徳島大学病院への不正アクセス（検体検査患者16,945件・職員計1,975名分の情報漏えいのおそれ）
公表日
徳島大学病院の院内システムに外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、検体検査を受けた患者16,945件と職員の情報が漏れた可能性があると発表されました。漏えいの事実は確認されていません。
対象者は？
2025年7月25日〜10月22日に同院で採血または検尿を受けた患者16,945件（登録患者90,728人の一部）。職員は検体検査の受付業務に関わった42名と、看護キャリア支援システムに登録された職員1,933名（退職者含む）。含まれない情報：検査結果（数値）とクレジットカード情報。
対象の方には郵送またはメールで順次通知されています。通知や詳細は病院の公式FAQで確認できます。
いますぐできること
- 病院から届く郵送やメールの通知を確認する。
- 身に覚えのない連絡や請求があれば、病院へ連絡する。
- 病院のFAQで更新情報を確認する。
何が起きたのか
2025年10月11日から22日にかけて、徳島大学病院が院内で管理するシステムに外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。がありました。病院が気づいたのは10月29日で、12月22日に個人情報が漏れた可能性があると発表しました。対象は検体検査システムと看護キャリア支援システムです。患者の情報は、患者ID、氏名、性別、生年月日、検査の依頼内容などです。看護キャリア支援システムでは職員のユーザーIDやパスワードなども対象に挙げられています。
なぜ起きたのか・なぜ広がったのか
侵入の経路や原因は、まだ発表されていません。公表まで約2か月かかった理由について病院は、ログを調べて影響範囲を特定したことと、対象者への個別通知の準備に時間がかかったためと説明しています。
いまの状況2026-01-15 時点続報待ち
2026年1月15日の時点で、情報漏えいの事実、不正使用、二次被害は確認されていません。病院はサーバの遮断、パスワード変更、ネットワークの組み直しを行い、多要素認証の導入などを進めています。要配慮個人情報について、病院は1月15日に「該当する可能性がある」と訂正しました。被害が確認された場合は、警察や弁護士に相談のうえ、補償を検討するとしています。侵入の経路や攻撃者については、まだ発表されていません。
企業として考えたいこと
自社の重要なシステムに外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があった場合、どのシステムの、どの情報が、いつからいつまで対象かを、何日で確認して公表できる体制になっていますか。
技術的な要約
徳島大学病院は2025年12月22日、院内で管理するシステムへの外部からの不正アクセスにより、登録された個人情報が漏えいした可能性があると発表した。不正アクセスは2025年10月11日から10月22日に発生し、病院が把握したのは10月29日である。検体検査システムでは、2025年7月25日から10月22日に採血または検尿を受けた患者16,945件の患者ID・氏名・性別・生年月日・検査オーダー情報と職員42名の情報が対象で、検査結果（数値）やクレジットカード情報は含まれない。看護キャリア支援システムでは職員1,933名（退職者含む）のユーザー情報などが対象として示された。病院はサーバ遮断、パスワード変更、ネットワーク再構成を実施済みでMFA導入などを進めており、現時点で情報漏えいの事実、不正使用、二次被害は確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表では「院内で管理しているシステムに対して外部から不正アクセスがあった」とされるのみで、侵入経路は示されていない。
- 脆弱性
- CVE 非公表不明悪用された脆弱性の有無・製品名は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 公表資料に業務停止に関する記載はない。対象サーバの遮断を実施した。
- データ
- おそれ上限 16,945確定 —件氏名性別生年月日会員ID従業員情報検体検査（患者）16,945件（2025年7月25日〜10月22日に採血・検尿を受けた方。登録患者は90,728人）：患者ID・氏名（漢字・カナ）・性別・生年月日・検査オーダー情報（検体名、依頼コメント等）。検査結果（数値）とクレジットカード情報は含まれない。検体検査（職員）42名：職員ID・氏名。看護キャリア支援システム：登録職員1,933名（退職者含む）のユーザーID・パスワード・氏名・職員番号・部署・職種・役職・メールアドレス等と研修履歴・教材・ラダー情報。records_maxは患者分のみで、職員分は別。情報漏えいの事実は確認されていない。要配慮個人情報について、FAQ初版は非該当としたが、2026-01-15訂正版は該当する可能性があるとしている。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先や取引先を経由したとする記載は公表資料にない。
時系列
技術解説
公表された事案の範囲と時系列 事実
徳島大学病院は2025年12月22日、院内で管理するシステムに外部から不正アクセスがあり、登録された個人情報が漏えいした可能性があると発表した。不正アクセスの発生期間は2025年10月11日から10月22日で、病院が事案を把握したのは10月29日である。病院は10月29日に可能性を確認したが直ちには公表せず、約2か月後の12月22日に知らせたと説明している。対象は検体検査システム（血液・尿等）と看護キャリア支援システムである。12月24日にはFAQ vol.3、2026年1月15日にはvol.4が公表され、内容が更新された。報道では2026年1月14日にScanNetSecurityが16,945件の患者情報が漏えいした可能性を伝えている。いずれも「可能性」の段階の公表であり、漏えいの事実そのものは確認されていないとされる。
対象情報と件数の内訳 事実
検体検査システムでは、2025年7月25日から10月22日に採血または検尿を受けた患者16,945件が対象で、登録患者90,728人のうちの一部である。情報は患者ID、氏名（漢字・カナ）、性別、生年月日、検査オーダー情報（検体名、依頼コメント等）で、検査結果（数値）とクレジットカード情報は含まれないとされる。職員は採血や検尿の受付業務に関わった42名で、職員IDと氏名が対象である。看護キャリア支援システムでは登録職員1,933名（退職者含む）のユーザーID、パスワード、氏名、職員番号、部署、職種、役職、メールアドレス等と研修履歴・教材・ラダー情報が対象として示された。患者の16,945件は件数表記で、人数との一致は公表資料からは読み取れない。要配慮個人情報については、FAQ初版は非該当としたが、1月15日の訂正で該当する可能性があるとされた。
対応状況と公表内容 事実
病院は外部専門機関による調査、不正アクセス対象サーバの遮断、パスワード変更、ネットワーク再構成を実施済みとしている。再発防止として、セキュリティ監視体制の強化と多要素認証（MFA）の導入を進め、一部システムは院内ネットワークからのみアクセス可能な閉鎖的運用へ移行する予定である。現時点で情報漏えいの事実、不正使用、二次被害は確認されていないが、可能性を完全には否定できないため調査を行ったと説明している。対象者には郵送またはメールで順次通知し、徳島県警へ相談している。被害が確認された場合は警察や弁護士に相談のうえ、被害内容に応じて個別に補償を検討するとしている。調査結果や追加情報は公式ホームページで随時知らせ、更新履歴も掲載するとしている。
公表時期と訂正から読み取れること 解釈
把握から公表まで約2か月を要した点について、病院はアクセスログ・通信履歴の精査による影響範囲の特定と、個別通知の準備を理由に挙げている。インシデント対応では、範囲が固まる前の公表と、正確性を重視した公表との間で判断が分かれる場面があり、本件の経緯もその一例として読める。ただし病院の判断の妥当性を、公表資料だけから断定することはできない。また、要配慮個人情報の扱いが初版の「非該当」から「該当する可能性あり」へ訂正された点は、検査結果を含まなくても、検体検査を受けたという事実自体が機微になり得ることを示している。訂正を明示して更新履歴を残す姿勢は、情報の透明性という観点で評価できる。一方、侵入経路や原因が示されていないため、再発防止策の妥当性は外部からは評価しにくい。
対応
- 封じ込め
- 外部専門機関による調査を実施し、不正アクセス対象サーバの遮断、パスワード変更、ネットワーク再構成を実施済み。再発防止として監視体制の強化と多要素認証（MFA）の導入を進め、一部システムは院内ネットワークからのみアクセス可能な閉鎖的運用へ移行予定。
- 公表の仕方
- 2025年10月29日に可能性を確認後、約2か月後の12月22日に公表。遅れの理由は、アクセスログ等の精査による影響範囲の特定と、個別通知の準備に時間を要したためとしている。対象者へ郵送またはメールで順次通知し、FAQを随時更新（2026年1月15日に要配慮個人情報の記載を訂正）。被害が確認された場合は警察や弁護士に相談のうえ補償を検討するとしている。
- 当局対応
- 徳島県警へ相談
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 検査を受けた事実だけでも要配慮個人情報になり得る。分類の判断は初期に固めにくい。 | 医療系システムの保有項目を棚卸しし、項目ごとに要配慮個人情報の該当可否を法務と事前に判定して文書化する。初報では「該当する可能性あり」を既定とする。 |
| 侵入から把握まで約18日、把握から公表まで約2か月を要した。検知の早さと範囲特定の速さが公表時期に影響する。 | EDR・サーバ/VPN/認証ログを集中保管し、保管期間を最低でも1年にする。重要システムの外部通信と認証失敗を検知するアラートを設定する。 |
| 遮断・パスワード変更・ネットワーク再構成のあと、MFA導入や閉鎖的運用が再発防止として進められている。 | 管理系・業務系システムのリモートアクセスにMFAを必須化する。院内限定でよいシステムは外部到達性をなくし、ファイアウォールで送信元を院内セグメントに限定する。 |
| 検体検査システムと看護キャリア支援システムのように、用途の異なる複数システムが同時に影響を受けた可能性がある。 | システム間のネットワークを分離し、共通の認証基盤・サービスアカウントを最小権限にする。特権アカウントの資格情報を定期的に更新・棚卸しする。 |
| 看護キャリア支援システムではパスワードが対象情報に含まれている。保管方式は公表されていない。 | パスワードはソルト付きの強いハッシュ（argon2、bcrypt等）で保存する。インシデント時は影響アカウントの強制リセットと、他サービスでの使い回し確認を手順に含める。 |
自組織などでの確認項目
- 自組織の重要システムのうち、外部ネットワークから到達できるものはどれか。それぞれMFAは有効か。
- アクセスログや通信履歴は何日分保管しているか。不正アクセスの疑いが出てから影響範囲を特定するまで、どの程度かかる見込みか。
- 自組織が保有する個人情報のうち、要配慮個人情報に該当し得るものはどれか。初報で「該当しない」と書く前に誰が確認する手順になっているか。
- 複数のシステムが同じ認証情報やネットワークを共有していないか。1か所が侵害されたとき、他システムへ広がらない分離になっているか。
未解明点
- 侵入経路（VPN・公開サーバ・認証情報など）や悪用された脆弱性の有無は公表されていない。
- 攻撃者の特定や犯行声明の有無は公表されていない。
- 2つのシステムが同じ経路で侵害されたのか、別々なのかは公表されていない。
- 看護キャリア支援システムのパスワードの保存方式（平文かハッシュか）は公表されていない。
- 患者16,945件と人数の関係（同一人物の複数件の有無）や、実際に外部へ持ち出されたかの最終結論は、現時点で示されていない。
出典
- 1合同会社ロケットボーイズ（セキュリティ対策Lab）2025-12-24報道本文確認済
- 2ScanNetSecurity2026-01-14報道本文確認済
- 3徳島大学病院公式本文確認済
- 4徳島大学病院2026-01-15公式本文確認済
- 5徳島大学病院2025-12-24公式本文確認済