旭化成セラピューティクスの委託先への不正アクセス（RAコネクトで1,940名、医療関係者向けサイトで最大約55.9万人の漏えいの可能性）
公表日
旭化成セラピューティクスで2件の個人情報漏えいが公表された。7月は委託先運営の患者支援プログラムで1,940名分、10月は医療関係者向けサイトで最大約55万8700人分の可能性がある。
対象者は？
RAコネクトの件は、患者246名、医療従事者1,535名、旭化成セラピューティクスの従業員159名の計1,940名が対象。患者30名は氏名・年齢・性別・電話番号などで、216名はメールアドレスのみ。医療従事者は医師名と医療機関名。10月の件は、医療従事者の氏名・所属施設・診療科などが最大約51万4千人、メールアドレスが最大約4万4千人、子会社従業員約700人の氏名など。これ以外の情報の漏洩は、RAコネクトの件では確認されていない。10月の件の詳細は、まだ発表されていません。
RAコネクトの対象者には、書面や電子メール等で個別に連絡が行われている。問い合わせ窓口は0120-63-2001（平日9:00〜20:00）。10月の件の確認方法は、まだ発表されていません。
いますぐできること
- 連絡を受けた方は、不審なメールのURLを開いたり、添付ファイルを開いたり、個人情報を入力したりしない。
- 心当たりのない電話やメールが届いたら、上記の問い合わせ窓口に相談する。
何が起きたのか
2026年6月15日、委託先のシミックヘルスケア・インスティテュート（CHI）が運営する患者サポートプログラム「RAコネクト」のシステムに、第三者が不正にアクセスした。CHIは7月11日に個人情報が取得されたことを確認し、13日に旭化成セラピューティクスへ報告した。両社は7月24日に公表した。その後、10月2日にウェブサイトの管理委託先から報告を受けた同社は、医療関係者向けサイトの運営を停止した。同社は10月6日、このサイトで最大約55万8700人分の個人情報が漏えいした可能性があると発表した。両件とも、不正利用は確認されていないとされている。
なぜ起きたのか・なぜ広がったのか
RAコネクトの件は、委託先のシステムでWeb公開領域に置かれていた一部ファイルが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けたことが原因と説明されている。データの取り扱いとアクセス制御に関する運用上の不備などが背景とされる。具体的な侵入手法は公表されていない。発生から委託元への報告まで約1か月かかった。10月の件の原因は、まだ発表されていません。
いまの状況2026-10-14 時点続報待ち
2026年10月14日時点で、RAコネクトは対策のもとで継続運営されており、同一経路での追加流出は確認されていない。CHIは公開設定やアクセス管理の見直しなど5つの再発防止策を実施中。旭化成セラピューティクスも委託先の管理・監督体制の強化を進めている。10月の件の侵入日、侵入経路、サイトの再開時期は、まだ発表されていません。
企業として考えたいこと
自社の個人情報を預けている委託先で、Web公開領域に重要なファイルが置かれていないか、事故が起きたら何日以内に連絡が来るかを、説明できるでしょうか。
技術的な要約
旭化成セラピューティクスは2026年7月24日、委託先シミックヘルスケア・インスティテュート（CHI）が運営する関節リウマチ治療薬「ケブザラ」の患者サポートプログラム「RAコネクト」で、患者246名・医療従事者1,535名・従業員159名の計1,940名分の個人情報が漏洩したと発表した。不正アクセスは2026年6月15日に発生し、CHIが7月11日に漏洩を確認、7月13日に旭化成セラピューティクスへ報告した。原因は、Web公開領域に配置されていた一部ファイルが第三者に不正アクセスされたことで、データの取り扱いとアクセス制御に関する運用上の不備などが背景とされる。続いて10月6日、同社は医療関係者向けウェブサイトへのサイバー攻撃で最大約55万8700人分の個人情報が漏えいした可能性があると発表した。こちらは10月2日にウェブサイトの管理委託先から報告を受け、サイト運営を停止したとされる。いずれも現時点で不正利用は確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 委託先経由公表で確認RAコネクトの運営を受託していたCHIのシステムで、Web公開領域に配置されていた一部ファイルが第三者による不正アクセスを受けた（公表）。具体的な侵入手法は公表されていない。10月公表の医療関係者向けウェブサイトの件は、管理委託先からの報告で判明したが、侵入経路は不明。
- 脆弱性
- CVE 非公表公表で確認CVEや製品の脆弱性は公表されていない。データの取り扱いおよびアクセス制御に関する運用上の不備と、確認・監督体制が十分に機能していなかったことに起因すると説明されている。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 10月公表の件では、旭化成セラピューティクスが2026年10月2日にウェブサイトの管理委託先から報告を受けてサイトの運営を停止した。RAコネクトは対策のもとで継続運営されている。
- データ
- おそれ上限 558,700確定 1,940人氏名電話メール性別従業員情報取引先情報その他【RAコネクト（確定）】計1,940名＝患者246名（30名：氏名・カナ・年齢・性別・電話番号・都道府県・かかりつけ医療機関名、216名：メールアドレスのみ）、医療従事者1,535名（医師名・医療機関名）、従業員159名（113名：氏名・営業所名、46名：氏名・営業所名・メールアドレス）。【医療関係者向けサイト（可能性）】最大約55万8700人。内訳は医療従事者の氏名・所属施設・診療科などが最大約51万4千人、メールアドレスが最大約4万4千人、子会社従業員約700人の氏名など。両件の人数は合算していない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 旭化成セラピューティクスはRAコネクトの運営と個人情報の管理をCHIに委託しており、CHIのシステムが不正アクセスを受けた。10月公表の件もウェブサイトの管理委託先からの報告で判明している。
時系列
- 2026-06-15
- 2026-07-11
- 2026-07-13
- 2026-07-24
- 2026-07-24CHIは判明後直ちに当該システムへのアクセスを遮断し、認証情報の変更等を実施、外部専門機関による調査を完了した。3
- 2026-07-24
- 2026-07-27セキュリティ対策Labが、不正アクセスの発生から委託元への報告まで約1か月を要した点を指摘した。3
- 2026-08-10ScanNetSecurityがCHIの発表を報じた。4
- 2026-10-02旭化成セラピューティクスがウェブサイトの管理委託先から不正アクセスの報告を受け、サイトの運営を停止した。5
- 2026-10-06旭化成セラピューティクスが、医療関係者向けウェブサイトへの不正アクセスで最大約55万8700人の個人情報が漏えいした可能性があると発表した。不正利用は確認されていない。5
技術解説
RAコネクト事案で公表されている事実関係 事実
旭化成セラピューティクスとシミックヘルスケア・インスティテュート（CHI）は2026年7月24日、患者サポートプログラム「RAコネクト」での個人情報漏洩を同時に公表した。不正アクセスの発生は6月15日、CHIが漏洩を確認したのは7月11日、旭化成セラピューティクスへの報告は7月13日である。原因は、CHIのシステムでWeb公開領域に配置されていた一部ファイルが第三者による不正アクセスを受けたことと説明されている。対象は患者246名、医療従事者1,535名、従業員159名の計1,940名で、患者のうち30名は氏名・カナ・年齢・性別・電話番号・都道府県・かかりつけ医療機関名、216名はメールアドレスのみが対象である。両社は、これ以外の情報の漏洩は確認されていないとしている。
対応と公表内容、10月公表の別件 事実
CHIは判明後直ちに当該システムへのアクセスを遮断し、認証情報の変更等を行った。そのうえで外部専門機関が調査を行い、調査は完了したとしている。旭化成セラピューティクスは是正措置を講じ、同一経路での追加流出は確認されていないとする。両社は不正利用は確認されていないとして二次被害への注意を呼びかけ、対象者へ書面やメール等で順次連絡している。RAコネクトは対策のもとで継続運営されている。別件として、同社は10月6日、医療関係者向けウェブサイトへのサイバー攻撃で最大約55万8700人分の個人情報が漏えいした可能性があると発表した。10月2日に管理委託先から報告を受け、サイトの運営を停止した。内訳は医療従事者が最大約51万4千人、メールアドレスが最大約4万4千人、子会社従業員約700人の氏名などである。
公開情報から読み取れる構造（解釈） 解釈
RAコネクトの件では、発生から委託元への報告まで約1か月を要している。この間に委託元が状況を把握できなかったことが、対応開始を遅らせた可能性がある。ただし、CHIが6月から7月11日までどの時点で何を把握していたかは公表されていない。記事筆者は、高度な侵入というより配置場所と権限設定の誤りに起因する構図と見ているが、これは筆者の解釈であり、侵入手法は公表されていない。また、両件はいずれも委託先を介して判明しており、委託先の管理が共通の論点に見える。ただし10月の件の侵入経路や侵入日は不明で、両件に共通原因があるかは判断できない。人数も両件を合算できず、10月の件は上限値で確定値ではない。
対応
- 封じ込め
- CHIは判明後直ちに当該システムへのアクセスを遮断し、認証情報の変更等を実施した。旭化成セラピューティクスは是正措置を講じ、同一経路での追加流出は確認されていない。10月の件では2026年10月2日にウェブサイトの運営を停止した。
- 公表の仕方
- 2026年7月24日に旭化成セラピューティクスとCHIが同時に公表し、対象者へ書面・メール等で個別連絡した。二次被害への注意（不審なメールのURLや添付ファイルを開かない等）を呼びかけ、問い合わせ窓口（0120-63-2001、平日9:00〜20:00）を設けた。10月6日に医療関係者向けサイトの件を発表した。CHIは再発防止策として、公開設定・アクセス管理の見直し、公開ファイルの点検・監視強化、情報管理ルールの見直し、教育の継続、受託業務の情報管理体制強化を実施している。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| Web公開領域に個人情報を含むファイルが置かれると、認証なしで取得される危険がある。 | 公開ディレクトリやストレージを定期的に棚卸しし、個人情報を含むファイルを検知する。公開設定の変更にはレビューを必須にし、既定は非公開にする。 |
| 委託先で起きたインシデントの報告が遅れると、委託元の初動も遅れる。 | 委託契約に検知から報告までの期限（例：判明後24時間以内の一報）を明記する。連絡窓口を平時から確認し、報告訓練を行う。 |
| 委託先に渡す個人情報の範囲が広いと、漏えい時の影響が大きくなる。 | 委託先に渡す項目を最小化し、保管期間を定める。不要になったデータは削除し、委託先のデータ保有状況を定期監査で確認する。 |
| 数十万件規模の連絡先情報は、標的型メールなど二次被害に使われるおそれがある。 | 対象者向けにフィッシング注意喚起を用意する。自社名を装うメールの届出窓口を整備し、SPF/DKIM/DMARCを設定する。 |
| 侵入経路や侵入日が不明なまま公表すると、影響範囲の説明が難しくなる。 | Webサーバやアクセス制御のログを十分な期間保管し、委託先にも保存を義務づける。インシデント時に調査へ提供できる体制を整える。 |
自組織などでの確認項目
- 自組織の委託先が運営するシステムで、Web公開領域に個人情報ファイルが置かれていないことを、直近でいつ誰が確認したか。
- 委託先でインシデントが判明した場合、契約上何日以内に自組織へ報告される取り決めか。実際に連絡できる窓口は最新か。
- 委託先に渡している個人情報の項目と件数を、自組織は一覧で把握しているか。不要な項目はないか。
- 自組織の医療関係者や顧客向けサイトの管理を外部に委託している場合、停止判断や公表の担当者は決まっているか。
未解明点
- 10月公表の医療関係者向けウェブサイトの件について、侵入日、侵入経路、サイトの停止期間、再開時期は公表されているか。
- RAコネクトの不正アクセス発生（6月15日）から委託元への報告（7月13日）まで約1か月かかった経緯は、公式に説明されているか。
- RAコネクトの件と10月の件に共通する原因や関連があるかは公表されているか。
- 10月の件の最大約55万8700人のうち、実際に流出が確認された人数は公表されるか。
出典
- 1AnswersNews（QUICK）2026-07-24報道本文確認済
- 2日刊薬業（じほう）2026-10-09報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-07-27報道本文確認済
- 4ScanNetSecurity2026-08-10報道本文確認済
- 5共同通信社（OANDA Lab マーケットニュース掲載）2026-10-06報道本文確認済