国立病院機構 名古屋医療センターにおける患者情報入り私物USBメモリの紛失（591名分・公共交通機関で回収）
公表日
名古屋医療センターの職員が、患者591名分の情報が入った私物のUSBメモリを紛失した。USBメモリは翌日に公共交通機関で見つかり、センターは情報が外部に流出した可能性は低いと考えている。
対象者は？
USBメモリに情報が保存されていた患者591名。保存されていたのは、患者ID、氏名、年齢、手術名。一部の人については、気管支鏡検査データと検査日（375名）、がんステージ区分（370名）、病変サイズ（419名）も含まれていた。公表された内容に、住所や電話番号などは挙げられていない。
対象の患者には、順次、郵送でお詫びと報告が届く。分からない点は、個人情報対応専用窓口（電話0120-959-526、全日9時〜17時）で相談できる。
いますぐできること
- センターから郵送の通知が届いたときは、内容を確認する。
- 自分が対象かどうかなど、分からないことがあれば、個人情報対応専用窓口（0120-959-526、全日9時〜17時）に問い合わせる。
何が起きたのか
2026年5月22日（金）、名古屋医療センターの職員が、患者の情報が入った私物のUSBメモリを派遣先の医療機関に持っていった。同じ日に帰宅した際、USBメモリがないことに気づいた。センターは派遣先と帰り道を探し、利用した公共交通機関にも問い合わせた。USBメモリは翌23日（土）に、公共交通機関の座席の下から職員によって見つけられ、事業所で保管されていた。センターは5月27日（水）にこれを受け取った。
なぜ起きたのか・なぜ広がったのか
原因の詳しい分析は、まだ発表されていません。公表されたのは、職員が私物のUSBメモリに患者の情報を保存して派遣先へ持っていき、帰り道で紛失したという事実です。報道では、派遣勤務という働き方が、私物の記録媒体を外へ持ち出す機会を増やした可能性があるという見方も示されています。これはそのサイトの見解です。
いまの状況2026-07-22 時点続報待ち
センターは、現時点で情報の漏えいや不正利用の事実は確認されておらず、外部に流出した可能性は低いと考えている。対象の患者には、順次、郵送でお詫びと報告を行っている。再発防止策として、私物USBメモリの使用禁止、記録媒体の持ち出しの原則禁止、職員への教育、監査の強化を進めている。補償については、まだ発表されていません。
企業として考えたいこと
自分の会社で、機微な情報が入った私物のUSBメモリやスマートフォンが、仕事で社外へ持ち出されていないと、確認できていますか。
技術的な要約
名古屋医療センターの職員が、患者の個人情報が保存された私物のUSBメモリを2026年5月22日に派遣先医療機関へ持参し、同日帰宅時に紛失が判明した。USBメモリには591名の患者の患者ID・氏名・年齢・手術名が保存されており、一部の患者については気管支鏡検査データ・検査日、がんステージ区分、病変サイズも含まれていた。USBメモリは帰路で利用した公共交通機関の座席の下から5月23日に同機関の職員により回収され、事業所で保管されており、センターは5月27日に回収した。センターは、現時点で個人情報の漏えいや不正利用の事実は確認されておらず、外部に流出した可能性は低いと考えている。対象患者へは順次郵送でお詫びと報告を行い、私物USBメモリ等の使用禁止の徹底などの再発防止策を進めている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 物理公表で確認外部からの攻撃ではない。職員が持参した私物USBメモリを、派遣先医療機関からの帰路で公共交通機関内に置き忘れたとみられる（座席の下から回収）。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 業務停止に関する公表はない。
- データ
- おそれ上限 591確定 —人その他氏名健康情報全591名について患者ID・氏名・年齢・手術名。591名のうち375名について気管支鏡検査データ・検査日、370名についてがんステージ区分、419名について病変サイズが保存されていた。漏えいや不正利用の事実は確認されておらず、外部流出の可能性は低いとされる。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
紛失から回収までの経緯 事実
名古屋医療センターの職員は、患者の個人情報が保存された私物のUSBメモリを、2026年5月22日（金）に派遣先医療機関での勤務に持参していた。同日、派遣先から帰宅した際に、USBメモリを紛失していることが判明した。センターは派遣先医療機関内と帰路の捜索を行い、利用した公共交通機関にも問い合わせた。USBメモリは、帰路で利用した公共交通機関の座席の下から、翌23日（土）に公共交通機関の職員により回収され、事業所で保管されていた。センターは、事業所で保管されていたUSBメモリを5月27日（水）に回収した。外部からの攻撃ではなく、媒体の紛失として公表されている。
保存されていた情報の範囲 事実
公表によると、USBメモリには591名の患者に関する患者ID、氏名、年齢、手術名が保存されていた。このうち375名については気管支鏡検査データと検査日、370名についてはがんステージ区分、419名については病変サイズも保存されていた。数値はいずれも591名のうちの人数で、互いに重なる部分があるかどうかは公表されていない。センターは、現時点で個人情報の漏えいや不正利用の事実は確認されておらず、外部に流出した可能性は低いと考えている。この591名は保存されていた対象者数であり、流出が確認された人数ではない。
公表された対応と再発防止策 事実
センターは、対象の患者へ順次、郵送でお詫びと報告を行うとしている。問い合わせ窓口として、個人情報対応専用窓口（電話0120-959-526、受付は全日9時〜17時）を案内している。本件の発覚後には、情報管理体制の緊急点検・強化を実施した。再発防止策として、私物USBメモリ等の使用禁止の徹底、USBメモリ等の外部電磁的記録媒体の持ち出し原則禁止の徹底、職員への情報セキュリティ教育の徹底、情報セキュリティ監査の強化を進めている。報道も同じ内容の再発防止策を伝えている。
今回の事案から読み取れる構造（解釈） 解釈
本件は、媒体が回収され、流出の可能性は低いとされた点で、被害の拡大は抑えられたとみられる。一方で、患者の氏名や手術名、がんステージ区分などの機微な情報が、私物の可搬媒体に入って施設外へ出ていたこと自体が、管理上の論点になる。再発防止策が「私物USBの使用禁止の徹底」「持ち出し原則禁止の徹底」であることから、禁止の周知や運用を確実にする余地があったと読める。報道側は、派遣勤務という形態が持ち出しの機会を増やした可能性を指摘している。ただし、これは同サイトの見解であり、センターが認めた原因ではない。暗号化の有無など、評価に必要な情報は公表されていない。
対応
- 封じ込め
- 派遣先医療機関内および帰路の捜索と公共交通機関への問合せを行い、5月27日にUSBメモリを回収した。情報管理体制の緊急点検・強化を実施し、私物USBメモリ等の使用禁止の徹底、外部電磁的記録媒体の持ち出し原則禁止の徹底、職員への情報セキュリティ教育の徹底、情報セキュリティ監査の強化を進めている。
- 公表の仕方
- 公式に「患者様の個人情報を含む USB メモリ紛失に関するお詫びとご報告」を公表。対象患者へは順次郵送でお詫びと報告を行い、個人情報対応専用窓口（0120-959-526、全日9時〜17時）を設置した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 患者情報などの機微データを私物の可搬媒体に保存できる状態が、紛失時の影響範囲を決める。 | MDMやEDRのデバイス制御でUSBストレージの書き込みを既定で禁止し、許可は会社支給の暗号化媒体に限る。例外は申請制にし、許可ログを監査対象にする。 |
| 持ち出しを禁止するだけでなく、持ち出さなくても業務が回る手段が必要である。 | 派遣先や外勤先から院内システムの必要な情報へ安全に接続できるよう、VDIや多要素認証付きの閲覧環境を用意する。データはローカルに保存しない設定にする。 |
| 媒体を紛失しても内容が読まれない状態にしておけば、流出の可能性を技術的に低くできる。 | 許可する媒体は、ハードウェア暗号化付き、またはBitLocker To Goなどで暗号化を強制したものに限る。パスワード試行回数の制限を設定し、復号鍵は媒体と別に管理する。 |
| 紛失の発見から回収までの探索と問い合わせの手順を、あらかじめ決めておく。 | 紛失時の初動手順書に、交通機関・施設への照会先、記録すべき事項（日時・経路）、責任者への報告期限を定める。媒体の管理台帳と持ち出し記録を紐づけ、何がどこにあるかをすぐ特定できるようにする。 |
| 教育や通知だけでは私物利用の禁止が守られているか確認できないため、検知と監査を組み合わせる。 | 端末のUSB接続イベントを収集し、未許可媒体の接続を定期的にレビューする。監査結果を部門長へ報告し、是正の期限を設ける。 |
自組織などでの確認項目
- 自組織では、患者や顧客の個人情報を私物のUSBメモリやスマートフォンに保存することを、技術的に止められますか。禁止が規程だけになっていないか確認してみましょう。
- 派遣、出向、在宅、外勤など、普段と違う場所で働く職員が、必要な情報にどの方法でアクセスしていますか。持ち出し以外の手段が用意されていますか。
- 可搬媒体の紛失が起きたとき、自組織では何時間以内に誰へ報告し、どの順で探索と問い合わせを行うか、手順を説明できますか。
- 自組織の可搬媒体は暗号化されていますか。暗号化されていた場合と、されていない場合とで、紛失時の対応や公表の判断はどう変わりますか。
未解明点
- USBメモリが暗号化やパスワード保護されていたかどうかは、公表されていない。
- 職員が私物のUSBメモリを使うことになった経緯と、事案発生前の社内ルールの内容は公表されていない。
- 591名の対象者のうち、気管支鏡検査データ・検査日、がんステージ区分、病変サイズが重なっている人数は公表されていない。
- 回収後にUSBメモリの内容へのアクセス形跡などを確認したかどうか、また個人情報保護委員会などへの報告の有無は公表されていない。
出典
- 1国立病院機構 名古屋医療センター公式本文確認済
- 2セキュリティ対策Lab(合同会社ロケットボーイズ)2026-07-22報道本文確認済