藤田医科大学病院での患者情報漏えいのおそれ（院内規定に反して個人PCに保存、サポート詐欺被害で最大1365件）
公表日
藤田医科大学病院で、看護師の個人パソコンがサポート詐欺パソコンの画面に「ウイルスに感染しました」「この番号に電話してください」といった偽の警告を大音量で表示し、電話をかけさせて遠隔操作ソフトを入れさせたり、お金を払わせたりする詐欺です。企業が多額の被害を受けた例もあります。の被害に遭い、患者の個人情報が最大1365件漏れたおそれがあります。発表時点で、不正に使われたことは確認されていないとされています。
対象者は？
2024〜2025年に末期腎不全の病名登録がある一部の患者、2004〜2025年に腹膜透析を受けた一部の患者、2021〜2024年に腎代替療法指導を受けた一部の患者が主な対象です。漏れたおそれのある情報は、氏名、性別、生年月日、患者ID、病名、転帰、入退院日、検査データです。住所、電話番号、メールアドレス、マイナンバーカード、クレジットカードの情報は含まれていないとされています。
個人への連絡方法については、まだ発表されていません。心配な方は、病院の公式発表を確認し、病院に問い合わせてください。
いますぐできること
- 病院からの公式な案内を確認する。
- 身に覚えのないクレジット請求や、携帯電話のアカウント変更のメールが届いたら、メール内のリンクを開かず、各サービスの公式窓口で確認する。
- パソコンに警告音つきの警告表示が出ても、表示された連絡先には電話せず、画面を閉じる。
何が起きたのか
報道によると、病院は2026年6月3日に、患者の個人情報が漏れたおそれがあると発表しました。5月25日、ある看護師が自分のパソコンでウェブサイトを見ていると、警告音とともに警告が出て画面が止まりました。表示された連絡先に連絡し、指示されたURLを開くと、パソコンに不正に入られ、第三者に遠隔操作されました。ウイルス駆除費用の名目でお金も請求されました。5月28日から30日には、身に覚えのないクレジット請求などのメールが届きました。看護師は専門業者に調査を頼み、情報が漏れた可能性を指摘されて病院に報告しました。病院は5月31日から調べ、被害はこのパソコンだけで、カルテを含む病院本体のシステムには影響がないことを確認したとされています。
なぜ起きたのか・なぜ広がったのか
このパソコンには、院内の規定に反して患者の情報が保存されていたと報じられています。サポート詐欺パソコンの画面に「ウイルスに感染しました」「この番号に電話してください」といった偽の警告を大音量で表示し、電話をかけさせて遠隔操作ソフトを入れさせたり、お金を払わせたりする詐欺です。企業が多額の被害を受けた例もあります。で遠隔操作を受けたため、保存されていた情報が漏れた可能性があるとされています。これ以上の詳しい経緯は、まだ発表されていません。
いまの状況2026-06-05 時点続報待ち
2026年6月5日時点で、不正に使われたことは確認されていないとされています。実際に漏れたと確認された件数は、報道では示されていません。対象の方への個別の連絡方法や再発防止策は、まだ発表されていません。
企業として考えたいこと
自分の会社で、規定では禁止されていても、個人のパソコンやクラウドに顧客や患者の情報が置かれていないか、すぐに確認できるでしょうか。
技術的な要約
愛知県豊明市の藤田医科大学病院は2026年6月3日、患者の個人情報漏えいのおそれについて発表した。院内規定に反して患者の個人情報を個人のPCに保存していた看護師が、5月25日に当該PCでサポート詐欺の被害に遭ったことが原因とされる。看護師のPCは不正に侵入されて遠隔操作を受け、ウイルス駆除費用の名目で金銭が請求された。漏えいの可能性がある個人情報は総数1365件で、氏名、性別、生年月日、患者ID、病名、転帰、入退院日、検査データが含まれる。病院のシステム管理部門は5月31日からの調査で、被害は当該PCのみで、カルテを含む病院本体のシステムへの影響はないことを確認した。発表時点で不正利用などは確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- フィッシング報道・研究者個人PCでウェブサイト閲覧中に警告音とともに警告表示が出て画面が停止し、表示先に連絡して指示されたURLにアクセスしたところ、PCに不正に侵入され遠隔操作を受けた（サポート詐欺）。報道ベースの記述で、病院の一次発表は本資料では未確認。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 被害は当該PCのみにとどまり、カルテを含む病院本体のシステムへの影響はないことを確認したと報じられている。業務停止の記載はない。
- データ
- おそれ上限 1,365確定 —件氏名性別生年月日健康情報その他漏えいした可能性がある個人情報の総数は1365件。主な内訳は、2024～2025年の末期腎不全の病名登録がある一部の患者、2004～2025年の腹膜透析を受けた一部の患者、2021～2024年の腎代替療法指導を受けた一部の患者。項目は氏名、性別、生年月日、患者ID、病名、転帰、入退院日、検査データ。住所、電話番号、メールアドレス、マイナンバーカード、クレジットカードの情報は含まれず、発表時点で不正利用などは確認されていない。流出確定件数は記載なし。
- 波及先
- —
- 金銭影響
- 看護師個人に対し、ウイルス駆除費用の名目で金銭が請求された。支払の有無・金額は本資料に記載なし。病院としての金銭的影響の公表は確認できない。
- サプライチェーン
- 委託先や取引先を経由した侵害の記載はない。看護師の個人PCが対象。
時系列
- 2026-05-25当該PCを所有する看護師がウェブサイト閲覧中、警告音とともに警告表示が出て画面が停止した。表示先に連絡し、指示されたURLにアクセスした。2
- 2026-05-25PCに不正に侵入され、第三者による遠隔操作を受け、ウイルス駆除費用の名目で金銭が請求された。2
- 2026-05-285月28日～30日に、身に覚えのないクレジット請求や携帯電話のアカウント変更などのメールが届いた。2
- 2026-05-30看護師が独自に専門業者へ調査・復旧を依頼し、詐欺および情報漏えいの可能性を指摘されて病院に報告した（報告日の特定は本資料なし）。2
- 2026-05-31病院のシステム管理部門が漏えい状況の調査を開始した。2
- 2026-05-31調査により、被害は当該PCのみで、カルテを含む病院本体のシステムへの影響はないことを確認した（確認日は調査開始以降）。2
- 2026-06-03病院が患者の個人情報漏えいのおそれについて発表した。2
- 2026-06-05INTERNET Watchが本件を報じた。2
技術解説
サポート詐欺から報告までの経緯 事実
報道によると、藤田医科大学病院は6月3日に患者の個人情報漏えいのおそれを発表した。原因は、院内規定に反して患者の個人情報を個人PCに保存していた看護師が、そのPCでサポート詐欺の被害に遭ったことだという。5月25日、看護師がウェブサイト閲覧中に警告音とともに警告表示が出て画面が停止した。表示先に連絡し、指示されたURLにアクセスしたところ、PCに不正に侵入され、第三者による遠隔操作を受け、ウイルス駆除費用の名目で金銭が請求された。5月28日から30日には身に覚えのないクレジット請求や携帯電話のアカウント変更などのメールが届いた。看護師は独自に専門業者へ調査・復旧を依頼し、詐欺と情報漏えいの可能性を指摘されて病院に報告した。
漏えいのおそれがある情報の範囲 事実
病院側の調査は5月31日から病院のシステム管理部門が実施し、サポート詐欺の被害は当該PCのみで、カルテを含む病院本体のシステムへの影響はないことを確認したと報じられている。漏えいした可能性がある個人情報の総数は1365件である。主な内訳は、2024〜2025年の末期腎不全の病名登録がある一部の患者、2004〜2025年の腹膜透析を受けた一部の患者、2021〜2024年の腎代替療法指導を受けた一部の患者である。項目は氏名、性別、生年月日、患者ID、病名、転帰、入退院日、検査データ。住所、電話番号、メールアドレス、マイナンバーカード、クレジットカードの情報は含まれず、発表時点で不正利用などは確認されていないとされる。
攻撃の構造：病院本体ではなく個人端末が接点になった 解釈
報道された範囲では、病院のシステムが破られたのではなく、個人PCに保存されたデータが遠隔操作の対象に含まれた構図である。サポート詐欺は、偽の警告で利用者自身に連絡や操作をさせる手口で、脆弱性の悪用を必要としない。そのため、病院本体の防御が機能していても、業務データが管理外の端末に置かれていれば、その端末の安全性がそのまま情報の安全性になる。また、遠隔操作が行われた以上、PC内のデータが閲覧・複製された可能性を排除しにくい。件数が上限として示されているのも、こうした事情によると考えられる。ただしこれは報道内容からの推論であり、病院の一次発表で確認したものではない。
公表内容の評価と情報の限界 解釈
報道によれば、発表では件数、内訳、項目、含まれない情報、不正利用が未確認であることが具体的に示されており、本人が状況を把握する手がかりとして有用な内容だと読める。一方、本件の出典は報道1件のみで、病院の一次発表は確認できていない。流出が確定した件数、対象者への個別連絡の方法、再発防止策は報道からは読み取れない。なお、出典一覧にある2011年の車上荒らしによるPC盗難に関する病院文書は別の事案であり、本件の根拠には使えない。件数1365件は流出の可能性がある上限であり、流出が確認された件数ではない点にも注意が必要である。
対応
- 封じ込め
- 5月31日から病院のシステム管理部門が漏えい状況を調査し、被害は当該PCのみにとどまり、カルテを含む病院本体のシステムへの影響はないことを確認した。看護師は独自に専門業者へ調査・復旧を依頼した。
- 公表の仕方
- 2026年6月3日に病院が発表した。漏えいのおそれがある件数・項目・内訳が示され、発表時点で不正利用などは確認されていないとされる。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 業務データが管理外の個人端末に保存されると、組織の防御の外で漏えいが起こりうる。 | DLPやCASBで個人端末・個人クラウドへの患者情報の持ち出しを検知・遮断する。端末管理(MDM/EDR)に登録されていない端末からの業務データへのアクセスを条件付きアクセスで拒否する。 |
| 規定を定めるだけでは持ち出しを防げない。 | 患者情報を扱う抽出データは持ち出し不可の院内環境(VDIや閲覧専用ファイルサーバ)内でのみ扱えるようにし、USB書き出しや個人メール転送を技術的に制限する。ファイル持ち出しのログを定期点検する。 |
| サポート詐欺は脆弱性ではなく利用者の操作を狙うため、技術対策だけでは防ぎきれない。 | 偽警告画面の実例を使った研修を定期実施する。警告表示が出たら電話せずブラウザを閉じる、閉じられなければ電源を切って情報システム部門へ連絡する、という手順を周知する。遠隔操作ツールの導入を許可制にし、未許可ツールの実行をEDRで検知する。 |
| 被害に気づいた職員が早く報告できる体制が、影響範囲の特定を左右する。 | 個人端末を含むインシデントを責めずに受け付ける窓口と、夜間・休日も使える連絡先を設ける。報告を受けたら端末内のデータ種別と件数を棚卸しする手順を事前に文書化する。 |
| 遠隔操作を受けた端末では、データの閲覧・複製を否定しきれず、件数は上限で示さざるを得ない。 | 患者データのファイルにアクセス記録と暗号化を付与し、端末内に残るデータを最小化・保存期限付きにする。インシデント時に対象データの件数・項目を即座に出せるよう、データ台帳を整備する。 |
自組織などでの確認項目
- 自組織で、規定上は禁止されているが、実際には個人PCや個人クラウドに業務データが置かれていないか。棚卸しの方法はあるか。
- 職員が偽の警告画面に遭遇したとき、誰にどの連絡手段で、どれだけ早く報告できるか。個人端末での出来事でも報告しやすい仕組みか。
- 個人端末が侵害されたと分かった場合、その端末内にどんな個人情報が何件あったかを短時間で説明できるか。
- 個人端末から業務システムや業務データへのアクセスを、技術的にどこまで制限できているか。
未解明点
- 病院の一次発表の全文は、本資料では未確認。公式の発表内容と報道に差があるか。
- 漏えいが確定した件数と、対象となる患者への個別通知の方法・時期は、報道からは分からない。
- 看護師が金銭を支払ったかどうか、金額、および再発防止策は、報道されていない。
- 個人PCにデータが保存された経緯と、遠隔操作の間にデータが閲覧・複製されたかは、公表されていない。
出典
- 1藤田保健衛生大学病院2012-01-23公式本文確認済
- 2INTERNET Watch2026-06-05報道本文確認済