日本生命病院 訪問看護ステーションへのサポート詐欺（個人情報253名分漏えいの可能性）
公表日
日本生命病院のニッセイ訪問看護ステーションで、職員のパソコンと個人のスマートフォンがサポート詐欺パソコンの画面に「ウイルスに感染しました」「この番号に電話してください」といった偽の警告を大音量で表示し、電話をかけさせて遠隔操作ソフトを入れさせたり、お金を払わせたりする詐欺です。企業が多額の被害を受けた例もあります。の被害を受け、最大253名分の個人情報が漏れた可能性があります（閲覧や持ち出しの事実は確認されていません）。
対象者は？
漏えいの可能性があるのは計253名分です。内訳は、訪問看護の利用者194名、連携する医療機関・介護関係機関の職員14名、2018年当時の役員12名、訪問看護ステーション関係職員33名です。マイナンバー、金融機関口座、クレジットカード情報は含まれていません。
対象となる方には、病院から順次、個別に連絡とお詫び・説明が行われています。ご自身が対象かどうか不安な場合は、公式のお知らせをご確認ください。
いますぐできること
- 対象かもしれない方は、病院からの個別の連絡を確認し、公式のお知らせを読んでください。
- 身に覚えのない電話やFAXがあったときは、相手の求めにすぐ応じず、病院の公式窓口に確かめてください。
- パソコンやスマートフォンに突然「ウイルス感染」などの警告と電話番号が出ても、電話せず、画面を閉じて身近な担当者に相談してください。
何が起きたのか
2026年9月19日、訪問看護ステーションの職員が、インターネット閲覧用のパソコンに表示された偽の警告に従って操作をしました。その後の確認で、このパソコンと職員個人のスマートフォンを通じて、端末内の情報を第三者に見られた可能性を否定できないことが分かりました。端末には、院内の規定に反して個人情報が保存されていました。病院は2026年10月15日に公表し、個人情報保護委員会にも報告しています。現時点で、情報が見られたことや持ち出されたこと、悪用されたことは確認されていません。
なぜ起きたのか・なぜ広がったのか
偽の警告に従った操作が起点になったと公表されています。このパソコンには、院内規定に反して個人情報が保存されていたことも確認されています。ただし、詳しい侵入の手口や、保存されていた経緯は、まだ発表されていません。
いまの状況2026-10-15 時点続報待ち
2026年10月15日時点で、外部の専門会社の協力を得て調査中です。当該パソコンは電子カルテ等の医療情報システムにつながっておらず、診療などの病院業務への影響はないとされています。対象の方への個別連絡は順次進められています。再発防止策として、全職員への教育、ネット閲覧用端末での個人情報の取り扱いルールの徹底、点検体制の強化が示されています。調査の結論や補償については、まだ発表されていません。
企業として考えたいこと
あなたの会社で、インターネットを見るパソコンやスマートフォンに、顧客や取引先の個人情報が保存されていないと言い切れますか。
技術的な要約
日本生命病院のニッセイ訪問看護ステーションで、職員が使用していたインターネット閲覧用パソコンと職員個人のスマートフォンがサポート詐欺の被害を受けた。2026年9月19日に職員が偽の警告に従って操作を行い、その後の事実確認で、第三者に端末内の情報を閲覧された可能性を否定できないことが判明した。端末には院内規定に反して個人情報が保存されており、漏えいの可能性があるのは計253名分である。現時点では第三者による閲覧や外部持ち出し、不正利用の事実は確認されておらず、外部の専門会社の協力を得て調査中である。当該パソコンは電子カルテ等の医療情報システムに接続されておらず、診療等の病院業務への影響はない。個人情報保護委員会へ報告済みで、2026年10月15日に公表された。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認公式発表では、インターネット閲覧用パソコンに表示された偽の警告に従って職員が操作を行い、パソコンと職員個人のスマートフォンがサポート詐欺の被害を受けたとされる。これらの端末を通じて第三者に端末内の情報を閲覧された可能性を否定できないとされる。具体的な侵入手法の詳細は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 当該パソコンは電子カルテ等の診療情報を管理する医療情報システムには接続されておらず、診療等の病院業務への影響はない。
- データ
- おそれ上限 253確定 —人氏名住所電話生年月日健康情報取引先情報従業員情報漏えいの可能性があるのは計253名分。内訳は、訪問看護ステーション利用者194名（氏名、お住まいの区、災害時に備え現状態をスコア化した情報［医療依存度、認知機能の状況、介護度、緊急時の搬送方法等］等）、連携医療機関・介護関係機関の職員14名（勤務先、氏名、FAX番号）、2018年当時の当会役員12名（氏名、役職、生年月日、住所、電話番号）、訪問看護ステーション関係職員33名（氏名、電話番号等）。マイナンバー、金融機関口座、クレジットカード情報は含まれない。第三者による閲覧・外部持ち出しの事実や不正利用は確認されていない。対象端末は業務用パソコン1台と職員個人のスマートフォン1台。「住所」は役員分、「健康情報」は利用者のスコア化情報に対応させた分類。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
公表された事案の概要 事実
2026年10月15日の公式発表によると、日本生命病院のニッセイ訪問看護ステーションで、職員が使うインターネット閲覧用パソコン1台と職員個人のスマートフォン1台がサポート詐欺の被害を受けた。2026年9月19日に職員がパソコンに表示された偽の警告に従って操作を行い、その後の事実確認で、第三者に端末内の情報を閲覧された可能性を否定できないことが判明した。現時点では、第三者による閲覧や外部持ち出しの事実は確認されていない。個人情報の不正利用や、本件に起因するとみられる被害も確認されていない。外部の専門会社の協力を得て調査を進めており、個人情報保護委員会へも報告済みである。
対象となる情報の範囲と内訳 事実
漏えいの可能性があるのは計253名分で、流出が確定した件数ではない。内訳は、利用者194名（氏名、お住まいの区、災害時に備え現状態をスコア化した情報［医療依存度、認知機能の状況、介護度、緊急時の搬送方法等］等）、連携医療機関・介護関係機関の職員14名（勤務先、氏名、FAX番号）、2018年当時の当会役員12名（氏名、役職、生年月日、住所、電話番号）、訪問看護ステーション関係職員33名（氏名、電話番号等）である。マイナンバー、金融機関口座、クレジットカード情報は含まれていない。本来は端末に保存すべきでない個人情報が、院内規定に反して保存されていたことも確認されている。
業務への影響と公表された対応 事実
当該パソコンは電子カルテ等の診療情報を管理する医療情報システムには接続されておらず、診療等の病院業務への影響はないとされている。対象となる利用者および関係者には、順次、個別に連絡し、お詫びと説明を行っている。再発防止策として、全職員へのサポート詐欺・サイバーセキュリティ教育の徹底、インターネット閲覧用端末での個人情報取り扱いを中心としたルールの徹底、個人情報取り扱いに関する点検体制の強化を実施するとしている。一方、端末の遮断などの具体的な封じ込め措置、検知日、侵入手法の詳細は、今回の発表では公表されていない。
被害範囲を決めた要因についての見方 解釈
公表内容からは、漏えいのおそれの範囲が、端末に保存されていた情報の量と種類によって決まったと読める。医療情報システムと分離された端末だったことは、診療業務への波及を防ぐうえで働いた可能性がある。一方で、分離された端末に置かれた情報の管理は別の課題として残る。また、職員個人のスマートフォンも対象に含まれた点は、業務と私物の境界が曖昧になりやすいという、訪問系の事業に共通しうる論点を示唆する。ただし、なぜ保存されていたのか、どう操作したのかといった経緯は公表されていないため、これは公表内容に基づく解釈にとどまる。
公表内容の評価 解釈
今回の発表は、対象者の区分ごとの人数と情報項目、含まれない情報（マイナンバー、口座、クレジットカード）、確認できていない事項（閲覧・持ち出し・不正利用）を分けて示している。「可能性」と「確認済み」を区別した書き方で、受け手が自分の状況を判断しやすい構成といえる。個別連絡と個人情報保護委員会への報告も明記されている。調査中のため、結論は今後の続報で変わりうる。検知の経緯や調査結果が示されれば、同種の事案への教訓としての価値はさらに高まると考えられる。これは公開情報に基づく評価であり、組織の取り組み全体を断定するものではない。
対応
- 封じ込め
- 外部の専門会社の協力を得て調査を進めている。再発防止策として、全職員へのサポート詐欺・サイバーセキュリティ教育の徹底、インターネット閲覧用端末での個人情報取り扱いを中心としたルールの徹底、個人情報取り扱いに関する点検体制の強化を実施するとしている。端末の遮断などの具体的な封じ込め措置は公表されていない。
- 公表の仕方
- 2026年10月15日に公式サイトで「お詫びとご報告」として公表。対象となる利用者および関係者には、順次、個別に連絡し、お詫びと説明を行っている。
- 当局対応
- 個人情報保護委員会へ報告済み
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 偽警告への操作という人の判断が起点になりうるため、技術と教育の両面で備える必要がある。 | ブラウザのポップアップ・通知の制限をグループポリシー等で一括設定し、悪性サイトへの接続をDNSフィルタやWebフィルタで遮断する。あわせて、偽警告の画面例を使った訓練を定期的に実施し、「警告に表示された電話番号へは連絡せず、ブラウザを閉じて情報システム担当へ報告する」手順を周知する。 |
| 本来保存すべきでない場所に個人情報が置かれていると、被害の範囲が広がるおそれがある。 | DLP製品やファイル検索ツールで、端末内の個人情報ファイル（氏名・住所・生年月日などのパターン）を定期的に棚卸しする。見つかったものは所定のサーバへ移し、端末上の元ファイルは削除する。ネットに接続する端末にはローカル保存を禁止する設定を適用する。 |
| 業務システムとネット閲覧用端末を分離しておくと、業務への波及を抑えられる。ただし分離先の情報管理も別に必要である。 | ネットワークをセグメント分離し、閲覧用端末から基幹・医療情報システムへの通信をファイアウォールで拒否する。閲覧用端末にはEDRを導入し、リモート操作ツールの起動や不審な外部接続を検知・通知する設定にする。 |
| 職員個人のスマートフォンが業務に使われると、組織が管理できない範囲に情報が出る。 | 私物端末の業務利用の可否と範囲を規程で明確にする。利用を認める場合は、MDMまたはコンテナ型アプリで業務データを分離し、紛失・感染時にリモートで消去できるようにする。個人情報を端末本体に保存させない設定も併せて適用する。 |
| 漏えいの可能性段階でも、確認できた事実と未確認の事項を分けて早期に伝えることが、利用者の判断に役立つ。 | インシデント対応手順書に、公表文のひな形（対象者の区分別人数、情報項目、含まれない情報、確認済み／未確認の区別、問い合わせ先）を用意する。個人情報保護委員会への報告期限と連絡経路も、あらかじめ担当者を決めて記載しておく。 |
自組織などでの確認項目
- 自組織のネット閲覧用端末に、個人情報や取引先情報のファイルが保存されていないか、直近で確認したのはいつか。確認の方法は何か。
- 職員が偽の警告に気づいたとき、誰にどの手段ですぐ報告できるか。夜間・外出先・私物スマートフォンの場合も、その手順が通用するか。
- 私物端末で業務の連絡先や利用者情報を扱う場面が自組織にあるか。あるなら、規程と技術的な管理（MDMなど）は一致しているか。
未解明点
- 第三者による端末内情報の閲覧や持ち出しの有無は、外部専門会社の調査でどう結論づけられるのか。調査結果は公表されるのか。
- 偽の警告に従った具体的な操作内容（遠隔操作ソフトの導入など）と、事案を検知した日や経緯は、まだ明らかになっていない。
- 個人情報が院内規定に反して端末に保存されていた経緯と、その点検の結果はどうだったのか。
出典
- 1公益財団法人 日本生命済生会 日本生命病院2026-10-15公式本文確認済