Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2026-medicaメディア・出版最終確認 2026-10-13 10:00

メディカ出版へのランサムウェア攻撃（正規アカウントで侵入、パスポート・在留カード・マイナンバー等を含む約64.1万人の漏えいのおそれ）

公表日

株式会社メディカ出版
最終報ランサムウェア不正アクセス認証情報悪用サプライチェーン：起点

医療・看護の本や教材を出す出版社「メディカ出版」がランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の被害を受け、約2か月にわたり注文や発送が乱れました。顧客や取引先などの個人情報 約64.1万人分が漏えいしたおそれがあります。

対象者は？

メディカIDの登録者などの顧客、病院・学校・学会などの関係者、著者や講師、人材紹介の登録者、取引先の担当者、従業員と採用応募者です。合わせて約64.1万人（重複の可能性あり）で、漏えいの「おそれ」です。持ち出しを直接示す証拠は見つかっていませんが、否定もできないとされています。人によっては、銀行口座、マイナンバー、委託元から預かったパスポート・在留カード・健康診断結果なども含まれます。クレジットカード情報は持っていない仕組みで、メディカIDのパスワードは別に管理されているため、どちらも対象外です。

対象の方には会社から順次個別に連絡が行われ、連絡が難しい場合はWebでの公表で代えるとされています。学会や大学など関係する組織も、それぞれお知らせを出しています。

調査結果と再発防止策のご報告（2026年5月13日） ↗メディカ出版を装った不審なメールへの注意（2026年5月1日） ↗

いますぐできること

  • メディカ出版を名乗り「個人情報が流出した可能性」などと書いたメールのリンクは開かない。実際にこうした偽メールが確認されている
  • 銀行口座やマイナンバー、パスポートなどを預けていた方は、身に覚えのない契約・請求・振込の案内に注意する
  • 委託元として同社にIDやパスワードを渡していた組織は、それらを変更する

何が起きたのか

2026年3月13日の未明、メディカ出版でシステム障害が起き、調べたところランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の攻撃だと分かりました。会社は対象のサーバーを社内のネットワークから物理USBメモリや外付けディスクの紛失、メールやデータの宛先間違いによる情報の流出です。攻撃ではありませんが、暗号化されていなければ、1つのミスで何百万件もの情報が流出することがあります。的に切り離しましたが、注文の受付・発送・問い合わせの窓口が止まりました。4月号の雑誌は1〜3週間遅れました。3月17日の第1報では情報の漏えいが「確認された」と書きましたが、5月13日の調査結果で、持ち出しの証拠はないものの否定もできない「おそれ」と整理し直しました。

なぜ起きたのか・なぜ広がったのか

第三者が正規のアカウント情報を使って社内ネットワークにログインしたことが始まりだったと、会社は説明しています。そのアカウント情報がどこから漏れたのかは、調査しても特定できませんでした。どの入口からログインされたかなど攻撃の詳しい方法は、被害の拡大を防ぐために公表しないとしています。犯行グループ「The Gentlemen」が自分たちの犯行だと主張していますが、会社はこれに触れていません。

いまの状況2026-05-19 時点

4月8日までに主なWebサービスを再開し、5月19日に雑誌の遅れも解消しました。個人情報保護委員会と警察には報告済みです。再発防止として、ログインの仕組みの強化、端末の保護、ネットワークと記録の管理の見直し、社内ルールの作り直し、全従業員への教育を2026年9月末までに進めるとしています。

企業として考えたいこと

社員のIDとパスワードだけで、社外から社内ネットワークに入れる入口が残っていないでしょうか。取引先から預かった書類を、いつまで保管しているでしょうか。

技術的な要約

医療・看護系出版のメディカ出版（大阪市淀川区）で2026年3月13日未明にシステム障害が発生し、第三者によるランサムウェア攻撃と判明した。同社は対象サーバーを物理的に遮断したが、受注・発送・問い合わせ業務が停止し、定期刊行物の4月号が1〜3週間遅延した（5/19に遅延解消）。3月17日の第1報は個人情報・取引情報の一部が『漏えいしたことが確認』されたと表現したが、5月13日の調査結果では持ち出しを直接示す確定的証拠はないとしつつ否定もできないとして、約64.1万人（4月の第3報時点では77.2万件）を『漏えいのおそれ』とした。侵入は正規のアカウント情報による社内ネットワークへのログインが起点で、認証情報の漏えい経路は特定されていない。委託元から預かったパスポート・在留カード・健康診断結果・銀行口座、外部協力者のマイナンバーなど高機微情報が含まれ、ランサムウェアグループ『The Gentlemen』が3月21日にリークサイトで犯行を主張している（同社は言及していない）。

公開情報が限られている点について
侵入日、悪用された正規アカウントの種類・MFAの有無、認証情報の入手経路は公式に非公表（第3報で『攻撃手法やシステム構成の詳細は開示しない』と明言）で、研究者・報道による特定も確認できなかったため dates.intrusion は null、vulnerabilities は脆弱性悪用の公表がない旨の1件のみ。The Gentlemenの一般的手口（FortiGate経由等）は本件との関係が未確認のため推測として analysis に分けて記載した。財務影響は非公表。piyolog の整理記事は確認できず、研究者出典はリークサイト集計とTrend Microのグループ分析で補った。近畿大学の公式発表は取得できなかったため verified=false。
侵入
—
被害発生
2026-03-13
検知
2026-03-13
第1報公表
2026-03-13
最新続報
2026-05-19
侵入 → 検知
—
侵入日が非公表
検知 → 公表
0日
データ（上限）
64.1万人
確定 —
波及先
3
組織（公表・報道を確認できた関係団体・教育機関）

攻撃の分類

侵入口
認証情報窃取・流用公表で確認
公式（5/13調査結果）：『第三者が正規のアカウント情報を用いて社内ネットワークに侵入したことを起点として、サーバーに対する不正な操作が行われ、ファイルの暗号化などのランサムウェア被害が発生』。認証情報の漏えい経路は『取得可能であったログ等をもとに調査を行いましたが、特定には至っておりません』。どのアカウント（VPN・リモートデスクトップ・クラウドID等）か、MFAの有無、侵入口となった機器は非公表。第3報は『攻撃手法やシステム構成の詳細は被害拡大防止のため開示しない』としている。再発防止策が『IDの認証・セキュリティ強化』『不正端末の検疫・排除』『不正ログイン防止のための認証基盤の強化』を筆頭に挙げることから、MFAのないリモートアクセスに正規認証情報でログインされた構図が想定されるが、これは推測。
脆弱性
CVE 非公表不明
公式発表に脆弱性悪用の記載はなく、侵入は正規アカウント情報の悪用と説明されている。犯行を主張したThe Gentlemenについては、FortiGateの管理者アカウント侵害や有効なドメインアカウントの悪用（Trend Micro, 2025-09）、FortiOSの認証回避脆弱性CVE-2024-55591の悪用（報道）が一般的手口として報告されているが、本件で同手口が使われたことを示す公表・報道は2026-10-10時点で確認できなかった。
攻撃者
The Gentlemen 被害組織の言及なし
2026-03-21にThe Gentlemenのデータリークサイトに『MEDICUS SHUPPAN』（medica.co.jp）として掲載（ransomware.live等の集計）。『担当者が連絡しなければ全データを近く公開する』旨の文言。データ量・種類・サンプル公開は4月時点で確認されていないと報道。
ATT&CK
T1078 Valid AccountsT1486 Data Encrypted for ImpactT1656 Impersonation

影響

業務停止
あり 3/13から主要システムが停止し、商品の受注・発送業務とお問い合わせ窓口が停止。3/25 8時時点で社員PC・スマートフォン・Office365（メール/OneDrive）を順次再開、受注・お届けは商品により遅延。4/8時点でオンラインストア・ヨメディカ・FitNs.・まなびのプラットフォーム等の主要Webサービスを再開したが全面復旧は未完了。定期刊行物は4月刊行分が1〜3週間遅延し、5/19に遅延解消を告知。メディカまなびID（利用者がパスワード変更できない仕様）は4/17に未利用アカウントのパスワードを一斉再設定し、利用中アカウントには5月下旬めどに新パスワードを配布。
期間：約2か月（3/13の業務停止から、4/8主要Webサービス再開、5/19定期刊行物の遅延解消まで）
データ
おそれ上限 641,000確定 —人
氏名メール電話住所生年月日会員ID口座マイナンバーパスポート本人確認書類健康情報従業員情報取引先情報業務データその他（委託元預かりのID・パスワード〔保存形式不明〕、在留カード、人事評価、履歴書記載内容、原稿画像、契約書類・請求・売上情報）
件数の推移：3/17第1報は件数調査中（関与先リストにもアクセスできない状態）。4/9第3報（4/8 15時時点）で合計77.2万件（同一案件・同一人物の重複計上の可能性あり）。5/13調査結果で精査後64.1万人（重複の可能性あり）、5/11に個人情報保護委員会へ確報。区分別件数は非公表。対象8区分：メディカID登録者を含む顧客、病院・医療施設の職員等、学校等教育機関関係者、学会事務局・各種団体の関係者、著者・講師等の外部協力者、人材紹介事業の登録者、取引先担当者、従業員・採用応募者。第3報の項目内訳：メディカID登録者（メディカID・氏名・メール、登録者のみ都道府県・住所・電話）、一般顧客（氏名・勤務先/住所・電話/FAX）、執筆者・外部事業者（氏名・連絡先・役職・メール・銀行口座番号・原稿画像、登録者のみマイナンバー）、委託元の企業・施設・団体からの預かり情報（氏名・連絡先・役職・メール・ID・パスワード・パスポート・在留カード・健康診断結果・銀行口座等）、従業員（氏名・生年月日・住所・所属・人事評価・履歴書記載内容等）・応募者（応募書類等）。クレジットカード情報は保持しない仕組みのため対象外、メディカIDのパスワードは別運用のため漏えいの可能性なしと公表。確実性の表現：3/17第1報は『漏えいしたことが確認』と記載したが、5/13調査結果は『外部に持ち出されたことを直接示す確定的な証拠は確認されていない』一方『持ち出しの可能性を完全には否定できない』とし『漏えいのおそれ』として扱うと整理。委託元等の公表例：大手前大学 国際看護学部の2019〜2023年度入学生431名（電子教科書『デジタル ナーシング・グラフィカ』購入者）。
波及先
3 組織（公表・報道を確認できた関係団体・教育機関）
  • 日本呼吸療法医学会（会員の勤務先・自宅住所・メール、専門医情報、著者情報、セミナー参加者情報。3/23に会員向け通知と報道）
  • 近畿大学看護学部・附属看護専門学校（入学前教育を担当、学生等の個人情報。4/6公表）
  • 大手前大学 国際看護学部（電子教科書利用の入学生431名。4/10に連絡受領、4/22公表）
金銭影響
—
サプライチェーン
メディカ出版は出版事業のほか、学会事務局・団体業務の受託、看護学校向けの電子教科書・入学前教育・模擬試験、人材紹介事業を営み、委託元の企業・施設・団体から預かった情報（パスポート・在留カード・健康診断結果・口座等）を同じ社内環境に保管していた。このため被害は出版社の顧客にとどまらず、学会会員・看護学生・人材紹介登録者に波及し、学会・大学が個別に公表・注意喚起を行った。デジタルサービスの一部（まなびID系）は攻撃されたシステムとは別に構築され安全性が確認されたが、利用者がパスワード変更できない仕様のため発行元による一斉再設定が必要になった。

時系列

  1. 2026-03-13
    未明にシステム障害を検知。外部専門機関と調査し第三者によるランサムウェア攻撃と判明、対象サーバーを社内ネットワークから物理的に遮断。対策本部を設置314
  2. 2026-03-13
    『システム障害に関するお詫びと現在の状況について』を掲載。商品の受注・発送・お問い合わせ対応が停止と告知（原因は未記載）1
  3. 2026-03-14
    この日までに警察へ通報・相談、個人情報保護委員会へ報告（速報）318
  4. 2026-03-17 14:15
    第1報（ランサムウェア被害の公表）。個人情報・取引関連情報の一部が『漏えいしたことが確認』と記載、件数は調査中。クレジットカード情報は非保持。@Press経由でも配信2320
  5. 2026-03-21
    ランサムウェアグループThe Gentlemenがリークサイトに『MEDICUS SHUPPAN』を掲載し犯行を主張1112
  6. 2026-03-23
    日本呼吸療法医学会の会員向けに漏えいの可能性を通知（報道）19
  7. 2026-03-25 08:00
    第2報（同時刻時点の状況）。社員PC・スマートフォン・Office365の利用を再開、全Webサイト・デジタル商品の安全性を確認。EDR・MDM、認証基盤強化、ログ集中保全等の再発防止策を表明4
  8. 2026-04-06
    近畿大学看護学部が、入学前教育を担うメディカ出版への不正アクセスによる学生等の個人情報流出の恐れを公表1621
  9. 2026-04-09
    第3報（4/8 15時時点）。漏えいの可能性がある個人情報を合計77.2万件と公表（重複の可能性）。パスポート・在留カード・健康診断結果・マイナンバー等を含む項目を開示。主要Webサービスの受注・提供を再開、4月刊行の定期刊行物は1〜3週間遅延518
  10. 2026-04-10
    メディカ出版が大手前大学に利用者情報漏えいの可能性を連絡10
  11. 2026-04-17
    メディカまなびIDのうち2026年度未利用アカウントのパスワードを一斉再設定（利用者が変更できない仕様のため）6
  12. 2026-04-22
    大手前大学が国際看護学部入学生431名分の漏えい可能性を公表10
  13. 2026-05-01
    メディカ出版を装い『不正アクセスで個人情報が流出した可能性』をかたって個人情報入力ページへ誘導するフィッシングメールについて注意喚起717
  14. 2026-05-11
    外部専門家によるフォレンジック調査完了を受け、個人情報保護委員会へ確報を提出8
  15. 2026-05-13
    調査結果および再発防止策を公表。正規アカウント情報による侵入が起点、認証情報の漏えい経路は特定できず。漏えいのおそれ64.1万人、持ち出しの確定的証拠はないが否定もできないと評価815
  16. 2026-05-19
    定期刊行物の発行遅延解消を告知（5月以降は通常スケジュール）9
  17. 2026-09
    認証基盤強化・ネットワーク設定とログ管理の見直し・多層防御・取扱規程再構築・全従業員教育の実施期限（5/13公表の計画、以降継続）8

技術解説

攻撃の構造：正規アカウントでの侵入から暗号化まで 事実

5/13の調査結果によれば、攻撃者は正規のアカウント情報を用いて社内ネットワークに侵入し、サーバーへの不正操作を経てファイルを暗号化した。認証情報の漏えい経路はログを調べても特定できず、侵入日も公表されていない。どの入口（VPN、リモートデスクトップ、クラウドID等）が使われたか、MFAが有効だったかも開示されていない。第3報は『攻撃手法やシステム構成の詳細は被害拡大防止のため開示しない』と明言している。初動では対象サーバーを物理的に遮断し、3/25にはOffice365と端末を順次再開、4/8に主要Webサービスを再開した。基幹の受注・発送系が停止した一方、まなびID系など別系統で構築されたデジタルサービスは安全性が確認されており、システム分離が被害範囲を一部限定した。

『漏えい確認』から『おそれ』へ：表現と件数の変化 事実

3/17の第1報PDFは見出しを『漏えいが確認された情報について』とし、『以下の情報が漏えいしたことが確認されております』と記載した。しかし5/13の調査結果は『外部に持ち出されたことを直接示す確定的な証拠は現時点で確認されていない』『複数の痕跡から持ち出しの可能性を完全には否定できない』として、対象を『漏えいのおそれ』に整理し直した。件数も4/9第3報の77.2万件（重複計上の可能性あり）から、精査後64.1万人へ約13万減少している。単位も『件』から『人』に変わっており、名寄せが進んだ結果と読める。初報で強い表現を使い後に弱める例は珍しく、早期の注意喚起を優先した結果と考えられるが、読み手には確定度の変化を明示する必要がある。

預かり情報の高機微性：出版社が持つはずのないデータ 事実

第3報が開示した項目には、委託元の企業・施設・団体から預かったパスポート、在留カード、健康診断結果、銀行口座、ID・パスワード、執筆者・外部事業者の銀行口座番号と一部マイナンバー、従業員の人事評価が含まれる。これらは出版事業ではなく、学会事務局受託、人材紹介、講師・執筆者への支払いといった周辺事業に由来すると考えられる。複数事業のデータが同一の社内ネットワーク・サーバー群に置かれていたことで、出版物の購入者だけでなく、学会会員、看護学生、外国人を含む人材紹介登録者まで同じ攻撃で影響を受けた。『委託元からのID・パスワード』の保存形式は公表されていない。

The Gentlemenの主張と手口からの推測 解釈

The Gentlemenは2025年夏に出現したRaaSで、Trend Microの分析では、インターネット公開のFortiGate経由の侵入、FortiGate管理者アカウントとドメインアカウントの悪用、GPO・NETLOGON共有を使ったドメイン全体への配布、WinSCPによる持ち出しが報告されている。メディカ出版の『正規アカウント情報による侵入』という説明はこの手口と矛盾しないが、同社はグループ名に一切触れておらず、本件でFortiGateが使われたという公表・報道もない。リークサイトでは『全データを近く公開する』と主張したが、4月時点でサンプルは未公開と報じられた。公開がないことは、交渉の有無、窃取量の誇張、単に未公開のいずれとも解釈でき、本件での持ち出しの有無を判断する材料にはならない。

事件をかたるフィッシングという二次被害 解釈

5/1にメディカ出版は、自社を装い『不正アクセスがあった』『個人情報が流出した可能性がある』としてパスワード再設定や個人情報入力を促すフィッシングメールについて注意喚起した。報道によれば送信元は support@medica.co.jp と表示され、文面には流出の可能性がある情報としてログインパスワードやクレジットカード情報の一部が列挙されていた。実際の公表内容（カード情報は非保持）と食い違う内容で不安をあおり、本物の『お詫びメール』と見分けにくくする手口である。漏えいが公表された組織は、本物の通知と偽物を区別する方法（送信ドメインの認証、メール本文でリンクを踏ませない運用）を最初の通知時点で示す必要があった。T1656（Impersonation）を付けたのはこの点による。

対応

封じ込め
3/13未明に対象サーバーを社内ネットワークから物理的に遮断し対策本部を設置、外部セキュリティ専門家とフォレンジック調査を実施（5/11完了）。安全性を確認した端末から順次復旧。実施済み：IDの認証・セキュリティ強化、不正端末の検疫・排除、社内ネットワーク・サーバー環境の総点検、不正アクセス監視体制の強化、外部専門家によるセキュリティ評価。第2報でEDR・MDMによる端末保護強化、ログの集中保全を表明。2026年9月末までに：不正ログイン防止のための認証基盤強化、ネットワーク設定・ログ管理体制の見直し、多層防御体制の構築、個人情報取扱ルール・社内規程の再構築、全従業員への継続的セキュリティ教育。まなびIDの一斉パスワード再設定。
公表の仕方
3/13にシステム障害として告知、3/17第1報でランサムウェア被害と『漏えい確認』を公表、3/25第2報（復旧状況）、4/9第3報（77.2万件と項目内訳）、5/13調査結果（64.1万人、侵入起点、『おそれ』へ整理）、5/19刊行遅延解消と、約2か月で6回公表。対象者へ個別連絡を順次実施し、連絡困難な場合はWeb公表で代替（5/13時点で未完了）。攻撃手法・システム構成の詳細は被害拡大防止を理由に非開示、The Gentlemenの犯行主張には言及なし。学会・大学など関係組織も個別に公表・注意喚起。
当局対応
  • 個人情報保護委員会：3/14までに速報、5/11に確報を提出
  • 警察：3/14までに通報・相談

教訓と対策

教訓具体的な対策
正規アカウント情報だけで社内ネットワークに入れたVPN・RDゲートウェイ・クラウドIDなど外部から到達できる全ての認証面でMFAを必須化し、FIDO2/証明書ベースの端末認証を組み合わせる。サービスアカウントや退職者アカウントを棚卸しし、外部からのログインを条件付きアクセス（国・ASN・管理端末）で制限する
認証情報の漏えい経路をログから特定できなかったVPN・AD・IdPの認証ログ、EDRテレメトリを改ざん不能な外部ストレージ（WORM/別テナントSIEM）へ転送し最低1年保持。インフォスティーラー感染端末からの認証情報流出を想定し、ダークウェブ上の自社ドメイン認証情報の監視サービスを導入する
出版・学会受託・人材紹介など複数事業の高機微データが同一環境にあり、一度の侵入で全てが対象になったパスポート・在留カード・健康診断結果・マイナンバー・口座などの高機微データを事業単位で別セグメント（別テナント・別ADフォレスト）に分離し、アクセスを専用グループとジャンプホスト経由に限定。不要になった預かり書類は保持期限で自動削除する
初報で『漏えい確認』と書き、調査後に『おそれ』へ整理し直した公表文のテンプレートで確定度を『確定（証拠あり）／おそれ（否定できない）／調査中』の3段階で定義し、続報で変更した場合は変更理由と根拠（ログ範囲、持ち出し痕跡の有無）を明記する
事件をかたるフィッシングメールが出回った漏えい通知メールは本文にリンクを置かず『公式サイトのお知らせを確認』と誘導する形式に統一し、SPF・DKIM・DMARC（p=reject）を設定、BIMIも検討。初報時点で『当社がメールで入力を求めることはない』と明記する
利用者がパスワードを変更できないサービス（まなびID）で、発行元による一斉再設定と再配布が必要になった教育機関向けの一括発行IDでも利用者によるパスワード変更とSSO（SAML/OIDC）連携を提供し、インシデント時にセッション失効とパスワードリセットをAPIで一括実行できるようにしておく

自組織などでの確認項目

  1. あなたの組織で、外部から正規のID・パスワードだけでログインできる入口（VPN、RDP、クラウド管理画面等）はいくつ残っているか。MFAが無効な例外アカウントは誰が把握しているか。
  2. 本業とは別の受託事業・周辺事業で預かっている高機微データ（本人確認書類、健康情報、口座等）が、本業のシステムと同じネットワークに置かれていないか。
  3. インシデント初報で『漏えいを確認』と『漏えいのおそれ』のどちらを使うか、何を根拠に判断するか。後から表現を変える場合、どう説明するか。
  4. 自社の漏えい通知をかたるフィッシングが出回ったとき、利用者が本物と偽物を見分けられる仕組みを事前に用意しているか。

未解明点

  • 悪用された正規アカウントの種類（VPN、RDP、クラウドID等）、MFAの有無、侵入日と暗号化までの滞留期間
  • 認証情報の入手経路（インフォスティーラー、使い回し、フィッシング、境界機器の脆弱性経由等）
  • The Gentlemenの主張と本件の関係、身代金要求・交渉の有無、リークサイトでのデータ公開の有無
  • 64.1万人の区分別内訳と、パスポート・在留カード・マイナンバー・健康診断結果等の高機微情報の件数
  • 委託元から預かったID・パスワードの保存形式と、委託元側での認証情報変更の要否
  • 財務影響（特別損失、売上減少）

出典

  1. 1
    システム障害に関するお詫びと現在の状況について
    メディカ出版2026-03-13公式本文確認済
  2. 2
  3. 3
  4. 4
  5. 5
  6. 6
  7. 7
  8. 8
  9. 9
    定期刊行物発行遅延解消のお知らせ
    メディカ出版2026-05-19公式本文確認済
  10. 10
  11. 11
    ransomware.live 被害掲載ページ：MEDICUS SHUPPAN（thegentlemen）
    ransomware.live2026-03-21攻撃者主張本文確認済
  12. 12
    The Gentlemen Launch Ransomware Attack on MEDICUS SHUPPAN
    DeXpose2026-03-21研究者本文確認済
  13. 13
  14. 14
  15. 15
  16. 16
  17. 17
    メディカ出版を名乗る不審メールに注意を呼びかけ
    ScanNetSecurity2026-05-12報道本文確認済
  18. 18
  19. 19
  20. 20
  21. 21