富士フイルムメディカルの営業管理システムへの不正アクセス（医療従事者等 約59万人分の個人情報流出のおそれ）
公表日
富士フイルムメディカルの営業管理システムに外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、医療従事者などの個人情報が最大約59万人分流出した可能性があります。流出が確認された件数は発表されていません。
対象者は？
同社が保有する医療従事者と販売事業者従業員の個人情報の一部が対象です。医療従事者は氏名、職種、一部の方の性別・生年月日・年齢・出身地・出身校と卒業年・電話番号・メールアドレス・勤務先に係る情報、所属学会・専門分野・営業管理メモです。販売事業者従業員は氏名と勤務先の名称・住所・電話番号です。金融機関口座情報、クレジットカード情報、患者情報、要配慮個人情報は含まれていないとされています。
同社は、連絡先を把握している該当者に個別に連絡するとしています。詳しくは同社の公式お知らせをご確認ください。
いますぐできること
- 不審なメールや連絡に記載されたリンクや添付ファイルは開かないようにする。
- 同社の公式お知らせを読み、自分が対象に当たりそうか確認する。個別の連絡が届いた場合はその内容に従う。
何が起きたのか
2025年6月23日、同社が管理するアカウントのIDとパスワードを使って、外部の第三者が営業管理システムにアクセスしたことがわかっています。同年10月10日に、約59万人分の個人情報が流出した可能性があると判明しました。同社は対象システムを遮断し、個人情報保護委員会などの関連機関に報告しました。そして12月23日に公式サイトで発表しました。
なぜ起きたのか・なぜ広がったのか
第三者がIDとパスワードを不正に入手し、システムにアクセスした可能性があると発表されています。IDとパスワードをどのように入手されたのかは公表されていません。
いまの状況2026-01-15 時点続報待ち
2025年12月23日の発表時点では、情報の公開や不正利用などの二次的被害は確認されていないとされています。同社はモニタリングを含む調査を続け、ID・パスワード管理体制の強化を含む再発防止策を実施しています。流出が確定した件数や侵入経路の詳細は、まだ発表されていません。
企業として考えたいこと
あなたの会社の顧客管理や営業管理のシステムは、IDとパスワードだけでログインできる状態になっていませんか。万一不正に使われた場合、何か月以内に気づける仕組みがありますか。
技術的な要約
富士フイルムメディカルは2025年12月23日、同社の営業管理システムが外部から不正アクセスを受け、医療従事者および販売事業者従業員の個人情報の一部が流出した可能性があると発表した。社内調査では、同社が管理するアカウントのIDとパスワードを用いて、外部の第三者が2025年6月23日にシステムへアクセスしたことが判明している。約59万人分の個人情報が流出した可能性があることは2025年10月10日に判明した。流出のおそれがある情報は氏名、職種、連絡先、勤務先情報、営業管理メモなどで、金融機関口座情報、クレジットカード情報、患者情報、要配慮個人情報は含まれないとしている。同社は対象システムを遮断して個人情報保護委員会等に報告し、現時点で情報の公開や不正利用等の二次的被害は確認されていないとしている。モニタリングを含む調査を継続し、ID・パスワード管理体制の強化を含む再発防止策を実施している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用公表で確認公式発表では「外部の第三者が弊社の営業管理システムのID及びパスワードを不正に入手し、弊社が使用する当該システムにアクセスした可能性がある」とされている。IDとパスワードの入手経路は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 不正アクセス判明後に対象システムを遮断したと公表されているが、業務停止の有無や期間は公表されていない。
- データ
- おそれ上限 590,000確定 —人氏名性別生年月日電話メール住所従業員情報取引先情報業務データその他約59万人分の個人情報が流出した可能性があるとされ、確定件数は公表されていない。医療従事者は氏名、職種、および一部の方の性別・生年月日・年齢・出身地・出身校と卒業年・電話番号・メールアドレス・勤務先に係る情報、所属学会・専門分野・営業管理メモ。販売事業者従業員は氏名と勤務先の名称・住所・電話番号。金融機関口座情報、クレジットカード情報、患者情報、要配慮個人情報は含まれないとされている。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先や取引先を経由した侵入は公表されていない。
時系列
- 2025-06-23
- 2025-10-10
- 2025-12-23
- 2025-12-23同社は、判明後に対象システムを遮断し、個人情報保護委員会等の関連機関に報告したと説明した。3
- 2025-12-23連絡先を把握している該当者へ個別に連絡し、不審なメールや連絡のリンク・添付ファイルを開かないよう注意喚起することを公表した。3
- 2025-12-23現時点で情報の公開や不正利用等の二次的被害は確認されていないと公表した。モニタリングを含む調査を継続し、ID・パスワード管理体制の強化を含む再発防止策を実施している。3
- 2026-01-15ScanNetSecurityが、約59万人分の医療従事者等の個人情報が漏えいしたと報じた。2
技術解説
公表された侵入と判明の経緯 事実
富士フイルムメディカルは2025年12月23日、営業管理システムが外部から不正アクセスを受け、同社が保有する医療従事者および販売事業者従業員の個人情報の一部が流出した可能性があると発表した。社内調査では、同社が管理するアカウントのIDとパスワードを用いて、外部の第三者が2025年6月23日にシステムへアクセスしたことが判明している。約59万人分の個人情報が流出した可能性があることは、2025年10月10日に判明した。公式発表は、第三者がIDとパスワードを不正に入手して当該システムにアクセスした可能性がある、という表現にとどめている。
流出のおそれがある情報の範囲 事実
医療従事者について流出の可能性があるのは、氏名、職種、一部の方の性別・生年月日・年齢・出身地・出身校と卒業年・電話番号・メールアドレス・勤務先に係る情報、所属学会・専門分野、営業管理メモである。販売事業者従業員については、氏名と勤務先の名称・住所・電話番号である。金融機関口座情報、クレジットカード情報、患者情報、要配慮個人情報は含まれていないとされている。件数は約59万人分の「可能性」であり、流出が確定した件数は公表されていない。2025年12月23日時点で、情報の公開や不正利用等の二次的被害は確認されていないとしている。
公表された対応と報道 事実
同社は、不正アクセス判明後に対象システムを遮断し、個人情報保護委員会等の関連機関に報告したと説明している。連絡先を把握している該当者には個別に連絡し、不審なメールや連絡のリンク・添付ファイルを開かないよう注意喚起している。モニタリングを含む調査を継続し、ID・パスワード管理体制の強化を含む再発防止策を実施している。2026年1月15日にはScanNetSecurityが、約59万人分の医療従事者等の個人情報が漏えいしたと見出しで報じた。ただし公式発表の表現は「流出した可能性」であり、報道の見出しとは表現が異なる。
認証情報が起点となる事案の構造と公表の読み方 解釈
公表内容を見ると、侵入の起点はIDとパスワードであり、脆弱性の悪用は挙げられていない。IDとパスワードの入手経路、多要素認証の有無、接続元の制限などは公表されておらず、境界での防御が働いたかどうかは判断できない。時間軸では、アクセス（2025年6月23日）から判明（同年10月10日）まで約3.5か月、判明から公表（同年12月23日）まで約2.5か月である。この間隔の理由は示されていない。調査や関係機関への報告に必要な期間だった可能性もあり、遅れと断定する材料はない。以上は公表情報からの解釈であり、確定的な評価ではない。
対応
- 封じ込め
- 不正アクセス判明後、対象システムを遮断した。モニタリングを含む調査を継続し、ID・パスワード管理体制の強化を含む再発防止策を実施している。
- 公表の仕方
- 2025年12月23日に公式サイトで発表。連絡先を把握している該当者には個別に連絡し、不審なメールや連絡のリンク・添付ファイルを開かないよう注意喚起している。2025年10月10日の判明から公表まで約2か月半である。
- 当局対応
- 個人情報保護委員会（等の関連機関に報告したと公表）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 有効なIDとパスワードだけで業務システムに入れる状態は、侵入の起点になりうる。 | 営業管理システムなど個人情報を扱うSaaS・社内システムのログインに多要素認証（FIDO2/パスキーまたはTOTP）を必須化する。例外アカウントは棚卸しして期限を付ける。IdP側で多要素認証をバイパスできる経路（レガシー認証、APIトークン）を無効化する。 |
| 不正アクセスの発生から判明まで数か月を要する場合がある。検知の仕組みが重要になる。 | ログイン成功ログ（接続元IP、ASN、国、UA、時刻）をSIEMに集約する。初回接続元、通常と異なる地理、深夜帯、大量参照・エクスポートに対する検知ルールを設定する。ログの保存期間は12か月以上を目安にする。 |
| 営業管理メモなど自由記述欄にも個人情報が蓄積しやすい。保有範囲の把握が被害範囲の把握に直結する。 | システムごとにデータ項目を台帳化し、保有目的と保存期間を定める。不要になった個人情報は定期的に削除またはマスキングする。自由記述欄には入力ガイドを設け、DLPで要配慮情報らしき文字列を検出する。 |
| 認証情報が漏れても被害を限定できるよう、アカウントの権限と参照範囲を絞る必要がある。 | ロールベースの最小権限を設計し、全件検索・一括出力の権限は申請制にする。管理アカウントと通常アカウントを分離する。パスワードを定期的に点検し、漏えい済み資格情報のリスト（Have I Been Pwned等）と突き合わせる。 |
| 流出の可能性が判明した際は、不審メール等の二次被害への注意喚起が重要になる。 | 対象者への連絡テンプレートと、連絡先を持たない対象者向けの公式サイトでの告知手順をインシデント対応計画に含める。送信ドメインにSPF/DKIM/DMARC（p=reject）を設定し、なりすましメールを抑止する。 |
自組織などでの確認項目
- 自組織の営業管理・顧客管理システムは、ID・パスワードのみでログインできるアカウントが残っていないか。多要素認証の適用率を確認できるか。
- 外部からのログイン成功ログを何か月分保存し、異常なアクセスを何日以内に検知できる体制になっているか。
- 営業メモなど自由記述欄を含め、個人情報がどのシステムにどの範囲で保存されているかを一覧で説明できるか。
未解明点
- IDとパスワードがどのような経路で第三者に渡ったのか（公表されていない）。
- 対象システムに多要素認証や接続元制限があったかどうか（公表されていない）。
- 2025年6月23日のアクセス以降、不正なアクセスが何回、どの期間続いたのか（公表されていない）。
- 流出が確定した件数と、約59万人分の内訳（医療従事者と販売事業者従業員の人数）。
- 2025年10月10日に判明した経緯（どのような検知や調査で気づいたのか）。
- 判明から公表まで約2か月半を要した理由の詳細。
出典
- 1日刊薬業（じほう）2017-10-11報道本文確認済
- 2ScanNetSecurity2026-01-15報道本文確認済
- 3富士フイルムメディカル株式会社2025-12-23公式本文確認済
- 4富士フイルムメディカル株式会社2024-04-01公式本文確認済