エムスリー「MR君」への不正アクセス（医師会員の1割未満・製薬企業担当者数百名規模の個人情報漏えい）
公表日
エムスリーの製薬企業向けサービス「MR君」が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、医師会員の1割未満と製薬企業担当者数百名規模の個人情報が漏えいしました。
対象者は？
医師会員全体の1割未満と、製薬企業の担当者の数百名規模です。氏名、勤務先、一部の方のメールアドレス等が含まれます。ログインパスワードとm3ポイントは含まれず、クレジットカード番号等は同社で保持していません。対象人数と情報の詳細は、精査中です。
同社は対象となる方へ順次案内するとしています。案内の方法と時期は、まだ発表されていません。
いますぐできること
- エムスリーを装った不審なメール、SMS、電話に注意する。
- 心当たりのない連絡の中のリンクや添付ファイルは開かない。
- エムスリーからの案内が届いたら、内容を確認する。
何が起きたのか
2026年10月14日、エムスリーはMR君のシステムへの第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を確認し、同日に一部の会員情報の漏えいを確認しました。同社は影響範囲の調べと並行して防御を強化し、判明している不正アクセスの経路を遮断して、監視を続けています。翌15日に第1報を公表しました。10月16日には、報道機関も本件を報じています。
なぜ起きたのか・なぜ広がったのか
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が可能となった原因は調査中で、まだ発表されていません。
いまの状況2026-10-16 時点続報待ち
2026年10月16日時点で、原因、対象人数、情報の詳細は調査中で、まだ発表されていません。漏えいした情報が不特定多数に公開された事実や不正利用された事実は、確認されていません。同社は監督官庁への報告などを進めており、対象者へ順次案内するとしています。
企業として考えたいこと
自社のサービスで顧客や取引先の氏名、勤務先、メールアドレスを保管している場所で、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があったときに、当日中に経路の遮断と影響範囲の確認を始められますか。
技術的な要約
エムスリーが運営する製薬企業向けサービス「MR君」のシステムに対し、2026年10月14日に第三者による不正アクセスを確認し、同日、一部の医師会員および製薬企業担当者に関する情報の漏えいを確認した。対象は医師会員全体の1割未満と製薬企業担当者数百名規模で、氏名、勤務先、一部の方のメールアドレス等が含まれる。ログインパスワードやm3ポイントは含まれず、クレジットカード番号等は同社で保持していない。漏えいした情報が不特定多数に公開された事実や不正利用された事実は、現時点で確認されていない。判明している不正アクセスの経路は遮断して監視を続けており、原因、対象人数、情報の詳細は調査中で、同社は2026年10月15日に第1報を公表した。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明不正アクセスが可能となった原因は調査中。現時点では第三者による不正アクセスによるものと確認している、とされる。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止に関する公表はない。
- データ
- 調査中上限 —確定 —氏名メール取引先情報対象は医師会員全体の1割未満と製薬企業担当者数百名規模。氏名、勤務先、一部の方のメールアドレス等。ログインパスワード、m3ポイントは含まれない。クレジットカード番号等は同社で保持していない。対象人数と情報の詳細は精査中で、件数は公表されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-10-14
- 2026-10-14影響範囲の特定と並行して防御策を強化し、判明している不正アクセスの経路を遮断して監視を開始した。1
- 2026-10-15「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」を公表した（第1報）。1
- 2026-10-15漏えいした情報が不特定多数に公開された事実や不正利用された事実は確認されていないと公表した。1
- 2026-10-15対象は医師会員全体の1割未満と製薬企業担当者数百名規模で、氏名、勤務先、一部の方のメールアドレス等と公表した。ログインパスワードとm3ポイントは含まれない。1
- 2026-10-15不正アクセスが可能となった原因を調査中とし、対象人数と情報の詳細も精査中と公表した。1
- 2026-10-15監督官庁への報告など必要な対応を進めており、対象者へ順次案内するとした。同社を装った不審なメール、SMS、電話への注意も呼びかけた。1
- 2026-10-15
- 2026-10-16
技術解説
公表された事実の整理 事実
エムスリーは2026年10月15日、製薬企業向けサービス「MR君」のシステムに第三者による不正アクセスがあり、同社保有の個人情報の一部が外部に漏えいしたことが判明したと公表した。不正アクセスを確認したのは10月14日である。対象は医師会員全体の1割未満と、製薬企業担当者数百名規模とされる。含まれる情報は氏名、勤務先、一部の方のメールアドレス等である。ログインパスワードとm3ポイントは含まれず、クレジットカード番号等は同社では保持していないとされる。漏えいした情報が不特定多数に公開された事実や不正利用された事実は、現時点では確認されていない。対象人数と情報の詳細は精査中で、不正アクセスが可能となった原因も調査中である。
対応状況と未公表の事項 事実
同社は不正アクセスの確認後、影響範囲の特定と並行して防御策を強化したとしている。現時点で判明している不正アクセスの経路は遮断しており、監視を続けている。監督官庁への報告など必要な対応を進めており、対象者へは順次案内するとしている。あわせて、同社を装った不審なメール、SMS、電話への注意も呼びかけている。一方で、侵入日、侵入経路、悪用された脆弱性の有無、攻撃者に関する情報、正確な件数、報告先の官庁名は、第1報の時点では公表されていない。10月16日にはITmedia（産経新聞配信）と産経新聞が、第1報と同じ内容を報じている。
今後の評価に必要な視点 解釈
第1報は、確認した日、対象の規模感、含まれる情報と含まれない情報、遮断の状況、注意喚起を、確認の翌日に整理して示している。この点は、利用者が最初に知りたい事項に早く答える内容だと読める。ただし原因と対象人数が調査中の段階であり、事案の評価は続報を待つ必要がある。「判明している経路を遮断した」という表現は、未判明の経路が残る可能性を含めて読む必要がある。また、含まれる情報に「等」があるため、氏名、勤務先、メールアドレス以外の項目が含まれるかは続報で確認すべきである。医師会員と製薬企業担当者という属性は、なりすましメールなどの標的型の連絡に使われうる点で注意が要る。ただし、悪用の事実は確認されていない。これらは公表内容からの解釈であり、同社の対応の優劣を断定するものではない。
対応
- 封じ込め
- 影響範囲の特定と並行して防御策を強化し、現時点で判明している不正アクセスの経路は遮断して監視を続けている。
- 公表の仕方
- 2026年10月15日に「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」を公表した。対象者へは順次案内するとしている。同社を装った不審なメール、SMS、電話への注意を呼びかけている。
- 当局対応
- 監督官庁への報告など必要な対応を進めている（官庁名は公表されていない）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 原因が判明する前でも、確認した事実と未確認の事項を分けて早期に伝えることが、利用者の判断材料になる。 | 第1報用の公表テンプレートを事前に用意する。確認日、対象範囲、含まれる情報と含まれない情報、遮断状況、調査中の事項、問い合わせ先を必須の欄にする。 |
| 対象の属性が明確な個人情報は、なりすましメールやSMSの標的になりうる。 | 対象者への案内と同時に、自社ドメインからの正規連絡の見分け方を示す。送信ドメイン認証（SPF、DKIM、DMARC）を整備して、なりすましメールを受信側で判別しやすくする。 |
| 「判明している経路を遮断した」段階では、未判明の経路が残る可能性を前提に監視を続ける必要がある。 | 遮断後も認証ログ、API呼び出しログ、データ取得量を監視し、異常な大量取得を検知するアラートを設定する。認証情報やAPIキーを再発行（ローテーション）する手順も用意しておく。 |
| 保持するデータの種類を絞ると、漏えい時に影響が及ぶ範囲を限定できる。 | システムごとにデータ項目の棚卸しを行い、不要な項目を削除または分離する。保存期間を定め、期限が来たデータを自動で削除する。 |
| 件数が未確定の段階では、確定値と上限や規模感を区別して示さないと誤解を招く。 | 公表文書では「確認済み」「最大」「調査中」を別の欄に分けて記載する。続報の更新予定日を併記する。 |
自組織などでの確認項目
- 自組織の外部向けサービスで、利用者の氏名、勤務先、メールアドレスを保持している場所をすべて把握していますか。それぞれのアクセス経路とログの保存期間を確認できますか。
- 不正アクセスを確認した当日に、影響範囲の特定、経路の遮断、監視強化を並行して進める手順と担当者が決まっていますか。
- 利用者に自社を装った詐欺メールへの注意を呼びかける場合に、正規の連絡手段と送信元を、自組織でどのように示せますか。
- 第1報の時点で件数や原因が分からない場合に、何を確定情報として、何を調査中として書くか、社内で基準を決めていますか。
未解明点
- 不正アクセスが可能となった原因と侵入経路は何か。侵入日はいつか。
- 対象人数の確定値と、「等」に含まれる情報の詳細は何か。
- 遮断した経路以外に、未判明の経路が残っていないか。
- 監督官庁への報告先はどこか。対象者への案内はどのような方法と時期で行われるか。
出典
- 1エムスリー株式会社2026-10-15公式本文確認済
- 2ITmedia ビジネスオンライン（産経新聞）2026-10-16報道本文確認済
- 3産経新聞2026-10-16報道本文確認済