旭化成セラピューティクスの医療関係者向けサイト「Pharma DIGITAL」委託先会員DBへの不正アクセス（医療従事者最大約51.4万人・報道合計約55.9万人分の漏えいのおそれ）
公表日
旭化成グループの製薬会社・旭化成セラピューティクスが医師などに薬の情報を届けるサイト「Pharma DIGITAL」で、会員データベースが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けました。医療従事者と従業員の情報が、合わせて最大約55.9万人分盗まれたおそれがあります（流出は確認されていません）。
対象者は？
「Pharma DIGITAL」に会員登録していた医療従事者 最大約51.4万人（氏名・勤務先の施設名と住所・職種・診療科など）。そのうち約4.4万人はメールアドレスなども対象です。このほか同社の従業員 約700人（氏名・メールアドレス・写真）も対象です。クレジットカード情報や、病歴などの特に慎重に扱うべき個人情報は保管されていなかったとされています。
対象の方には、会社からメールなどで個別に連絡が行われています。詳しくは公式のお知らせで確認できます。
いますぐできること
- 旭化成や「Pharma DIGITAL」を名乗るメールのリンクや添付ファイルは開かない。勤務先や職種を知っているような文面でも注意する
- Pharma DIGITALと同じパスワードを他のサービスで使っていれば、念のため変更する
何が起きたのか
2026年10月2日、「Pharma DIGITAL」の運営と会員情報の管理を任されていた委託先の会社（医薬情報ネット）から、会員データベースが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けたと報告がありました。旭化成セラピューティクスは同じ日にサイトを止めました。その後の調査で、データベースの中の個人情報が第三者に見られたり取られたりした可能性があると分かり、10月6日に公表しました。
なぜ起きたのか・なぜ広がったのか
攻撃を受けたのは、委託先の会社が管理していた会員データベースです。どこから、どのように侵入されたか、いつ攻撃されたかは、まだ公表されていません。会社は、侵入に使われた経路にはすでに対策をしたと説明しています。
いまの状況2026-10-06 時点続報待ち
サイトは止まったままで、再開の時期は決まっていません。公表時点で、情報が悪用された被害は確認されていないとしています。再発防止として、委託先の管理・監督の強化を挙げています。侵入の経路や原因は調査中で、まだ発表されていません。
企業として考えたいこと
自社のお客様の情報を、外部の会社に預けて管理してもらっていないでしょうか。その会社がどのように守っているかを、定期的に確かめる仕組みはあるでしょうか。
技術的な要約
旭化成の医薬品子会社・旭化成セラピューティクス（2026年4月1日に旭化成ファーマから社名変更）は2026年10月6日、医療関係者向け情報提供サイト「Pharma DIGITAL」の会員データベースがサイバー攻撃（不正アクセス）を受け、個人情報が不正に閲覧・取得された可能性があると公表した。サイトの運営と情報管理は株式会社医薬情報ネットに委託しており、10月2日に同社から不正アクセスの報告を受けてサイトを即時停止した。対象は医療従事者最大約51万4,000人（氏名・所属施設名・施設住所・職種・診療科等）、うち約4万4,000人はメールアドレス等も含み、ほかに同社従業員約700人（氏名・メールアドレス・写真）で、共同通信・NHKは3区分を合算して「最大約55万8,700人」「55万人余」と報じた。クレジットカード情報・要配慮個人情報は保管しておらず、公表時点で不正利用は確認されていないとする。侵入経路・攻撃手法・攻撃日時・攻撃者は公表されておらず、サイトは停止を継続、再開時期は未定。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 委託先経由公表で確認公式（報道による要約）：サイトの運営・情報管理を委託していた株式会社医薬情報ネットが管理する『Pharma DIGITAL』の会員データベースがサイバー攻撃（不正アクセス）を受けた。委託元である旭化成セラピューティクス自身のシステムが侵害されたとの公表はない。委託先側での侵入口（Webアプリの脆弱性、管理画面への不正ログイン、認証情報の窃取等）、攻撃手法、攻撃日時はいずれも10/6時点で非公表。経路については是正措置を講じ、再度の不正アクセスは確認されていないとされる。
- 脆弱性
- CVE 非公表不明非公表（委託先 医薬情報ネットが運用するPharma DIGITAL会員データベース／関連システム）脆弱性悪用か認証情報の不正使用かを含め、侵入の技術的原因は公表されていない。是正措置を講じたとの記載のみ（2026-10-10時点）。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 追加被害防止のためPharma DIGITALを即時停止し、運用停止を継続。医療関係者向けの製品情報提供チャネルが止まった。医薬品の製造・供給や社内基幹システムへの影響は公表されていない。期間：2026-10-02（停止）〜再開時期未定（10/6公表時点）
- データ
- おそれ上限 558,700確定 —人氏名メール従業員情報その他（所属施設名・施設住所・職種・診療科等の登録情報、従業員の顔写真）公表表の3区分：①医療従事者 最大約514,000人（氏名、所属施設名、施設住所、職種、診療科、その他の登録情報）、②医療従事者 約44,000人（①の項目に加えメールアドレス等）、③旭化成セラピューティクス従業員 約700人（氏名、メールアドレス、写真）。records_maxの558,700人は共同通信が3区分を単純合算した『最大で約55万8,700人分』に拠る（NHKは『55万人余』、日刊薬業は見出しで『最大約56万人分』）。②が①の内数か別数かは公表文の書き方から判然とせず、①の内数であれば重複を除いた上限は約514,700人になる（issoh・セキュリティ対策Labの整理）。いずれの読み方でも50万人以上。backlogの『最大約51.4万名』は区分①（医療従事者）の上限としては正しいが、従業員分等を含む全体の上限ではない。クレジットカード情報・要配慮個人情報は保管していないと説明。パスワードの有無は報道からは確認できず、患者情報は含まれないとされる。
- 波及先
- —
- Pharma DIGITAL会員の医療従事者（最大約51.4万人）への個別連絡・フィッシング注意喚起
- 委託先 医薬情報ネットが他の製薬会社の医療関係者向けサイト・会員DBを受託しているか、他の委託元に影響があるかは2026-10-10時点で確認できず
- 金銭影響
- —
- サプライチェーン
- 旭化成セラピューティクスは医療関係者向けサイトPharma DIGITALの運営と会員情報管理を株式会社医薬情報ネットに委託しており、委託先が管理する会員データベースへの不正アクセスにより委託元の会員（医療従事者）と自社従業員の情報が漏えいした可能性がある。委託先からの報告（10/2）で委託元が事案を把握した構造。医薬情報ネット自身の公表、および同社の他の委託元（他の製薬会社）の公表は、検索の範囲では見つからなかった。旭化成は『委託先への管理・監督体制の強化』を再発防止策に挙げている。
時系列
- 2026-04-01旭化成ファーマが旭化成セラピューティクスへ社名変更（背景情報。公式お知らせのURLは旧社名パス /pharma/ のまま）7
- 2026-10-02
- 2026-10-02
- 2026-10外部専門組織・委託先と連携した調査で、会員データベース内の個人情報が不正に閲覧・取得された可能性が判明。侵入経路に是正措置を実施し、関係当局へ報告（日付非公表）3
- 2026-10-06
- 2026-10-06 21:41日刊薬業が『最大約56万人分』と報道5
- 2026-10-06 23:30共同通信が『最大で約55万8,700人分』（3区分の合算）と報道6
- 2026-10-07 00:53NHKが『旭化成子会社 個人情報55万人余 漏えいの可能性と発表』と報道2
- 2026-10-07セキュリティ対策Labが委託先名（医薬情報ネット）と件数区分を整理し、区分は重なるため単純合算できないと指摘3
技術解説
攻撃の構造：委託先が運営する会員DBという『見えにくい保管場所』 事実
公表によれば、侵害されたのは旭化成セラピューティクスのシステムではなく、Pharma DIGITALの運営と情報管理を委託された医薬情報ネットが扱う会員データベースである。旭化成側が事案を知ったのは委託先からの10月2日の報告で、攻撃がいつ始まり、いつ検知されたのかは公表されていない。製薬会社の医療関係者向けサイトは、MR活動のデジタル化に伴い医師・薬剤師等の会員情報（所属施設・診療科・メールアドレス）を大量に集める一方、構築・運用を専門ベンダーに委託することが多い。委託元は『自社システムへの不正アクセスはない』と言える一方で、データの管理主体としての責任は残る。侵入口・手法・攻撃者はいずれも10/10時点で非公表である。
件数の読み方：51.4万人か、55.87万人か 事実
公表の表は、医療従事者最大約51万4,000人（基本属性）、医療従事者約4万4,000人（基本属性＋メールアドレス等）、従業員約700人の3区分で示され、合計人数は記載されていないとされる。共同通信はこれを単純合算して『最大で約55万8,700人分』、NHKは『55万人余』、日刊薬業は『最大約56万人分』と報じた。一方、2行目は1行目の医療従事者の一部を指す書き方であり、内数であれば重複を除いた上限は約51万4,700人となる（第三者の整理）。どちらの読み方でも50万人を超えるため深さ判定（⑥a）は変わらないが、講義では『報道の見出し件数は公表表の合算であり、重複を含みうる』例として扱える。なお公式文は開けておらず、表の正確な文言は未確認。
漏えい項目の性質：医療従事者リストはスピアフィッシングの材料 解釈
漏えいの可能性がある項目は、氏名・所属施設名・施設住所・職種・診療科と、一部のメールアドレスで、クレジットカード情報や要配慮個人情報は含まれないとされる。金銭的な直接被害は小さく見えるが、『どの病院の何科の医師か』とメールアドレスがひも付いたリストは、製薬会社や学会、医薬品情報サービスを装ったフィッシングの精度を大きく上げる。医療機関はランサムウェアの主要な標的であり、医師個人のメールを起点に病院ネットワークへ侵入される二次リスクがある。旭化成は不審メールのURL・添付ファイルを開かないよう注意喚起しているが、医療機関側のセキュリティ担当者にも周知が要る種類の漏えいである。以上は公表項目に基づく解釈である。
公表の評価：委託先の説明が出ていない 解釈
委託元は報告受領から4日後に公表し、サイト停止・個別連絡・当局報告・注意喚起という標準的な対応を示した。一方で、侵害を受けた当事者である医薬情報ネット自身の公表は検索の範囲では見当たらず、侵入経路、攻撃期間、ログの保全状況、同社が他の製薬会社のサイトも受託しているかといった、他の委託元や医療従事者がリスクを判断するための情報が出ていない。委託先が複数の製薬会社を顧客に持つ場合、同一基盤・同一手口での横展開の可能性は委託先しか説明できない。委託元の公表だけでは『サプライチェーンのどこまでが安全か』が判断できないことを示す例である。
対応
- 封じ込め
- Pharma DIGITALを即時停止し運用停止を継続（再開時期未定）。委託先が侵入経路に是正措置を講じ、再度の不正アクセスは確認されていないとする。外部専門組織・委託先と連携して原因・影響範囲を調査中。再発防止として委託先への管理・監督体制の強化、情報セキュリティ管理体制の見直しを表明。
- 公表の仕方
- 2026-10-06に旭化成セラピューティクスが公式サイトで公表（件数3区分、項目、クレカ・要配慮個人情報は非保管、不正利用未確認）。対象の医療従事者へ電子メール等で個別に連絡し、不審メールへの注意を喚起。委託先 医薬情報ネットの公表は確認できず。10/10時点で続報は確認できなかった。
- 当局対応
- 関係当局へ報告済みと公表（報道による。具体的な当局名は記事では未確認だが、個人情報保護委員会への漏えい等報告が想定される）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先が運営する会員DBの侵害を委託元が直接検知できない | 委託契約に『不正アクセスの疑いを検知してから24時間以内の第一報』『認証ログ・DBアクセスログの90日以上保全と委託元への提供』を明記し、委託元側でも会員DBからの大量エクスポートやAPI呼び出し件数を日次で受け取り、閾値超過をアラート化する |
| 医療関係者向けサイトに不要な個人属性とメールアドレスが集約されていた | 会員DBの項目を棚卸しし、配信に不要な属性（施設住所等）は保持しない・別ストアに分離する。メールアドレス等の連絡先はフィールド単位で暗号化し、閲覧権限を配信システムのサービスアカウントに限定する |
| 委託先が他社案件と基盤を共有しているかが委託元から見えない | 委託時のセキュリティチェックシートで『テナント分離方式（DB分離／スキーマ分離／行レベル）』『管理画面のMFA有無』『外部公開面とDBのネットワーク分離』を確認し、年1回の再評価とペネトレーションテスト結果の提出を義務づける |
| 漏えいした医療従事者リストがフィッシングの材料になる | 会員向けメールはSPF/DKIM/DMARC（p=reject）を整備した専用ドメインから送り、会員ページに『当社がメールで求めない情報』を明示する。漏えい後は自社名を騙るドメインの監視（類似ドメイン登録の検知）を行う |
| 退会者・休眠会員を含めた母数が大きい可能性 | 一定期間ログインのない会員は通知のうえ削除または匿名化する保持期間ポリシーを定め、委託先のDBで自動実行させる |
自組織などでの確認項目
- 自社の顧客・会員情報のうち、委託先のシステムにしか存在しないデータはどれか。その委託先が侵害されたとき、何時間以内に自社が知る契約になっているか。
- 委託先が複数の顧客企業のデータを同じ基盤で扱っている場合、委託元として何を確認すべきか（テナント分離、管理者認証、ログ提供）。
- 公表文の件数表を、報道がそのまま合算して見出しにした場合、どのような誤解が生じるか。自社の公表文では合計・内数の関係をどう書くべきか。
未解明点
- 侵入経路と攻撃手法（脆弱性悪用か、管理画面・認証情報の不正使用か）、攻撃の開始・検知日時
- 委託先 医薬情報ネット自身の調査結果と公表の有無、同社が受託する他の製薬会社の会員サイト・DBへの影響
- 医療従事者約4.4万人分（メールアドレス等）が約51.4万人の内数か別数か、全体の正確な重複排除後人数
- パスワード等の認証情報が会員DBに含まれていたか、含まれていた場合の保存形式
- 攻撃者の正体・犯行声明やリークサイト掲載の有無（2026-10-10時点で確認できず）
- Pharma DIGITALの再開時期と再開時のセキュリティ対策
出典
- 1旭化成セラピューティクス2026-10-06公式未確認
- 2NHK2026-10-07報道本文確認済
- 3セキュリティ対策Lab（Rocket Boys）2026-10-07報道本文確認済
- 4AnswersNews2026-10-06報道本文確認済
- 5日刊薬業（じほう）2026-10-06報道本文確認済
- 6共同通信（OANDA証券 マーケットニュース転載）2026-10-06報道本文確認済
- 7issoh2026-10-07報道本文確認済
- 8tinpanblog2026-10-06報道本文確認済