北海道医療センター・北海道がんセンターの廃棄HDD外部流通（最大約51万人分の個人情報流出のおそれ）
公表日
北海道医療センターと北海道がんセンターが廃棄を委託した古い端末のHDDの一部が、壊されないまま外に出回りました。個人情報が流出したおそれのある人は最大約51万人です。
対象者は？
北海道医療センターと北海道がんセンターの患者らです。公表人数は旧電子カルテの患者ID総数に基づく「想定上の最大範囲」で、全員の情報が漏れたわけではないとされています。報道では患者約18万2800人と職員約4100人の流出が確認されたとされています。情報は氏名、生年月日、住所、電話番号、病名、検査結果などで、人によって異なります。マイナンバー、銀行口座番号、クレジットカード番号は含まれていないとされています。
対象と考えられる患者には、センターから書面が順次郵送されています。不明な点は専用コールセンター(0120-008-602、平日9:00〜17:00)に問い合わせてください。
いますぐできること
- センターから届いた書面があれば内容を確認する。
- 不審な電話・郵便・メールや、病院や公的機関を名乗って個人情報を聞き出そうとする連絡には応じない。
- 不安なときは専用コールセンター(0120-008-602、平日9:00〜17:00)に相談する。
何が起きたのか
両センターは電子カルテの更新に伴い、古い端末の処分を外部の業者に任せ、HDDは壊すよう依頼していました。報道によると、委託先の業者は壊したかを確認しないまま別の業者に売り、買った業者も確認せず道外の業者へ転売したとされています。2025年6月、ネットオークションでHDDを買った人が「センターのデータらしきものが入っている」と連絡し、事案がわかりました。2026年6月8日にセンターが公表しました。その後、北海道庁や新札幌豊和会病院のHDDでも同様の流出が報じられました。
なぜ起きたのか・なぜ広がったのか
センターの公表では、破砕すべきHDDの一部が適切に処理されないまま外に出たとされています。報道では、業者が壊したかを確かめずに売ったことが背景とされています。業者は「不注意でミス」「故意ではない」と説明したと伝えられています。委託先の管理の詳しい内容は、まだ発表されていません。
いまの状況2026-07-10 時点続報待ち
2026年10月14日時点までに確認できた情報では、個人情報の不正利用や二次被害は確認されていないとされています。両センターは、院内での物理USBメモリや外付けディスクの紛失、メールやデータの宛先間違いによる情報の流出です。攻撃ではありませんが、暗号化されていなければ、1つのミスで何百万件もの情報が流出することがあります。的な破壊を原則とし、廃棄の作業では複数人で確認するなどの再発防止策を示しました。国立病院機構は業者を刑事告発したと報じられています。外に出たHDDの全数や、お金の面の影響は、まだ発表されていません。
企業として考えたいこと
自社で廃棄するパソコンや機器のデータは、誰が、どの時点で、壊れたことを確かめていますか。
技術的な要約
国立病院機構の北海道医療センターと北海道がんセンターは2026年6月8日、電子カルテ更新に伴い廃棄を委託した旧端末のHDDの一部が、破砕されないまま外部に流通していたと公表した。報道によれば、2024年3月と11月に石狩市のリプロワークへ委託し、対象は千台規模で、2025年6月にネットオークションでHDDを購入した人からの連絡で発覚した。同社は破砕を確認せず別業者へ売却し、購入したリサイクル業者も確認せず道外業者へ転売していたと報じられている。想定上の最大範囲は約51万人で、報道では患者約18万2800人・職員約4100人の流出が確認されたとされるが、不正利用や二次被害は確認されていない。その後、北海道庁（697人分）や新札幌豊和会病院（4721人分）でも同業者に委託したHDDの流出が報じられた。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 委託先経由公表で確認外部の廃棄処理業者に破砕処分を委託した旧端末内蔵HDDの一部が、適切に破砕されないまま外部に流通した（公式）。報道では、業者が破砕を確認せず別業者へ売却し、購入業者も確認せず道外業者へ転売、NASなどとしてネット販売・オークションに出品された。外部からの侵入ではない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 診療等の業務停止は公表されていない。
- データ
- おそれ上限 510,000確定 182,800人氏名生年月日住所電話健康情報従業員情報その他公式は北海道医療センター分として回収HDDに延べ約176万件・実数約17万名分が記録されていたとし、公表人数は旧電子カルテの患者ID総数に基づく想定上の最大範囲で全員が漏えいしたわけではないとする。報道では北海道がんセンター分は延べ25000件・実数8800人、想定最大範囲は合計約51万人、流出確認は患者約18万2800人と職員約4100人（records_confirmedは患者分のみ）。情報は他に患者番号、診療日、診療科、入院情報、病名、検査結果、アレルギー情報、看護記録の一部など（患者ごとに異なる）。マイナンバー・口座・クレジットカード番号は含まれない。不正利用・二次被害は確認されていない（公表時点）。電子カルテデータ入りHDDは少なくとも33台（報道）。
- 波及先
- 2 組織
- 北海道庁（697人分。国立病院機構が回収した90台のHDDに混在。庁内のデータ消去未徹底が原因で病院事案とは別原因と報道）
- 新札幌豊和会病院（患者4721人分。北海道医療センターが回収したHDDに同病院のものがあり通報）
- 金銭影響
- —
- サプライチェーン
- 委託先の石狩市の産廃処理業者リプロワークが破砕を確認せず売却したことで流出した。同業者に委託した北海道庁や新札幌豊和会病院のHDDも流出が判明した。
時系列
- 2024-03電子カルテ更新に伴い、旧端末HDDの廃棄・破砕をリプロワークに委託（11月にも委託。対象は千台規模と報道）9
- 2025-06
- 2025-07HDDを回収して調査し、患者や職員の個人情報が含まれていることを確認3
- 2026-06-08
- 2026-06-08
- 2026-06-09官房長官が「誠に遺憾」と述べ、厚労省が全国の医療機関に注意喚起したと報道5
- 2026-06-09リプロワークが破砕を確認せず別業者に売却し、購入したリサイクル業者も確認せず道外業者へ転売していたと報道6
- 2026-06-09両センターが今後データ消去確認を徹底し、院内で破壊する方針と報道7
- 2026-06-29新札幌豊和会病院でも患者4721人分の個人情報を含むHDDが流出していたと報道8
- 2026-07-10想定最大範囲約51万人、33台に電子カルテデータが残っていたなどの内容が報じられる9
技術解説
事案の構造:廃棄委託の過程での流通 事実
北海道医療センターは2026年6月8日付で、診療に使うOA機器を廃棄する過程で、本来破砕されるべきHDDの一部が適切に処理されないまま外部に流通していた事案が判明したと公表した。電子カルテの更新に伴い旧端末の処分を外部の廃棄処理業者に委託し、内蔵HDDは破砕処分するよう委託していた。報道では、委託先の石狩市の業者リプロワークが作業員の破砕確認をせず別の業者に売却し、購入した道内のリサイクル業者も確認せずに道外の業者へ転売したとされる。廃棄されたHDDを使ったNASがネット上で販売されていたとも報じられた。外部からの侵入ではなく、委託先での処理工程で起きた事案である。
発覚の経緯と公表時点の影響範囲 事実
報道によると、2025年6月にネットオークションでHDDを購入した人が北海道医療センターに、同センターのものと思われるデータが保存されていると連絡した。同年7月にHDDを回収して調査し、患者や職員の個人情報が含まれていることを確認したとされる。公式発表では、回収したHDDに延べ約176万件、実数で約17万名の患者の情報が記録されていた。公表人数は旧電子カルテの患者IDの総数に基づく想定上の最大範囲で、全員の情報が漏えいしたわけではないとしている。報道では最大約51万人分、患者約18万2800人と職員約4100人の流出が確認されたとある。マイナンバー、口座、カード番号は含まれず、不正利用や二次被害は公表時点で確認されていない。
波及の広がりと他組織の事案 事実
北海道新聞は、北海道庁でも同様の事案が起き、少なくとも697人分の個人情報が含まれていたと報じた。T客邦の記事は、この分が国立病院機構が回収した90台のHDDに混在し、原因は庁内でのデータ消去の未徹底で病院の事案とは別原因と伝えている。2026年6月29日には、新札幌豊和会病院が石狩市の産業廃棄物処理業者に破砕を委託したHDDから、患者4721人分の個人情報が流出していたことが報じられた。先行して流出を把握した北海道医療センターがオークションから回収したHDDの中に、同病院のものとみられるものがあり、同センターが通報したという。厚生労働省は全国の医療機関へ緊急の事務連絡を出し、官房長官も6月9日に「誠に遺憾」と述べたと報じられた。
なぜ見過ごされやすかったか(解釈) 解釈
報道では、データ消去を含む破砕処理を外部の業者に任せていたことが流出につながったとされる。委託先が確認しないまま売却し、買い手も確認しないまま転売するという、確認の省略が連鎖した構図がうかがえる。委託元から見ると、処理の結果は委託先の報告に頼らざるを得ず、現場で破砕を確認する仕組みがなければ、問題は外部からの連絡で初めて表面化する。本件も購入者の連絡が端緒だった。対象が千台規模と大きく、処理が複数の業者に渡ると、追跡の難しさも増したと考えられる。ただし、委託先管理の実際の内容や契約条件は公表されておらず、ここでの見方は公表された範囲からの推測にとどまる。
公表と再発防止の評価(解釈) 解釈
公式の初報は、可能性を否定できないという理由で公表し、対象患者へ個別に書面を送り、専用コールセンターを置いた点で、本人が動ける情報を示している。件数も、延べ件数と実数、想定上の最大範囲を分けて説明しており、数字の意味が読み取りやすい。再発防止策は、院内での物理的破壊を原則とし、複数人確認を必須とし、委託先管理を厳格化するというもので、委託先に任せない方向に切り替えている。一方で、覚知から公表まで約1年かかった理由や、外部に流通した全数は公式資料からは確認できない。評価は現時点の公表に基づくもので、今後の続報で変わりうる。
対応
- 封じ込め
- 当該HDDを回収（外部に流通した全数は明らかでない）。再発防止策として、個人情報を含む記録媒体は院内での物理的破壊を原則とし、廃棄工程での複数人確認を必須化し、委託先選定・管理体制を厳格化する。対象患者へ書面を順次個別郵送し、専用コールセンター（0120-008-602、平日9:00〜17:00）を設置。
- 公表の仕方
- 2026年6月8日付で「個人情報の取扱いに関するお詫びとご報告」を公表。患者の個人情報が外部に接触した可能性を否定できないとして公表し、対象患者へ個別連絡している。不審な電話・郵便・メールへの注意を呼びかけている。
- 当局対応
- 厚生労働省が2026年6月8日に全国の医療機関へ廃棄機器の個人情報保護徹底を求める緊急事務連絡（破砕立会い、処理記録写真の取得、委託業者の審査など。報道）
- 官房長官が6月9日に「誠に遺憾」と発言、厚労省が注意喚起
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 記録媒体の廃棄は、委託先の「処理しました」という報告だけでは完了を確認できない。 | 個人情報を含む媒体は院内・社内で物理破壊を原則とする。外部で破砕する場合は職員が立ち会い、個体ごとのシリアル番号、破砕前後の写真、廃棄証明書を台帳と突合する。 |
| 再委託や転売の連鎖があると、委託元は最終処理の実態を把握できなくなる。 | 契約で再委託を原則禁止または事前承認制にし、処理工程と作業場所の監査権を明記する。委託先の現場を定期的に監査し、結果を記録する。 |
| 廃棄すべき機器の数量管理が曖昧だと、流出した台数や範囲を後から特定しにくい。 | HDDなどの媒体を資産台帳でシリアル番号管理し、搬出・受領・破砕の各段階で数量を照合する。差異が出たら回収を止めて調査する。 |
| データが残る前提で、廃棄前に消去しておく二重の備えが要る。 | 搬出前に、NIST SP 800-88相当の消去またはディスク暗号化の鍵破棄を実施し、実施結果をログに残す。暗号化していた端末は鍵の破棄を確認する。 |
| 同じ委託先を使う他組織にも影響が広がるため、事案発生時の横展開の連絡経路が必要になる。 | 同一業者を利用する関係組織へ速やかに通報する手順を定め、委託先の取引先一覧を平時から把握しておく。回収した媒体は所有者を特定して返却・通知する。 |
自組織などでの確認項目
- 自組織で廃棄するPC・サーバ・複合機の記録媒体は、誰がどの時点で破砕や消去を確認していますか。確認の記録は残っていますか。
- 廃棄の委託先は、さらに別の業者へ再委託・売却していないでしょうか。契約書に再委託の条件や監査権が書かれているか確認できますか。
- 廃棄した媒体について、シリアル番号などで台数を追える台帳がありますか。外部から「御社のデータが入った機器がある」と連絡が来たとき、誰が受け、何日以内に何を調べますか。
未解明点
- 外部に流通したHDDの全数と、そのうち回収できた数は公表されておらず、未回収分の所在と影響は明らかでない。
- 最初の連絡があった2025年6月から公表の2026年6月までの間に、何が調べられ、通知や公表の判断がどう行われたかは公式には説明されていない。
- リプロワークへの刑事告発後の捜査や処分の結果、金銭的な影響や補償の有無は、公表されていない。
出典
- 1北海道医療センター2026-06-08公式本文確認済
- 2INTERNET Watch2026-06-09報道本文確認済
- 3北海道新聞デジタル2026-06-08報道本文確認済
- 4北海道新聞デジタル2026-06-08報道本文確認済
- 5北海道新聞デジタル2026-06-09報道本文確認済
- 6北海道新聞デジタル2026-06-09報道本文確認済
- 7北海道新聞デジタル2026-06-09報道本文確認済
- 8北海道新聞デジタル2026-06-29報道本文確認済
- 9T客邦2026-07-10報道本文確認済