大阪公立大学医学部附属病院での取引業者による患者X線画像の無断撮影・持ち出し（画像13件）
公表日
大阪公立大学医学部附属病院で、取引業者の従業員が手術室で患者のX線画像を表示したモニター画面を許可なく計13件撮影していました。うち1件に患者の氏名が表示され、画像は業者の社内で共有されていましたが、社外への流出は現時点で確認されていません。
対象者は？
2025年10月に撮影された画像に写っていた患者です。撮影されたのはX線画像を表示したモニター画面13件で、うち1件に氏名が表示されていました。氏名以外の具体的な個人情報は明らかにされておらず、13人分とは確認されていません。対象の患者には病院が説明し、直接謝罪しています。
対象の患者には病院が直接説明しているとされています。それ以外の方向けの確認方法は、まだ発表されていません。病院のお知らせは臨時お知らせサイトで確認できます。
いますぐできること
- 公立大学法人大阪の臨時お知らせサイトで、附属病院からのお知らせが更新されていないか確認する。
- 病院から連絡や説明を受けた方は、その案内の内容に沿って対応する。
何が起きたのか
2025年10月、手術室の中で、取引業者の従業員が患者の同意を得ずに、X線画像を表示したモニター画面をスマートフォンで13件撮影しました。うち1件には患者の氏名が表示されていました。2026年8月12日に病院がこの事案を公表しました。調査で、画像は取引業者の社内で共有されていたことが分かりました。業者は「病院の関係者から口頭で撮影の許可を得ていた」と説明しましたが、病院の調査では許可の事実は確認できませんでした。病院は対象の患者に説明して直接謝罪しました。
なぜ起きたのか・なぜ広がったのか
原因の詳しい説明は、まだ発表されていません。病院は以前から院内の写真・動画撮影を原則禁止としていました。撮影の許可の有無については、業者の説明と病院の調査結果が食い違っています。業者の名前や撮影の目的も、公表資料では確認できていません。
いまの状況2026-08-14 時点続報待ち
2026年8月14日時点で、病院は全職員に個人情報保護と撮影禁止ルールの周知を徹底し、当該の取引業者には厳正に対処する方針を示しています。社外への提供やそれ以外の流出は、現時点で確認されていません。取引業者名、撮影の目的、病院が事案を把握した時期、個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。状況については、まだ発表されていません。
企業として考えたいこと
自社の現場に出入りする取引業者が、顧客や患者などの情報が映る画面を撮影してよいかどうか、そのルールは誰がどのように伝え、記録に残していますか。
技術的な要約
大阪公立大学医学部附属病院は2026年8月12日、手術室内で取引業者の従業員が患者情報を含むX線画像をスマートフォンで撮影し院外へ持ち出していた事案を公表した。2025年10月、患者の同意なく、X線画像を表示したモニター画面が計13件撮影され、うち1件には患者の氏名が表示されていた。撮影された画像は取引業者の社内で共有されていたが、現時点で社外への提供やそれ以外の外部への流出は確認されていない。取引業者は口頭で撮影の許可を得ていたと説明したが、病院の調査では許可の事実は確認できなかった。病院は対象患者へ説明し直接謝罪し、全職員への周知徹底と当該取引業者への厳正な対処の方針を示している。取引業者名、撮影の業務目的、病院が把握した時期、個人情報保護委員会への報告状況は公表資料では確認できなかった。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 委託先経由報道・研究者外部からの侵入ではなく、手術室内にいた取引業者の従業員がX線画像表示モニターをスマートフォンで撮影した。取引業者は「当院関係者より口頭で撮影の許可を得ていた」と説明したが、病院は許可の事実を確認できなかった。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 本事案による業務停止は公表されていない。なお、公立大学法人大阪の臨時お知らせサイトには大学のWebサイトやメールシステム等の停止を示す記載があるが、本事案との関連は示されていない。
- データ
- 確定上限 13確定 13件氏名その他件数は撮影された画像（X線画像を表示したモニター画面）の数で、うち1件に患者氏名が表示されていた。氏名以外の具体的な個人情報は明らかにされておらず、画像が何人の患者に関するものかも確認できないため、13人分の漏えいとは読み替えられない。画像は取引業者の社内で共有されていた。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 取引業者の従業員が手術室内で撮影し、画像は取引業者の社内で共有された。社外への提供や外部への流出は現時点で確認されていない。取引業者名は公表資料では確認できなかった。
時系列
- 2025-10取引業者の従業員が、患者の同意を得ずX線画像を表示したモニター画面をスマートフォンで計13件撮影。うち1件に患者の氏名が表示されていた。1
- 2026-08-12病院が、取引業者従業員による患者情報を含むX線画像の撮影・院外持ち出しを公表。1
- 2026-08-12病院の調査で、撮影画像が取引業者の社内で共有されていたことが判明。社外への提供や他の外部流出は確認されていない。1
- 2026-08-12取引業者は「口頭で撮影の許可を得ていた」と説明したが、病院の調査では許可の事実は確認できなかった。1
- 2026-08-12病院が対象患者へ事情を説明し、直接謝罪。1
- 2026-08-12病院が全職員に個人情報保護と撮影禁止ルールの周知徹底を行い、当該取引業者に厳正に対処する方針を示した。1
- 2026-08-14セキュリティ対策Labが本事案を報道。取引業者名・撮影目的・病院の把握時期・個人情報保護委員会への報告状況は公表資料では確認できないと指摘。1
技術解説
事案の内容と確認されている経緯 事実
大阪公立大学医学部附属病院は2026年8月12日、手術室内で取引業者の従業員が患者情報を含むX線画像をスマートフォンで撮影し、院外へ持ち出していた事案を公表した。撮影は2025年10月で、患者の同意なく、X線画像を表示したモニター画面が計13件撮影され、うち1件には患者の氏名が表示されていた。調査の結果、画像は取引業者の社内で共有されていたことが判明している。取引業者は「当院関係者より口頭で撮影の許可を得ていた」と説明したが、病院が調査した結果、そのような許可が行われた事実は確認できなかった。病院は従来から院内の写真・動画撮影を原則禁止としていた。
数字の読み方：13件は画像の数 事実
公表された「13」は撮影された画像の件数であり、そのうち氏名が表示されていたのは1件である。氏名以外の具体的な個人情報は明らかにされておらず、13件の画像が何人の患者に関するものかも確認できないため、13人分の漏えいとは読み替えられない。画像は取引業者の社内で共有されていたが、現時点で取引業者の社外への提供やそれ以外の外部への流出は確認されていない。病院は対象患者へ事情を説明し、直接謝罪している。件数の上限と確定はいずれも13件と整理されているが、これは画像の数についての整理である。
許可をめぐる食い違いが示す運用上の論点 解釈
解釈として、本事案は外部からの侵入ではなく、業務の現場に入る委託先・取引先の行動をどう管理するかという論点を示している。許可の有無について、取引業者の説明と病院の調査結果が食い違っている。口頭での了解は記録が残りにくく、後から事実を確定しにくい構造がある。撮影禁止の原則があっても、それが外部事業者の従業員に現場でどう伝わっていたかは公表資料からは分からない。個々の従業員や特定の組織の責任と決めつけず、ルールの伝達方法と例外の扱いを確認できる形にしておく点が、一般的な教訓になり得る。
公表内容の評価と未公表の事項 解釈
解釈として、病院は撮影の事実、画像の共有範囲、許可に関する調査結果、患者への謝罪、職員への周知という要点を明らかにしており、画像の共有範囲と許可の有無を分けて示している点は読み手が状況を理解しやすい。一方、報道によれば、取引業者名、撮影の具体的な業務目的、病院が把握した時期は公表資料で確認できず、個人情報保護委員会への報告状況も確認できなかった。このため撮影から公表までの期間の妥当性は評価できない。なお、公立大学法人大阪の臨時お知らせサイトにはシステム障害の記載があるが、本事案との関連は示されていない。
対応
- 封じ込め
- 病院は従来から院内の写真・動画撮影を原則禁止としており、本事案を受けて全職員に個人情報保護と撮影禁止ルールを周知徹底するとした。対象患者へ事情を説明し直接謝罪。当該取引業者には厳正に対処する方針。
- 公表の仕方
- 2026年8月12日に病院が公表。取引業者名、撮影の具体的な業務目的、病院が本事案を把握した時期は公表資料では確認できない。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 現場に入る取引業者の撮影可否が、口頭の了解に依存していた可能性がある。 | 撮影・録音・持ち込み機器の可否を、入館・入室時の書面または電子フォームで取引業者ごとに申請・承認する運用にし、承認者・対象・期間をログとして保存する。 |
| 画面に患者氏名などの識別情報が表示されると、撮影された画像1枚でも個人情報になる。 | 外部事業者が立ち会う場面で使う表示系は、氏名・ID等を非表示またはマスクする表示設定を既定にし、表示が必要な場合のみ権限付きで切り替える。 |
| 画像が取引業者の社内で共有された。委託先側での二次共有は発注側から見えにくい。 | 契約・覚書に、取得データの目的外利用禁止、社内共有の制限、削除と削除証明の提出、再委託の事前承認を明記し、事案時の報告期限を定める。 |
| 撮影禁止の原則があっても、外部従業員に周知されなければ防げない。 | 取引業者の従業員向けに、入室前に撮影禁止と個人情報の取扱いを確認する短いチェック表示や誓約を実装し、確認記録を残す。 |
| 画像の持ち出しや共有範囲の調査は、時期や経路の記録がないと確定しにくい。 | 手術室など高機微区域の入退室ログと立ち会い記録を保持期間つきで管理し、インシデント時に画像の共有範囲を追えるよう、委託先へ調査協力義務を契約に入れる。 |
自組織などでの確認項目
- 自組織の現場（作業室、データセンター、店舗の裏側など）で、取引業者の従業員に撮影を認めるかどうかのルールは書面で定まっていますか。例外を認める承認者と記録は確認できますか。
- 自組織の画面や帳票に表示される個人情報のうち、外部の人が同席する場面で見えてしまうものはどれですか。マスク表示や表示切替を使える状態になっていますか。
- 委託先で情報が社内共有された場合に、自組織が把握できる契約上の報告義務と削除確認の手順はありますか。最後に確認したのはいつですか。
未解明点
- 撮影を行った取引業者の名称と、撮影の具体的な業務目的は何か（公表資料では確認できていない）。
- 病院はいつ本事案を把握し、撮影から公表までにどのような調査を行ったのか。
- 個人情報保護委員会への報告状況はどうなっているか（公表資料では確認できていない）。
- 13件の画像が何人の患者に関するものか、氏名以外にどのような情報が写っていたのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-14報道本文確認済
- 2公立大学法人大阪（大阪公立大学）公式本文確認済