東邦HD子会社エンタッチに不正アクセス 医療従事者の予約情報が漏洩

医薬品卸の大手、東邦ホールディングスは2026年10月19日、非連結の子会社エンタッチ株式会社のデータベースに第三者による不正アクセスがあり、情報の一部が外部に漏洩したと公表しました。ランサムウェア攻撃を行う第三者によるものとしています。漏れたのは、医療従事者向けのリモートでの情報提供(リモートディテーリング)の予約などの記録で、件数と詳しい範囲は調査中です。

東邦HDが10月19日に公表した内容

東邦ホールディングスは、東京証券取引所の適時開示(TDnet)でお知らせを出しました。医薬品卸の子会社、東邦薬品の公式サイトにも同じ内容が載っています。どちらも、エンタッチから受けた報告を踏まえた内容だとしています。

公表によると、2026年10月13日16時ごろ、エンタッチが管理するデータベースから、リモートディテーリング事業のデータが外部に漏洩していることが分かりました。原因は、ランサムウェア攻撃を行う第三者による不正アクセスで、データベース内の情報が外部に流出したことを確認しています。

ランサムウェアは、データを暗号化して身代金を求める攻撃です。最近は、暗号化の前にデータを盗み出し、公開すると脅す手口も使われます。今回の公表では、データの改ざんや消去は確認されていないとしています。

エンタッチとリモートディテーリング

リモートディテーリングは、製薬企業などが医療従事者に、オンラインの面談で医薬品の情報を伝える活動です。エンタッチの会社概要によると、同社は2015年9月の設立で、親会社は東邦ホールディングスです。事業は、リモートディテーリング事業・インターネットによる情報提供サービスなどです。

同社のサイトは、医療従事者の面談の予約を、東邦薬品を中心とした共創未来グループの営業担当(MS)が取るサービスを紹介しています。2022年2月のニュースでは、医療従事者が製薬企業にメールアドレスや直通の電話番号を教えないことが多い、と予約を取る難しさを説明しています。今回漏れた予約の連絡先は、ふだん外に出にくい情報だということです。

公表によると、このリモートディテーリング事業は、東邦薬品から受託している場合と、エンタッチが製薬企業から直接受託している場合があります。

漏洩した情報と、対象外の情報

公表で、漏洩が確認された情報は次のとおりです(10月19日時点)。

説明に使う資料のファイル本体と、録画・音声のデータは、このデータベースに無いため対象外としています。

漏れた情報を合わせると、どの医療従事者が、どの製薬企業のどの製品の説明を、いつ受ける予定だったかが分かります。こうした記録は、製薬企業や卸を名乗るもっともらしい連絡の材料になりえます。東邦ホールディングスも、不審なメールなどへの注意を呼びかけています。

エンタッチが行った対応

公表によると、エンタッチは発覚の直後に、次の応急・防御の措置をとりました。

• データベースにアクセスするソフトウェアに、セキュリティの修正(パッチ)を当てた
• アクセスの記録(ログ)を保全し、すべてのパスワードを強制的に変えた
• 警視庁サイバー犯罪対策課に相談した
• 個人情報保護委員会に報告した(東邦薬品からの委託に基づく分は、東邦薬品が報告)

パッチを当てたソフトウェアの名前や、侵入の経路は公表されていません。今後は、フォレンジック調査会社と原因の究明、影響範囲の特定、対策の検討を進めるとしています。

委託の道すじが2つあることの意味

この事業には、製薬企業から東邦薬品を通じてエンタッチに届く仕事と、製薬企業からエンタッチに直接届く仕事があります。個人情報保護委員会への報告も、東邦薬品からの委託の分は東邦薬品が行ったとしています。

個人情報保護委員会のガイドラインは、個人データの扱いを委託している場合、原則として委託元と委託先の双方が報告の義務を負うとしています。連名で報告することもできます。委託先が委託元に事態を知らせたときは、委託先の報告の義務は免除されます。

エンタッチに直接委託していた製薬企業は、エンタッチからの知らせの中身と、自社の報告の要否を確かめる立場にあります。判断に迷うときは、個人情報保護委員会の資料や窓口で確かめます。

影響する人・会社、しない人・会社

• 影響する: エンタッチのサービスでリモートでの情報提供を受けた医療従事者です。氏名、所属医療機関、都道府県、予約のときに入力した電話番号やメールアドレスが対象です。
• 影響する: プラットフォームを使っていた製薬企業などの管理者やeMRです。氏名とメールアドレスが漏れています。
• 影響する: リモートディテーリングをエンタッチに直接、または東邦薬品を通じて委託していた製薬企業です。自社の製品名と、面談の予定の記録が漏れています。
• 影響しない: 公表によると、東邦グループのほかのシステムには影響がありません。東邦薬品との医薬品の取引そのものが止まったという公表はありません。
• 影響しない: 説明に使う資料のファイル本体と、録画・音声のデータは対象外です。患者の情報は、漏洩が確認された情報に挙がっていません。

会社・情シスが今日やること

1. 医療機関は、院内に注意を回します。 製薬企業や卸を名乗る、面談の日程変更や資料の送付のメール・SMSに注意するよう、医師・薬剤師と事務の担当者に知らせます。確かめる先は、ふだんの担当者の連絡先にします。
2. 製薬企業は、エンタッチとの契約の形を確かめます。 直接の委託か、東邦薬品を通じた委託かで、知らせを受ける窓口が変わります。直接の委託なら、エンタッチからの知らせの内容と、自社の報告の要否を確かめます。
3. 製薬企業は、プラットフォームの利用者に知らせます。 管理者やeMRの氏名とメールアドレスが漏れています。同じパスワードをほかで使っていれば変えるよう伝え、自社を名乗る不審なメールに注意させます。
4. 委託先の管理を見直します。 医療従事者の連絡先を預けている委託先を一覧にし、データベースに当てる修正の決まり、ログの保存、漏洩の連絡の期限が契約にあるかを確かめます。
5. 続報を見ます。 件数と範囲は調査中です。東邦ホールディングスと東邦薬品のお知らせを、週に1回は確かめます。

製薬企業が委託先に聞くこと

エンタッチに仕事を出していた製薬企業は、次のことを文書で聞いておくと、本人への連絡や報告の判断がしやすくなります。

院内・社内に回す文面の例

医療機関の事務や、製薬企業の情シスが、そのまま使える文面の例です。

件名: 製薬企業・卸を名乗る不審な連絡にご注意ください

10月19日、東邦ホールディングスの子会社エンタッチ(医療従事者向けのリモートでの情報提供の予約などを扱う会社)で、医療従事者の氏名・所属医療機関・連絡先や、面談の予定などの漏洩が公表されました。 面談の日程の変更や資料の送付を装うメール・SMSが届いたら、リンクや添付を開かず、ふだんの担当者の連絡先に確かめてください。パスワードや個人の情報を求める連絡には応じないでください。

まだ分からないこと

• 漏洩の件数と、対象の医療従事者・製薬企業の数は、調査中とされています。
• 侵入の経路と、パッチを当てたソフトウェアの名前は書かれていません。
• エンタッチ自身の公式サイトのニュースには、10月19日に編集部が確かめた時点で、このお知らせは載っていません。
• 対象の人への個別の連絡の方法は、公表に書かれていません。

2026年10月19日時点の内容です。