師の勤務先に「新しい資料をお送りします」「面談の日程を調整させてください」と連絡すれば、本物らしく見えます。エムスリー自身も、同社を装った不審なメール、SMS、電話に気をつけるよう呼びかけています。同社からの個別の連絡で、パスワードやクレジットカード、銀行口座の情報の入力を求めることはないとしています。

製薬企業と医師をつなぐサービスでは、10月19日に、東邦ホールディングスの子会社の件も公表されています。経緯は東邦HD子会社エンタッチに不正アクセス 医療従事者の予約情報が漏洩にあります。なお、エムスリーは10月21日に、別の件も公表しています。同社が使うクラウドサービス「Studio」への不正アクセスで、サービスのサイトから情報が漏れた可能性があるというものです（Studioに不正アクセス、フォームの回答やAPIキーも 委員会への連名報告は11月上旬から）。

影響するのは製薬企業と医療機関、患者の情報は対象に書かれていない

影響するのは、MR君を使っている製薬企業と、その担当者、MR君で情報を受け取っている医師です。製薬企業の側には、エムスリーの担当者から順に連絡が入るとしています。医師には、登録のメールアドレスへ個別の連絡が届きます。

医療機関は、所属する医師が対象になっていれば、勤務先の名前と結び付いた連絡が届きうる立場です。病院の代表のアドレスや医局に、MRや製薬企業を名乗る不審な連絡が届くことも考えておきます。

発表は、患者の情報について触れていません。漏えいを確認した項目として挙がっているのは、医師と製薬企業の担当者の情報です。

製薬企業と医療機関の情シスが確認する手順

1. 製薬企業は、エムスリーからの連絡で、自社の担当者と、自社が登録していた医師の情報のうち、どれが対象かを確かめます。エムスリーに預けていた医師の情報が含まれる場合は、預けた側として何をするかを、エムスリーと法務の担当と相談します。
2. 製薬企業は、対象の担当者に、自分の名前を使った偽の連絡が医師に届きうることを伝えます。医師から「この連絡は本物か」と聞かれたときの答え方と、社内の連絡先を決めておきます。
3. 医療機関は、医師や医局の事務に、エムスリーやMR、製薬企業を名乗るメール・SMS・電話で、パスワードや資料の受け取りのためのログインを求められたら、応じずに情シスへ回すよう知らせます。
4. 医療機関のメールの受け口で、エムスリーや製薬企業の名前を使った、見慣れない送信元のメールを監視します。添付やリンクのあるものは、受け取った人に確かめてから開かせます。
5. 自社で医師や取引先の情報を外のサービスに預けている会社は、預け先と、預けている項目の一覧を見直します。担当の関係のような、名簿の付帯の情報も、預けている情報に入れて数えます。