倉敷中央病院での患者情報入りUSBメモリ紛失（1,162名分・暗号化なし）
公表日
倉敷中央病院で、患者1,162名分の情報を保存したUSBメモリが2025年12月4日に所在不明となりました。暗号化はされておらず、不正利用や流出の報告は公表時点で確認されていません。
対象者は？
2022年1月〜2025年12月に倉敷中央病院でTAVI、TEER、LAAC術を受けた患者さんが対象で、最大1,162名です（流出が確認されたのではなく、対象となる人数です）。保存されていたのは氏名、患者ID、年齢、体重、手術時検査値、測定波形図、術式で、住所や電話番号などの連絡先情報は含まれていません。
病院は対象の患者さんへ個別通知を順次行うとしています。詳しくは病院の公式のお知らせをご確認ください。
いますぐできること
- 対象に当たる手術を受けた方は、病院からの個別通知が届いていないか確認する。
- 病院の公式のお知らせで、最新の案内を確認する。
- 身に覚えのない連絡があった場合は、すぐに応じず、病院の公式な窓口に確認する。
何が起きたのか
2025年12月3日、倉敷中央病院の職員が、院内の別部署へデータを移すために、手術に関する測定データをUSBメモリに保存しました。翌12月4日、そのUSBメモリの所在が分からなくなりました。病院はすぐに探しましたが、見つかっていません。病院は12月15日にこの件を公表し、国の個人情報保護委員会へ報告したと発表しました。
なぜ起きたのか・なぜ広がったのか
紛失の詳しい経緯は、確認できた範囲では示されていません。USBメモリは暗号化されていなかったため、第三者が手に入れた場合には中身を見られる可能性を否定できないと、病院は説明しています。
いまの状況2026-01-07 時点続報待ち
2026年1月7日の報道の時点でも、USBメモリは見つかっていないとされています。病院は、2025年12月15日時点では不正利用の報告や流出の事実は確認されていないとしています。対象の患者さんへの個別通知は順次行われ、再発防止策として管理体制の見直しと職員教育の強化が示されています。補償などについては、まだ発表されていません。
企業として考えたいこと
あなたの会社で、個人情報を含むデータを一時的にUSBメモリなどに保存している場面はありませんか。もしそれをなくしたら、中身と対象者をすぐに説明できるでしょうか。
技術的な要約
倉敷中央病院（岡山県倉敷市）は2025年12月15日、循環器内科・心臓血管外科手術に関する患者情報を保存したUSBメモリを紛失したと公表した。2025年12月3日に院内の別部署へデータを移管する目的で測定データをUSBメモリに保存し、翌12月4日に所在が不明となった。院内各所を捜索したが、公表時点まで発見されていない。対象は2022年1月〜2025年12月にTAVI、TEER、LAAC術を受けた患者1,162名で、氏名、患者ID、年齢、体重、手術時検査値、測定波形図、術式が画像データとして保存されていた。USBメモリは暗号化されておらず、情報漏えいの可能性を否定できないが、12月15日時点で不正利用の報告や流出の事実は確認されていない。個人情報保護委員会へ報告済みで、対象患者への個別通知を順次行うとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認外部からの侵入ではなく、USBメモリの所在不明（紛失）による事案。公表では2025年12月4日に所在が不明となったとされ、紛失の経緯の詳細や第三者による入手の有無は示されていない。
- 脆弱性
- CVE 非公表公表で確認USBメモリ（製品名非公表）紛失したUSBメモリには暗号化が施されておらず、第三者が入手した場合に記録内容が閲覧される可能性を否定できないと公表されている。
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし
- データ
- おそれ上限 1,162確定 —人氏名その他対象は2022年1月〜2025年12月に同院でTAVI、TEER、LAAC術を受けた患者1,162名。保存項目は氏名、患者ID、年齢、体重、手術時検査値、測定波形図、術式で、画像データとして保存されていた。住所・電話番号などの連絡先情報は含まれない。2025年12月15日時点で不正利用の報告や外部への流出の事実は確認されていない。data_typesの「その他」は患者ID、年齢、体重、手術時検査値、測定波形図、術式を指す。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
公表された経緯と現在地 事実
倉敷中央病院は2025年12月15日付で、循環器内科・心臓血管外科手術に関する患者情報を保存したUSBメモリを紛失したと公表した。2025年12月3日に院内の別部署へデータを移管する目的で測定データをUSBメモリに保存し、翌12月4日に所在が不明となった。病院は直ちに関係各所を捜索したが、公表時点まで発見に至っていない。報道（ScanNetSecurity）でも、記事掲載時点まで発見に至っていないと伝えられている。このため、本件は調査中の扱いである。
対象データの範囲と数値の扱い 事実
対象は、2022年1月〜2025年12月に同院でTAVI、TEER、LAAC術を受けた患者1,162名分である。保存されていたのは氏名、患者ID、年齢、体重、手術時検査値、測定波形図、術式で、画像データとして保存されており、住所や電話番号などの連絡先情報は含まれていない。USBメモリは暗号化されておらず、第三者が入手した場合に内容が閲覧される可能性を否定できないとされる。一方、2025年12月15日時点で、第三者による不正利用の報告や、インターネット上などへの流出の事実は確認されていない。1,162名は対象患者数であり、流出が確認された人数ではない。
病院が示した対応 事実
病院は国の個人情報保護委員会へ報告を実施したと公表し、対象患者への個別通知を順次行うとしている。再発防止策としては、管理体制の見直しと職員への教育をさらに強化するとしている。公表文には、対象患者数、対象となる患者の範囲、保存されていた情報、USBメモリが暗号化されていなかった点が記されている。2025年12月15日時点の状況として、不正利用の報告や流出の事実は確認されていないとも述べている。
暗号化の有無がリスク評価を左右する 解釈
紛失事案では、媒体を誰かが入手したかどうかが分からないため、影響の大きさは媒体そのものの保護状態に左右される。本件ではUSBメモリが暗号化されていなかったと公表されており、仮に第三者の手に渡った場合には内容を確認できる状態だったことになる。1,162名という人数に加え、氏名と手術時の検査値・術式が結びつく医療情報である点も、病院が漏えいの可能性を否定できないとした背景と考えられる。ただし、これは公表内容からの読み取りであり、実際に第三者が入手したかどうかは分かっていない。
移管作業という一時的な持ち出しの難しさ 解釈
今回のデータは、院内の別部署へ移すという日常業務の途中でUSBメモリに保存されたものである。こうした一時的な媒体利用は、恒常的なシステムと比べてアクセス制御・ログ・保管ルールの対象から漏れやすい傾向がある。公表からは、保存先の選定や保管・受け渡しの手順がどう定められていたかは読み取れない。病院は管理体制の見直しと職員教育の強化を挙げており、個人の注意に頼らず、暗号化や受け渡し経路といった仕組みの面でどこまで見直されるのかが、今後の注目点になる。
対応
- 封じ込め
- USBメモリの所在不明を確認後、直ちに関係各所を捜索したが、公表時点まで発見に至っていない。再発防止策として、管理体制の見直しと職員への教育をさらに強化するとしている。
- 公表の仕方
- 2025年12月15日に病院サイトで「USBメモリ紛失に関するお知らせとお詫び」を公表し、対象患者数、対象期間・術式、保存項目、暗号化されていなかったことを記載した。対象患者には個別通知を順次行うとしている。
- 当局対応
- 個人情報保護委員会（報告実施済みと公表）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 院内でのデータ移管という日常業務でも、可搬媒体に患者情報を置くと紛失の影響が大きくなる。 | 部署間のデータ移管は、USBメモリではなくアクセス制御と証跡のある院内の共有領域や承認済みの転送手段で行う運用にする。 |
| 暗号化されていない媒体は、紛失時に「漏えいの可能性を否定できない」状態になる。 | 可搬媒体は暗号化機能付きのものだけを貸与・許可し、EDRやデバイス制御で未暗号化媒体への書き込みを禁止する。 |
| 紛失の影響範囲は、何がどの媒体に保存されたかを後から特定できるかで決まる。 | 媒体の貸出・返却台帳と、データ保存時の記録（誰が・いつ・何を）を残し、対象者リストを速やかに作成できるようにする。 |
| 所在不明の発覚が翌日でも、媒体が見つからなければ対象者への説明責任が長期化する。 | 可搬媒体の使用は終了時に回収・消去を確認する手順にし、未返却を当日中に検知する。 |
| 患者情報を含む媒体の紛失は、外部への報告と対象者への通知を同時に進める必要がある。 | 個人情報保護委員会への報告、本人通知、公表文の雛形と判断基準を事前に整備し、机上訓練で確認しておく。 |
自組織などでの確認項目
- 自組織で個人情報や業務データを一時的にUSBメモリなどの可搬媒体に保存している場面はどこか。その媒体は暗号化されているか。
- 部署間のデータ移管に、可搬媒体を使わなくて済む承認済みの手段が用意されているか。
- 可搬媒体が所在不明になったとき、何が保存されていたかと対象者の人数を、何時間以内に特定できるか。
未解明点
- USBメモリの紛失に至った具体的な経緯（保管場所、持ち出しの有無など）は公表されておらず、不明である。
- USBメモリは発見されたのか。記事掲載時点では未発見とされ、その後の状況は確認できていない。
- 再発防止策として、暗号化の義務化など具体的にどのような仕組みの見直しが行われるのかは示されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-16報道本文確認済
- 2ScanNetSecurity2026-01-07報道本文確認済
- 3倉敷中央病院2025-12-15公式本文確認済