MICINの「クロンオンライン診療」に対する不正ログイン（リスト型攻撃により患者情報閲覧）
公表日
MICINの「クロンオンライン診療」が第三者からの不正ログインを受け、患者73名分の診療記録やメモ等の個人情報が閲覧されました。
対象者は？
不正ログインを受けた医療機関（5施設中3施設）で診療を受けた患者73名、および不正ログインを受けた患者14名のアカウント。氏名、連絡先、生年月日、受診状況、医師のメモ、一部処方箋画像などが閲覧された可能性があります。なお、本人確認書類やパスワードは含まれておらず、クレジットカード情報は保持していません。
対象となる医療機関および患者に対しては、MICINから個別に連絡が行われています。
いますぐできること
- 他サービスと同じID（メールアドレス）やパスワードを使い回している場合は、直ちに別々の強固なパスワードに変更してください。
- サービス内で二要素認証（2FA）の設定が可能な場合は、速やかに有効化してください。
何が起きたのか
2026年10月23日、オンライン診療サービス「クロンオンライン診療」で医療機関や患者のアカウントに対する不正ログインが検知されました。調査の結果、5つの医療機関（6アカウント）と患者14名のアカウントに不正ログインが行われ、うち3医療機関を通じて患者73名分の氏名や診療情報、医師によるメモなどが閲覧されたことが判明しました。
なぜ起きたのか・なぜ広がったのか
他のサービスから過去に流出したとみられるIDとパスワードの組み合わせを悪用した「リスト型攻撃」が行われたためです。二要素認証が設定されていないアカウントや、パスワードを使い回していたアカウントが侵入を受けたとみられます。MICINのサーバーやデータベース自体への直接侵入は確認されていません。
いまの状況2026-10-29 時点
発覚当日に攻撃元の通信を遮断し、対象アカウントおよび二要素認証未設定アカウントのパスワード初期化、全医療機関アカウントの強制ログアウトが実施されました。不正決済等の二次被害は確認されておらずサービスは継続しています。個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くことが多いのは、このためです。と対象者への連絡を完了しており、今後ログイン時のセキュリティ強化が予定されています。
企業として考えたいこと
自社のサービスや管理画面で、パスワード使い回しによる不正ログインを防ぐための多要素認証（MFA）パスワード（知っているもの）に加えて、スマートフォンへの通知やコード（持っているもの）、指紋や顔（体の特徴）など、別の種類の確認を組み合わせるログイン方式です。パスワードが漏れても、それだけではログインされにくくなります。の義務化や、機械的なログイン試行を遮断する対策は整っていますか？
技術的な要約
株式会社MICINが提供するオンライン診療サービス「クロンオンライン診療」において、2026年10月23日に第三者による不正ログインが検知された。調査の結果、他サービス等から流出した認証情報を用いたリスト型攻撃とみられ、自社サーバーやデータベースへの侵入形跡は確認されなかった。この不正アクセスにより、5医療機関の6アカウントおよび患者14アカウントが被害を受け、3医療機関において患者73名分の個人情報や診療情報が第三者に閲覧された。同社は発覚当日に攻撃元IPアドレスを遮断し、対象アカウント等のパスワード初期化および医療機関アカウントの強制ログアウトを実施した。サービスの停止は行われず、個人情報保護委員会への報告と対象者への個別連絡を完了している。
攻撃の分類
- 侵入口
- 認証情報窃取・流用報道・研究者公式は推定として記載。外部の他サービスなどから流出したIDとパスワードの組み合わせを用いたリスト型攻撃とみられる。MICINのサーバーやデータベースへの侵入形跡は確認されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし クロンオンライン診療を含むサービスの停止は行われておらず、不正決済等の二次被害も確認されていない。
- データ
- 確定上限 73確定 73人氏名メール電話生年月日住所性別健康情報業務データ医療機関6アカウント（5医療機関）および患者14アカウントで不正ログインが発生。うち3医療機関を通じて患者73名分の情報（氏名、連絡先、生年月日、住所、性別、カルテ番号、診察券番号、受診状況、医師によるメモ等）が閲覧された。また、患者アカウントを通じて一部患者の処方箋画像、診察記録、サービス利用履歴が閲覧された可能性がある。本人確認書類やパスワード情報は含まれず、クレジットカード情報は非保持。
- 波及先
- 5 医療機関
- 不正ログインを受けた5医療機関（うち3医療機関で患者情報の閲覧被害が発生）
- 金銭影響
- —
- サプライチェーン
- MICINが提供するオンライン診療プラットフォームへの不正ログインを通じて、利用する医療機関のアカウントおよび患者情報が閲覧された。
時系列
技術解説
リスト型攻撃による医療機関および患者アカウントへの不正ログインと閲覧被害 事実
2026年10月23日、MICINが提供するオンライン診療サービス「クロンオンライン診療」において、第三者による不正ログインが検知された。調査の結果、他サービスから流出したIDとパスワードの組み合わせを利用したリスト型攻撃とみられ、MICINのサーバーやデータベースへの直接的な侵入形跡は確認されなかった。被害規模としては、5医療機関の6アカウントおよび患者14アカウントで不正ログインが発生した。このうち3医療機関のアカウントを通じて患者73名分の個人情報および診療関連情報（氏名、連絡先、生年月日、住所、性別、カルテ番号、診察券番号、受診状況、医師によるメモ等）が閲覧された。また、侵害された患者アカウントを通じて、一部患者の処方箋画像や診察記録、サービス利用履歴が閲覧された可能性がある。一方で、本人確認書類やパスワード情報は漏洩対象に含まれておらず、クレジットカード情報は同社で非保持のため対象外となっている。
二要素認証の未設定アカウントを標的としたリスト型攻撃の成立要因 解釈
本件攻撃が成功した主要な背景には、利用者側におけるパスワードの使い回しと、二要素認証（2FA）が全アカウントで必須化されていなかった点が挙げられる。同社が初期対応として「不正ログイン確認アカウント」だけでなく「二要素認証を設定していないアカウント」を対象にパスワード初期化を実施していることから、二要素認証を設定していなかったアカウントが集中的に突破された、もしくは突破される潜在的リスクを抱えていたことがうかがえる。医療従事者や患者が単一のID・パスワードのみに依存した認証方式を用いていた場合、外部流出リストを用いた総当たり的な突合攻撃を防ぐことは極めて困難である。特に医療機関アカウントが侵害された場合、単一の認証情報突破が多数の患者の機微な健康情報・カルテ情報の閲覧につながるため、特権的立場にある業務アカウントの認証強度不足が波及被害を拡大させた構造といえる。
迅速な一時対応の評価と医療DXプラットフォームに求められる恒久対策 解釈
MICINは不正アクセスを検知した当日に攻撃元IPアドレスの遮断、対象アカウントおよび2FA未設定アカウントのパスワード初期化、全医療機関アカウントの強制ログアウトを実施した。この迅速な初動対応により、サービス全体の停止を回避しつつ、短期間で不正侵入の封じ込めに成功した点は評価できる。しかし、IPアドレス遮断や場当たりのパスワード初期化はリスト型攻撃に対する対症療法にとどまる。分散型プロキシやBotネットを用いた攻撃に対してIP制限だけで持続的に防ぐことは難しく、ログイン試行の検知ルール強化やCAPTCHAの導入、そして何より医療機関アカウントを含む全ユーザーに対する多要素認証（MFA）の義務化といった恒久的な技術対策が、医療DXプラットフォームの信頼性維持には不可欠である。
対応
- 封じ込め
- 不正アクセスが発覚した当日にアクセス元IPからの通信を遮断。不正ログインが確認されたアカウントおよび二要素認証を設定していないアカウントのパスワード初期化を実施し、全医療機関アカウントを強制ログアウトさせた。
- 公表の仕方
- 2026年10月27日に自社Webサイトでお知らせを掲載し、事象と影響範囲、対応状況を公表。対象となる医療機関および患者に対しては個別に連絡を実施した。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 外部流出認証情報を用いたリスト型攻撃に対して、単一要素のID・パスワード認証のみではアカウント侵害を防止できない。 | 多要素認証（MFA/2FA）を標準機能として提供するだけでなく、特に他者の機微データを閲覧できる管理・業務アカウントに対してはMFA設定を必須化する。 |
| 業務アカウント1件の侵害が、その配下に紐づく多数のエンドユーザーの機微情報閲覧に直結する。 | 医療機関や管理者アカウントからのアクセスであっても、短時間での大量データ閲覧や通常と異なる端末・地域からのアクセスに対して異常検知を行い、セッションを即時遮断する仕組みを導入する。 |
| 検知から封じ込めまでの初動が遅れると、データの一括取得や不正改ざんなど二次被害が拡大するリスクがある。 | 不正ログイン検知時に攻撃元通信の即時遮断、対象アカウントの強制ログアウト、パスワード強制リセットを迅速に実行できるインシデント対応プレイブックを策定・整備しておく。 |
| 同一IPや分散元からの機械的なログイン試行を境界段階で排除できず、正規認証リクエストとして処理されてしまう。 | WAFやBot対策ツールを導入し、同一資格情報や同一送信元からの連続認証失敗に対するレートリミット（回数制限）、CAPTCHAチャレンジの動的適用を実装する。 |
自組織などでの確認項目
- 自社が提供・利用するWebサービスにおいて、管理権限や他者の機微情報を扱えるアカウントに多要素認証（MFA）が必須化されているか
- 外部からの急激なログイン試行増加や、同一IP・不審なUser-Agentからの連続アクセスを自動検知・遮断する仕組みが稼働しているか
- 万一アカウントの侵害を検知した場合に、特定アカウントや全セッションを即座に無効化（強制ログアウトおよびパスワードリセット）できる運用手順が整備されているか
未解明点
- 攻撃元となったリスト型攻撃の試行総数や検知契機となった異常ログの詳細、および医療機関側での2要素認証義務化の具体的なスケジュール
出典
- 1日経メディカル2026-10-29報道本文確認済
- 2株式会社MICIN2026-10-27公式本文確認済
- 3株式会社MICIN2026-10-27公式本文確認済
- 4CBnewsマネジメント2026-10-28報道本文確認済
- 5ミクスOnline2026-10-28報道本文確認済