メディックス「セラピア淡路町店」への不正アクセス（最大1万5,210人の個人情報が流出の可能性）
公表日
株式会社メディックスが運営する「セラピア淡路町店」のパソコンが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、最大1万5,210人の顧客の個人情報が外部に流出した可能性があると発表されました。
対象者は？
2005年7月1日〜2025年10月7日にセラピア淡路町店を利用し、店頭アンケートに記入した顧客が対象です（最大1万5,210人）。流出した可能性があるのは氏名、生年月日、住所、電話番号、メールアドレスです。口座情報やクレジットカード情報などの決済情報は含まれないとされています。
同社の公式発表の原文は、今回参照した出典に含まれていません。下の報道記事で内容を確認できます。個別の連絡方法や問い合わせ窓口については、まだ確認できていません。
いますぐできること
- 対象期間に同店を利用してアンケートを書いた覚えがある方は、同社からのお知らせを確認する。
- 身に覚えのないメール、電話、郵便が届いたときは、すぐに返信や記載先への連絡をせず、内容をよく確かめる。
- 不審な連絡が続くときは、家族や身近な人にも共有し、必要に応じて相談窓口に相談する。
何が起きたのか
2025年10月7日の19時ごろ、セラピア淡路町店のパソコンに、ネットワークを通じて不正なアクセスがありました。翌8日の10時にネットワークを遮断するまでの間に、第三者によるアクセスが確認されています。この間に、店舗で管理していた顧客情報が外部に流出した可能性があるとされました。同社は10月17日に発表し、個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。と警察への被害申告を済ませたとしています。
なぜ起きたのか・なぜ広がったのか
侵入の経路や手口は、まだ発表されていません。対象が約20年分のアンケート記入者に及んだ理由についても、公表されていません。
いまの状況2025-10-29 時点続報待ち
2025年10月29日時点で、同社は外部の専門機関と連携して調査を進めているとされています。現時点で、流出した情報の不正利用は確認されていないと発表されています。流出が確定した人数、原因、再発防止策については、まだ発表されていません。
企業として考えたいこと
自分の会社の店舗や拠点のパソコンに、古い顧客アンケートなどの個人情報がどれだけ残っているか、すぐに答えられますか。
技術的な要約
株式会社メディックスは2025年10月17日、運営する「セラピア淡路町店」のパソコンがネットワーク経由で不正アクセスを受け、最大1万5,210人の顧客の個人情報が外部へ流出した可能性があると発表した。不正アクセスは2025年10月7日19時ごろに発生し、翌8日10時のネットワーク遮断までの間に第三者によるアクセスが確認された。対象は2005年7月1日〜2025年10月7日に同店を利用し店頭アンケートに記入した顧客で、氏名・生年月日・住所・電話番号・メールアドレスが含まれる可能性がある。口座情報やクレジットカード情報などの決済情報は含まれないとされ、現時点で不正利用は確認されていない。同社は個人情報保護委員会への報告と所轄警察への被害申告を行い、外部専門機関と連携して調査を進めている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明店舗のパソコンがネットワーク経由で不正アクセスを受けたと発表されているが、侵入経路・手口は公表されていない。
- 脆弱性
- CVE 非公表不明悪用された脆弱性や製品名は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 業務停止の有無は公表されていない。2025年10月8日10時にネットワーク遮断を実施した。
- データ
- おそれ上限 15,210確定 —人氏名生年月日住所電話メール対象は2005年7月1日〜2025年10月7日にセラピア淡路町店を利用し店頭アンケートに記入した顧客（初診アンケート記入分）。影響人数は最大1万5,210人。口座情報やクレジットカード情報などの決済情報は含まれないとされる。現時点で不正利用は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先や取引先を経由した事案とする公表はない。
時系列
- 2005-07-01流出の可能性がある情報の対象期間の開始（セラピア淡路町店を利用し店頭アンケートに記入した顧客）。1
- 2025-10-07 19:00
- 2025-10-08 10:00
- 2025-10-17
- 2025-10-17発表時点で、当該情報の不正利用は確認されていないとした。1
- 2025-10-17発覚後、個人情報保護委員会への報告と所轄警察への被害申告を実施済みで、外部の専門機関と連携して調査中と公表された（実施日は記載なし）。1
- 2025-10-20セキュリティ対策Labが本件を報道した。1
- 2025-10-29ScanNetSecurityが、初診アンケート記入の個人情報15,210名分が漏えいした可能性があるとして報道した。2
技術解説
公表された事実の整理（発生から対応まで） 事実
株式会社メディックスは2025年10月17日、運営する「セラピア淡路町店」のパソコンがネットワーク経由で不正アクセスを受け、最大1万5,210人の顧客の個人情報が外部へ流出した可能性が判明したと発表した。不正アクセスは2025年10月7日19時ごろに発生し、翌8日10時にネットワーク遮断を実施するまでの間に第三者によるアクセスが確認された。報道によれば、この間に同店舗で管理する顧客情報が第三者に流出した可能性を確認したという。発覚後、同社は個人情報保護委員会への報告と所轄警察への被害申告を行い、外部の専門機関と連携して調査を進めている。
対象となる情報と範囲 事実
対象は2005年7月1日〜2025年10月7日にセラピア淡路町店を利用し、店頭アンケートに記入した顧客で、影響人数は最大1万5,210人である。流出の可能性がある情報は、氏名、生年月日、住所、電話番号、メールアドレスとされている。同社によると、口座情報やクレジットカード情報などの決済情報は含まれていない。また、現時点で当該情報の不正利用は確認されていないとしている。ScanNetSecurityは見出しで、初診アンケート記入の個人情報15,210名分が漏えいした可能性があると伝えている。いずれも「可能性」を前提とした数字である。
長期間蓄積された情報が対象となった点（解釈） 解釈
対象期間が約20年に及ぶことから、店頭アンケートの情報が長い期間にわたり蓄積され、一つの店舗で管理するパソコン上に残っていた可能性がうかがえる。ただし保存場所や保存形式、保持期間の考え方は公表されておらず、あくまで推測である。一般に、利用が終わった顧客の情報も保持し続けると、侵害された際の影響範囲が広がりやすい。決済情報が含まれない点は、被害の性質を限定する材料といえる。一方、氏名・生年月日・住所・電話番号・メールアドレスの組み合わせは、なりすましや不審な勧誘に使われる余地がある。
公表内容の評価と未確定事項（解釈） 解釈
公表では、発生時刻、遮断時刻、対象期間、最大人数、項目、決済情報の有無、当局への対応が具体的に示されており、利用者が自分に関係するかを判断しやすい内容と見られる。一方で、侵入経路、手口、検知の経緯、流出の確定人数は、参照できた報道には見当たらない。調査中であるため、今後の続報で内容が変わる可能性がある。なお、本件は公式発表の原文ではなく報道2件に基づく整理であり、細部の表現は原文と異なる場合がある点に留意が必要である。
対応
- 封じ込め
- 2025年10月8日10時にネットワーク遮断を実施した。外部の専門機関と連携して調査を進めている。
- 公表の仕方
- 2025年10月17日に発表。対象期間、最大影響人数（1万5,210人）、流出の可能性がある項目、決済情報は含まれないこと、不正利用は未確認であることを公表した。
- 当局対応
- 個人情報保護委員会へ報告
- 所轄警察へ被害申告
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 長期間蓄積した顧客アンケート情報は、保持するほど侵害時の影響人数が増える | 個人データの保持期間を定め、最終利用日から一定期間を過ぎたアンケート情報は削除・匿名化する。台帳でデータ保管場所と保持期限を管理し、定期的な棚卸しを自動化する。 |
| 店舗の端末が個人情報の保管場所になっていると、本部の管理が及びにくい | 顧客情報は店舗PCのローカルに置かず、アクセス制御と監査ログのあるシステムに集約する。端末にEDRを導入し、店舗PCも資産管理の対象に含める。 |
| 発生から遮断まで約15時間あり、早期の検知と遮断の仕組みが被害範囲を左右する | 外部からの接続や異常な転送量を検知するアラートを設定し、夜間も通知が届く体制を整える。端末やネットワークを即時に隔離する手順を事前に決めて訓練する。 |
| 最大人数とアクセス内容の確定には、操作の記録が欠かせない | 端末とネットワーク機器のログを集中保管し、保存期間を十分に確保する。どのファイルが参照・持ち出されたかを追えるよう、ファイルアクセス監査を有効にする。 |
| 当局報告・警察への申告・公表を早い段階で進める運用が、利用者の自衛につながる | 個人情報保護委員会への報告基準と連絡先、公表文の雛形、問い合わせ窓口の立ち上げ手順をインシデント対応計画に盛り込み、机上演習で確認する。 |
自組織などでの確認項目
- 自組織の店舗・拠点の端末に、顧客アンケートや申込書などの個人情報が残っていないか。残っているなら、いつ時点のものまで保管しているか。
- 個人情報の保持期間は文書で決まっており、期限を過ぎたデータを削除する運用が実際に動いているか。
- 店舗や拠点のPCで不審なネットワーク接続があった場合、誰がどのように気づき、何時間以内に遮断できるか。夜間や休日でも同じか。
- 流出の可能性が判明した場合に、対象期間・最大人数・項目・決済情報の有無を何日で整理して公表できる体制があるか。
未解明点
- 不正アクセスの侵入経路や手口は何だったのか。公表されていない。
- 流出が確定した人数や情報の範囲はどうなったのか。現時点では最大人数のみが示されている。
- 不正アクセスに気づいた日時やきっかけはいつ、何だったのか。
- 外部専門機関による調査結果と再発防止策は、いつ公表されるのか。
- 同社の公式発表の原文では、問い合わせ窓口や対象者への個別連絡について、どう案内されているのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-10-20報道本文確認済
- 2ScanNetSecurity2025-10-29報道本文確認済