東邦大学医療センター大森病院の業務委託先でのペースメーカープログラマ紛失（患者情報の流出のおそれ）
公表日
東邦大学医療センター大森病院が業務を委託している医療機器の取扱業者が、患者の個人情報が保存されたペースメーカープログラマを紛失しました。対象人数はまだ発表されていません。
対象者は？
同院の患者のうち、紛失した機器に個人情報が保存されていた人が対象となるおそれがあります。対象人数や、保存されていた情報の項目は、まだ発表されていません。なお、2021年に同院が公表した別の事案（14名分）は本件とは関係ありません。
同院と株式会社エムシーの公式発表で確認できます。ご自身が対象かどうか気になる場合は、同院に問い合わせてください。公式発表の本文は今回確認できていません。
いますぐできること
- 同院の公式サイトで、本件のお知らせが出ていないか確認する。
- 対象かどうか不安な場合は、同院に問い合わせる。
- 同院や関係者を名乗る不審な連絡があった場合は、すぐに応じず、公式の窓口に確認する。
何が起きたのか
2026年5月1日、東邦大学医療センター大森病院と株式会社エムシーが、診断用の機器の紛失により個人情報が流出する可能性があると発表しました。報道によると、同院が業務を任せている医療機器の取扱業者が、自社で管理していたペースメーカープログラマを失くしました。この機器には患者の個人情報が保存されていて、操作方法を知っている第三者が見られる可能性を否定できない、とされています。実際に見られたことは確認されたとは伝えられていません。
なぜ起きたのか・なぜ広がったのか
紛失の詳しい経緯は、まだ発表されていません。分かっているのは、病院ではなく業務の委託先が管理していた機器がなくなったことです。
いまの状況2026-05-20 時点続報待ち
報道が出た2026年5月20日の時点で、対象人数、紛失した日時と場所、機器が見つかったかどうか、今後の対応については、まだ発表されていません。
企業として考えたいこと
あなたの会社で、顧客や従業員の情報が入った機器を委託先が管理している場合、その機器が失くなったとき、どんな情報がどれだけ入っていたかを何時間で把握できますか。
技術的な要約
東邦大学医療センター大森病院と株式会社エムシーは2026年5月1日、診断用機器の紛失に伴う個人情報流出の可能性について発表した。同院が業務を委託している医療機器取扱業者が、管理するペースメーカープログラマを紛失したものである。機器には患者の個人情報が保存されており、操作方法を知る第三者に不正に閲覧される可能性が否定できない状況とされる。対象人数、紛失の日時と場所、機器の発見状況は、渡された情報からは読み取れない。なお、同院の公式ページ（2021年8月）は看護師による業務文書の不適切使用という別の事案であり、本件とは区別している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 委託先経由報道・研究者報道によると、同院が業務を委託している医療機器取扱業者が、管理する診断用機器（ペースメーカープログラマ）を紛失した。外部からの侵入ではなく機器の紛失である。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし
- データ
- おそれ上限 —確定 —その他紛失した機器には患者の個人情報が保存されており、機器の操作方法を知る第三者に不正に閲覧される可能性が否定できないとされる。件数や項目の内訳は、渡された情報にはない。2021年の別事案（患者14名分）の数値は本件に含めていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 同院の業務委託先である医療機器取扱業者が管理する機器の紛失により、同院の患者の個人情報に影響が及ぶおそれがある。
時系列
技術解説
公表された内容の整理 事実
東邦大学医療センター大森病院と株式会社エムシーは2026年5月1日、診断用機器の紛失に伴う個人情報流出の可能性について発表した。報道によると、紛失したのは同院が業務を委託している医療機器取扱業者が管理するペースメーカープログラマである。当該機器には患者の個人情報が保存されており、機器の操作方法を知る第三者によって不正に閲覧される可能性が否定できない状況とされる。以上はScanNetSecurityの報道（2026年5月20日）に基づく内容で、公式発表の本文は今回の入力に含まれない。流出が確認されたという記述は、渡された情報にはない。
委託先の管理下にある機器という構造 解釈
本件は外部からの攻撃ではなく、委託先が管理する可搬型の医療機器が所在不明になった事案と読める。患者の個人情報を保存した機器は、病院の情報システムの外に出ると、病院側の管理策が直接及ばなくなる。委託契約の範囲では機器の保管・持ち出し・紛失時の連絡といった運用が委託先に任されやすく、病院はその実態を把握しにくい面があると考えられる。ただし、実際の管理体制や契約内容は公表されていないため、これは一般的な構造としての見方にとどまり、同院や委託先の対応の良否を判断するものではない。
リスクの大きさを左右する未公表の条件 解釈
「不正に閲覧される可能性が否定できない」という表現は、実際に閲覧された事実が確認されたことを意味しない。リスクの大きさは、保存されている情報の項目や件数、機器にパスワードや暗号化などの保護があるか、紛失した場所が屋内か屋外か、機器が見つかったかどうかなどで大きく変わる。今回の情報にはこれらがいずれも含まれていない。そのため、影響を大きいとも小さいとも断定できない。続報で、これらの条件と患者への通知状況が示されるかどうかが、評価の鍵になる。
同院の過去の別事案との区別 解釈
出典に含まれる同院の公式ページ（2021年8月）は、看護師が個人売買の商品を扱う際に患者の個人情報を含む業務文書を不適切に使用した別の事案であり、本件とは原因も経路も異なる。14名という人数や、個人情報保護委員会への報告、再発防止策といった内容も2021年の事案のものである。本件の被害規模や対応として扱うと誤りになるため、分析から除外した。同一組織で個人情報の取り扱いに関する事案が複数公表されていることは、それぞれの事案を独立して確認する必要性を示すにとどまる。
対応
- 封じ込め
- —
- 公表の仕方
- 2026年5月1日に、大森病院と株式会社エムシーが紛失と個人情報流出の可能性について発表した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 患者情報を保存した可搬型機器は、紛失を前提に保護策を決めておく必要がある。 | 機器内の患者データはストレージ暗号化とPIN・パスワード認証を必須にする。調達時の仕様書に暗号化の有無を明記させ、未対応の機器は保存データの最小化か持ち出し禁止で運用する。 |
| 委託先が管理する機器は、委託元から所在や保存データが見えにくい。 | 委託先が扱う機器を資産台帳に載せ、機器ごとに保存される情報の種類を把握する。台帳は四半期ごとに委託先と突合し、所在不明の機器がないか確認する。 |
| 紛失時に何が保存されていたかを素早く特定できないと、公表と通知が遅れる。 | 機器ごとに保存データの一覧と最終更新時刻を取得できる仕組みを用意する。紛失時は、保存件数と項目を24時間以内に委託先から委託元へ報告させる手順を契約に入れる。 |
| 紛失した機器の情報を遠隔で保護できるかが、被害の抑え込みを左右する。 | 対応機種ではリモートワイプや認証情報の無効化を使えるようにする。非対応の機種は、一定回数の認証失敗でデータを消去する設定と、機器の持ち出し記録の取得で補う。 |
| 委託先での事故の際の連絡経路と判断基準が曖昧だと、初動がばらつく。 | 委託契約に、紛失・盗難の発覚から連絡までの時間、報告項目、捜索手順を定める。年1回、委託先を含めた紛失想定の連絡訓練を実施する。 |
自組織などでの確認項目
- 自組織の患者・顧客情報を保存した持ち運び可能な機器（検査機器、タブレット、USB機器など）の一覧を作れているか。委託先が管理している機器も含めて確認できるか。
- それらの機器は、紛失しても第三者が中のデータを閲覧できないよう、暗号化と認証が設定されているか。設定状況を機器ごとに確認できるか。
- 委託先が機器を紛失した場合、いつ、誰から、どの項目を報告してもらえるか。契約や手順書に書かれているか。
- 紛失から公表までの間に、保存されていた情報の件数と項目を、自組織で何時間以内に把握できるか。
未解明点
- 紛失した機器に保存されていた患者情報の項目と対象人数はどれだけか。
- 機器はいつ、どこで紛失したのか。その後見つかったのか。
- 機器にはパスワードや暗号化などの保護が設定されていたのか。
- 同院と株式会社エムシーは、患者への個別連絡や問い合わせ窓口をどのように設けたのか。個人情報保護委員会への報告はあったのか。
- 委託先での機器の管理方法と再発防止策は、どのように見直されるのか。
出典
- 1ScanNetSecurity2026-05-20報道本文確認済
- 2東邦大学医療センター大森病院2021-08-24公式本文確認済