リゾナスフェイスクリニック東京運営法人へのランサムウェア攻撃（患者369名の個人情報が不正取得）
公表日
リゾナスフェイスクリニック東京を運営する一般社団法人日本美容医療研究機構のクラウドサーバーがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。による攻撃を受け、患者369名の個人情報が不正に取得されたことが確認されたと、2026年4月6日に公表されました。
対象者は？
リゾナスフェイスクリニック東京に関連し、個人情報の不正取得が確認された患者369名（確認された人数）。取得された項目の詳細は、法人がウェブ上で公表せず個別通知を優先するとしているため、含まれる情報も含まれない情報も、まだ分かっていません。
法人は対象の患者に個別に報告・お詫び・今後の対応案内を行うとしています。ウェブ上で個別の確認はできないため、法人からの連絡を待つ形になります。連絡方法の詳細は、まだ確認できていません。
いますぐできること
- このクリニックを利用したことがある場合は、法人からの個別の連絡（郵送やメールなど）が届いていないか確認する。
- クリニックを名乗る不審なメールや電話、リンクには注意し、心当たりのない連絡には個人情報を答えない。
何が起きたのか
2026年3月11日の午前11時ごろ、法人はシステムに障害が起きていることに気づきました。調べたところ、外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の可能性が高いと判断し、被害が広がらないよう、問題のサーバーを外部から完全に切り離しました。システム自体は同日午後4時30分までに復旧しましたが、念のため、当該システムの稼働停止は続けています。その後、周辺システムの調査や安全点検、警察や個人情報保護委員会などとの連携を進め、4月6日に、患者の個人情報の一部が不正に取得されたと公表しました。法人は、この不正アクセスをランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。を使った攻撃によるものと説明しています。
なぜ起きたのか・なぜ広がったのか
攻撃がどこから入ったのか、いつ始まったのかなど、原因はまだ発表されていません。被害が確認されたのは369名で、対象の範囲が広がるかどうかも示されていません。
いまの状況2026-04-23 時点続報待ち
2026年4月23日時点の報道では、法人は個人情報の不正取得が確認された患者369名に個別に連絡するとしています。当該システムの稼働停止も続いています。取得された項目の詳細、再発防止策、補償については、まだ発表されていません。
企業として考えたいこと
もし自社のクラウドサーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けたら、誰がどの時点で外部通信を切り離し、復旧後にいつ安全と判断して再開するのかを、すぐに答えられるでしょうか。
技術的な要約
一般社団法人日本美容医療研究機構は2026年4月6日、運営するリゾナスフェイスクリニック東京に関連し、管理・運用するクラウドサーバーへの不正アクセスで患者の個人情報の一部が不正取得されたと公表した。法人はこの不正アクセスをランサムウェアを用いたサイバー攻撃によるものと説明している。2026年3月11日午前11時ごろにシステム障害を検知し、調査の結果、外部からの不正アクセスの可能性が高いと判断して当該サーバーへの外部通信を完全に遮断した。個人情報の不正取得が確認された患者は計369名である。システム自体の復旧は同日午後4時30分時点で完了したが、万全を期して当該システムの稼働停止を続けているという。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明初期侵入経路は公表されていない。法人は調査の結果、外部からの不正アクセスの可能性が高いと判断したとされる。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 3月11日にシステム障害を検知し、当該サーバーへの外部通信を遮断。システム自体の復旧は同日午後4時30分時点で完了したが、万全を期して当該システムの稼働停止を続けているという。
- データ
- 確定上限 369確定 369人個人情報の不正取得が確認された患者は計369名。不正取得項目の詳細はウェブ上で公表せず個別通知を優先するとしているため、情報の種類は不明。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
公表された経過と初動の事実 事実
報道によると、一般社団法人日本美容医療研究機構は2026年4月6日、運営するリゾナスフェイスクリニック東京に関連し、管理・運用するクラウドサーバーへの不正アクセスで患者の個人情報の一部が不正取得されたと公表した。法人はこの不正アクセスをランサムウェアを用いたサイバー攻撃によるものと説明している。2026年3月11日午前11時ごろにシステム障害を検知し、調査の結果、外部からの不正アクセスの可能性が高いと判断して、被害拡大防止のため当該サーバーへの外部通信を完全に遮断したとされる。システム自体の復旧は同日午後4時30分時点で完了したが、万全を期して当該システムの稼働停止を続けているという。
確認された影響と公表方針の事実 事実
個人情報の不正取得が確認された患者は計369名である。法人はその後、周辺システムの調査や安全点検を行い、所轄警察署や個人情報保護委員会などとの連携を進めた。そして、事実関係の確認と対象者への個別案内の準備が整ったとして、4月6日に今回の報告を公表したと報じられている。対象患者には個別に報告・お詫び・今後の対応案内を行うとされる。一方、法人は不正取得項目の詳細についてはウェブ上で公表せず、個別通知を優先すると明記している。なお、本件の根拠は報道2件であり、法人の公式発表そのものは出典に含まれていない。
公表内容から読み取れる点と限界 解釈
検知から公表までは、3月11日から4月6日までの約26日である。この間に周辺システムの調査、安全点検、関係機関との連携、対象者への個別案内の準備が行われたと説明されており、公表時期は対象者へ先に直接伝える手順を重んじた結果とも読める。システム復旧後も稼働停止を続けている点は、再侵入や影響範囲の確認を優先する慎重な判断と解釈できる。ただし、侵入日、初期侵入経路、取得された情報の種類、攻撃者の名称は示されていない。そのため、検知前にどの程度の期間侵入されていたか、被害が369名で確定的に収まるのかは、現時点の情報だけでは判断できない。個別通知を優先する方針も、患者保護の観点から理解できる面がある。
対応
- 封じ込め
- 当該サーバーへの外部通信を完全に遮断。周辺システムの調査や安全点検を実施し、システム自体は3月11日午後4時30分時点で復旧したが、当該システムの稼働停止は継続している。
- 公表の仕方
- 2026年4月6日に公表。事実関係の確認と対象者への個別案内の準備が整ったとして公表した。対象患者には個別に報告・お詫び・今後の対応案内を行い、不正取得項目の詳細はウェブ上で公表せず個別通知を優先するとしている。
- 当局対応
- 所轄警察署
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| クラウド上のサーバーを即座に外部から切り離せる手順が、被害拡大の抑止に役立つ。本件では検知後に外部通信が完全遮断されたとされる。 | セキュリティグループやFWを一括でdeny-allに切り替えるテンプレートとRunbookを用意し、権限者と手順を明記して、年1回以上の机上訓練または実機演習で所要時間を測る。 |
| システムの復旧完了と、安全な稼働再開は別の判断である。本件でも復旧後に稼働停止が続けられている。 | 再開前チェックリストを定義する（IOC横断検索、特権・サービスアカウントと鍵の再発行、不審なプロセスや永続化の確認、ログの精査）。全項目の承認者を決め、満たすまで公開しない。 |
| 患者情報のような機微になり得るデータは、どこに何件あるかを把握していないと影響範囲の特定に時間がかかる。 | クラウド上のデータ資産台帳（保存先、項目、件数、保管期間）を整備し、不要データは削除する。保存時暗号化と、DBや共有ストレージへのアクセスログ取得を有効にする。 |
| ランサムウェア被害では、データの取得（持ち出し）の有無と暗号化の有無を、ログで切り分ける必要がある。 | クラウド監査ログ、OSログ、通信フローログを改ざんされにくい別アカウントへ一定期間保管し、大量のデータ転送や異常なログインにアラートを設定する。バックアップはオフラインまたは書換不可の設定で保管する。 |
| 個別通知を優先する公表方針では、対象者への連絡準備が公表の前提になる。 | 対象者リストの抽出手順、通知文面のひな形、問い合わせ窓口、個人情報保護委員会や警察への報告フローを平時に文書化し、インシデント対応計画に組み込む。 |
自組織などでの確認項目
- 自組織のクラウドサーバーに対し、障害や侵入の疑いがあるとき、誰の判断で何分以内に外部通信を遮断できるか。手順書と権限は確認できるか。
- 自組織の個人情報（顧客・患者・従業員など）は、どのクラウド環境に何件あるかを台帳で即答できるか。保存時暗号化やアクセスログの取得は有効になっているか。
- システム復旧後に稼働を再開する際の判断基準と承認者が文書化されているか。再開前に認証情報の再発行や不審な痕跡の確認を行う項目は含まれているか。
- 個人情報の不正取得が確認された場合、対象者への個別通知と当局への報告を、誰がどの順序で行うか。連絡先データの抽出手順は準備されているか。
未解明点
- 初期侵入経路（脆弱性、認証情報、設定不備など）と、侵入があった時期・滞在期間は公表されていない。
- 不正取得された個人情報の項目（氏名、連絡先、診療関連情報など）は、ウェブ上で公表されていない。
- ランサムウェアの種類や攻撃者の名称、身代金要求の有無、データ公開の有無は報道に示されていない。
- 当該システムの稼働停止がいつ解除されるのか、再発防止策や第三者による調査結果が出るのかは未公表である。
- 対象者369名が全患者のうちどの範囲か、追加の被害者が出る可能性があるかは示されていない。
出典
- 1セキュリティ対策Lab(合同会社ロケットボーイズ)2026-04-08報道本文確認済
- 2ScanNetSecurity2026-04-23報道本文確認済