震度5

旭化成セラピューティクス

個人情報1,940人

漏えい確定病歴・健康・施術情報 / 電話番号設定不備・誤公開 · 封じ込め済

監視モニターでこの事案を見る ▶
公表
2026/08/21
検知
2026/07/11
検知から公表まで
41日
確度
漏えい確定
種別
設定不備・誤公開
状況
封じ込め済
対策投資
未調査
補償
発表なし・未定

漏えいした情報

基本属性氏名、年齢、性別
連絡先居住都道府県、電話番号、メールアドレス
要配慮個人情報かかりつけ医療機関
勤務・人事医療機関名、営業所名

規模

  • 患者・医療従事者・委託先従業員の合計 1,940人
  • 医療従事者 1,535人
  • 患者（メールアドレス） 216人
  • 患者（氏名等） 30人
  • 委託先従業員 159人

対象者

  • 患者
  • 医療従事者
  • 委託先従業員

原因

委託先CHIの患者サポートプログラムのシステムで、個人情報を含むファイルがウェブ公開領域に置かれ不正アクセスを受けた。データの取り扱いやアクセス制御の運用に不備、確認・監督体制も不十分

時系列

  1. 委託先システムへの不正アクセス
  2. 委託先が個人情報を確認
  3. 第一報

対応

  • 権限見直し
  • 本人通知

アクセス制御の不備を是正し、対象者に連絡

あなたがすべきこと

  1. 健康・施術の情報は取り消せない。脅しや口止め料の要求には応じず、警察（#9110）か消費生活センター（188）に相談する
  2. この会社を名乗るメールのリンクは開かない。お詫びメールそのものが偽物のことがある
  3. SMSや電話の「お詫び」「返金」は詐欺を疑う。折り返しは公式サイトの番号へ
  4. 身に覚えのない郵便物や請求書に注意。自宅住所は変えにくい
  5. あなた宛ての人事・面接連絡を装った標的型メールに注意する
  6. 会社からの通知メール・公式発表で、自分が対象か確認する

事業者への教訓

  1. 委託先との契約にセキュリティ要件・監査権・報告期限を入れる
  2. 共有・キャッシュ設定の変更は二人で確認し、公開前にテストする。クラウド設定は自動監視（CSPM）
  3. 個人情報保護委員会へ速報（3〜5日）と確報（30日、不正目的は60日）
  4. レッドチーム演習とAIによる防御強化を行い、その投資額を公表する

出典