関西医科大学附属病院でのUSBメモリ紛失（患者約1,800人分の個人情報、数日後に回収）
公表日
関西医科大学附属病院で、医師が使っていたUSBメモリが2026年2月に紛失され、患者約1,800人分の氏名や病名などが保存されていました。数日後に見つかって回収され、公表時点で悪用は確認されていません。
対象者は？
同院の患者約1,800人分の情報が保存されたUSBメモリが対象です（これは保存されていた人数の上限にあたり、実際に外部へ漏れたと確認された件数は公表されていません）。保存されていたのは患者氏名、患者ID、性別、病名、入退院日等です。住所、電話番号、クレジットカード情報は含まれていないと病院は説明しています。
自分が対象かどうかや、病院からの個別連絡の有無は、公表資料からは分かりません。病院の公式のお知らせを確認してください。
いますぐできること
- 病院の公式のお知らせを読み、内容を確認する。
- 同院の患者で気になることがある場合は、病院に問い合わせる。
何が起きたのか
2026年2月、関西医科大学附属病院の脳神経内科で働く医師が使っていたUSBメモリが紛失されました。中には患者約1,800人分の氏名、患者ID、性別、病名、入退院日などが入っていました。USBメモリは数日後に見つかり、すでに回収されています。病院は2026年6月3日に、個人情報保護法の定めに従ってこの件を公表しました。
なぜ起きたのか・なぜ広がったのか
紛失に至った経緯は、公表されていません。紛失した場所、見つかった場所、USBメモリが暗号化されていたかどうかなども、公表されていません。公表が紛失から3か月以上後になった理由も、まだ発表されていません。
いまの状況2026-06-03 時点
2026年6月3日の公表時点で、病院は、見つかった状況から情報漏えいのリスクは極めて低いと考えており、情報が悪用されるなどの二次被害は確認されていないと説明しています。再発防止策として、記録媒体による情報持ち出しルールの再徹底や、教職員への教育研修の強化等を行うとしています。補償や個別の連絡については、まだ発表されていません。
企業として考えたいこと
自社で、社員が持ち出せるUSBメモリなどの記録媒体に、どんな個人情報が何人分入りうるかを、把握できていますか。
技術的な要約
2026年2月、関西医科大学附属病院の脳神経内科に勤務する医師が使用していたUSBメモリを紛失した。USBメモリには患者約1,800人分の患者氏名、患者ID、性別、病名、入退院日等が記録されていたが、住所、電話番号およびクレジットカード情報は含まれていなかった。USBメモリは数日後に発見され、すでに回収されている。同院は2026年6月3日、個人情報保護法の定めに従い本件を公表し、発見の状況から情報漏えいのリスクは極めて低いとしており、3か月以上経過した時点で二次被害は確認されていない。再発防止策として、記録媒体による情報持ち出しルールの再徹底や教職員への教育研修の強化等を講じるとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 物理公表で確認外部からの侵入ではなく、脳神経内科に勤務する医師が使用していたUSBメモリの紛失。紛失場所・発見場所、暗号化やパスワード保護の有無は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 公表に業務停止の記載はない。
- データ
- おそれ上限 1,800確定 —人氏名会員ID性別健康情報その他対象は患者約1,800人。記録内容は患者氏名、患者ID、性別、病名、入退院日等。住所、電話番号、クレジットカード情報は含まれない。紛失したUSBメモリは数日後に発見・回収済みで、漏えいのリスクは極めて低いと病院は説明。公表時点（3か月以上経過）で不正利用等の二次被害は確認されていない。流出確定件数は公表されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
公表されている事実の整理 事実
2026年2月、関西医科大学附属病院の脳神経内科に勤務する医師が使用していたUSBメモリが紛失された。USBメモリには患者約1,800人分の患者氏名、患者ID、性別、病名、入退院日等が記録されていた。住所、電話番号およびクレジットカード情報は含まれていなかった。紛失したUSBメモリは数日後に発見され、すでに回収されている。病院は個人情報保護法の定めに従い、2026年6月3日に「個人情報漏えいの可能性に関するご報告とお詫び」として公表した。なお、紛失場所・発見場所、暗号化やパスワード保護の有無は、公表では明らかにされていないと報道は指摘している。
公表時点の評価と再発防止策 事実
紛失は2026年2月で、公表は2026年6月3日である。病院は発生から3か月以上が経過した時点で公表している。病院は、発見の状況から情報漏えいのリスクは極めて低いと考えており、公表時点で情報が不正に利用される等の二次的被害は確認されていないと説明している。約1,800人は、USBメモリに個人情報が保存されていた患者の人数として示された数字である。再発防止策として、記録媒体による情報持ち出しに関するルールの再徹底と、教職員に対する教育研修の強化等を講じるとしている。
情報の集約と説明範囲についての解釈 解釈
本件で影響の大きさを決めているのは、1本の可搬媒体に約1,800人分の病名や入退院日などが集まっていたという点だと考えられる。可搬媒体は、紛失した時点で保存内容がそのまま影響範囲になる。一方で、暗号化やパスワード保護の有無、紛失場所と発見場所は公表されていない。そのため、病院が示す「リスクは極めて低い」という評価の根拠のうち、発見の状況以外の部分は外部から読み取れない。持ち出しが許可された運用だったのかどうかも分からない。こうした点が分かれば、同種の組織が自らの運用と比べやすくなると考えられる。ただし、これは公表内容からの推測であり、病院の対応の適否を判断するものではない。
対応
- 封じ込め
- 紛失したUSBメモリは数日後に発見し、すでに回収した。
- 公表の仕方
- 2026年6月3日に病院サイトで「個人情報漏えいの可能性に関するご報告とお詫び」を公表。紛失から公表まで3か月以上が経過している。紛失場所・発見場所、暗号化やパスワード保護の有無などの詳細は公表されていない。
- 当局対応
- 個人情報保護法の定めに従い公表したとしている（届出先など当局対応の詳細は公表されていない）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 個人情報を可搬媒体に保存できる範囲が広いほど、1回の紛失で影響する人数が大きくなる | MDM／DLP製品でUSB大容量記憶デバイスへの書き込みを既定で禁止し、登録済みデバイスのみ許可する。業務上必要な持ち出しは申請・承認制にし、1回に持ち出せる患者・顧客レコード数の上限を運用ルールとして定める。 |
| 媒体が暗号化されていれば、紛失しても漏えいの可能性を技術的に説明しやすくなる | ハードウェア暗号化USBの配布、またはBitLocker To Goなどによるドライブ暗号化とパスワード必須設定をポリシーで強制する。暗号化状態を資産台帳やMDMで確認できるようにする。 |
| 紛失の発覚から評価・公表までの手順が決まっていないと、判断や説明の材料が揃いにくい | 紛失・盗難の報告先と報告期限を定め、媒体の資産番号、保存データの種類と件数、紛失場所、発見場所、暗号化の有無を記録するインシデント報告テンプレートを用意する。個人情報保護法の報告・通知要否を判断するチェックリストを併せて整備する。 |
| 持ち出しルールの周知だけでは、ルールを守る仕組みにならない | 電子カルテ等からの患者データのエクスポートを権限・ログで管理し、持ち出しログを定期的にレビューする。USB経由の代わりに、アクセス制御された共有領域やVPN経由のリモートアクセスを用意する。教育研修は、持ち出し申請の画面や手順と合わせて実施する。 |
| 公表時に紛失場所や暗号化の有無などが示されていないと、外部から対策の十分さを評価しにくい | 公表文の雛形に、発生と発見の経緯、保存情報の種類と件数、暗号化・パスワード保護の有無、二次被害の確認方法を記載する項目を設ける。公表前に、法務・広報・情報システム部門でこれらの項目の確認を行う。 |
自組織などでの確認項目
- 自組織で、従業員が個人情報を含むデータを書き込める可搬媒体（USBメモリ、外付けHDD等）は、MDMや端末設定で把握・制御できていますか。直近のログで書き込み実績を確認できますか。
- 業務で使っている可搬媒体は、すべて暗号化されていますか。暗号化の有無を、台帳や管理ツールで媒体ごとに確認できますか。
- 可搬媒体の紛失が起きたとき、報告先、報告期限、記録すべき項目（保存件数、紛失場所、発見場所、暗号化の有無）が文書で決まっていますか。直近の訓練や実例でその手順を試した記録はありますか。
- 1本の媒体や1つのファイルに、何人分の個人情報が入りうるかを把握していますか。持ち出しを許可している業務について、必要な件数や項目に絞れているか確認できますか。
未解明点
- USBメモリはどこで紛失され、どこで発見されたのか。
- USBメモリは暗号化されていたか、パスワードで保護されていたか。
- 医師による当該USBメモリでの情報持ち出しは、院内ルール上どのように扱われていたのか。
- 紛失の発覚から公表まで3か月以上かかった理由と、その間の調査・対応の内容。
- 個人情報保護法に基づく当局への報告の有無や内容、および対象患者への個別連絡の有無。
出典
- 1関西医科大学附属病院2026-06-03公式本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-06-05報道本文確認済