多根総合病院の委託先事業者によるUSBメモリ紛失（手術患者379人分の診療データ）
公表日
多根総合病院の委託先事業者の従業員が、手術を受けた患者379名分の診療データを入れたUSBメモリを紛失しました。外部への漏えいは確認されていませんが、メモリは暗号化されておらず、見つかっていません。
対象者は？
2026年1月5日〜2月19日に、緊急を除く手術を多根総合病院で受けた患者379名です。データには、ID、氏名、性別、生年月日、病名、術式、診療科、病棟、麻酔の種類、執刀医・麻酔科医名、手術室スタッフの情報が含まれます。マイナンバー、健康保険証の記号・番号、住所、電話番号などの連絡先、クレジットカード番号は含まれていません。
対象の患者には、病院から個別に書面でお詫びと経緯の説明が始まっています。詳しくは病院の公式のお知らせをご覧ください。
いますぐできること
- 病院から書面が届いたら、内容を確認しましょう。
- 病院を名乗る不審な連絡があったときは、すぐに応じず、病院の公式のお知らせで案内を確認しましょう。
- 詳しい内容は、病院の公式のお知らせで確認しましょう。
何が起きたのか
病院のSPD業務（物品管理や院内の物の運搬）を請け負う事業者の従業員が、2026年2月18日に事業者所有のUSBメモリへ診療データを保存しました。翌19日に保管場所へ取りに行くと無くなっており、事業者はすぐ捜索と聞き取りをしました。2月20日に病院へ報告し、病院は3月17日に公表しました。このUSBメモリは院内のパソコン間で使うもので、院外へ持ち出す運用ではなかったと説明されています。
なぜ起きたのか・なぜ広がったのか
外部からの攻撃ではなく、委託先事業者が所有するUSBメモリが保管場所から所在不明になったものです。メモリは暗号化されておらず、そのため漏えいの可能性は否定できないとされています。なぜ所在不明になったのかは、まだ発表されていません。
いまの状況2026-03-17 時点続報待ち
2026年3月17日の時点で、USBメモリは見つかっていません。外部への漏えいや不正利用は確認されていません。病院は個人情報保護委員会へ報告し、事業者は警察へ被害届を出しました。病院は対象患者への書面での説明を始めています。再発防止として、委託先を含め、個人情報を含むデータへのUSBメモリ等の使用を原則禁止にします。やむを得ず使う場合は暗号化とパスワード管理を徹底します。全委託先への指導と情報セキュリティ教育も行います。その後の続報は、まだ発表されていません。
企業として考えたいこと
自社の委託先は、お客様や患者さんの情報をUSBメモリなどの持ち運べる媒体に入れて扱っていないか、その媒体は暗号化されているか、確認できていますか。
技術的な要約
多根総合病院のSPD業務（物品管理・院内物流）の委託先事業者の従業員が、2026年2月18日に事業者所有のUSBメモリへ要配慮個人情報を含む診療データを保存し、翌19日に保管場所で所在不明と判明した。事業者は2月20日に病院へ報告し、病院は3月17日に公表した。対象は2026年1月5日〜2月19日に緊急を除く手術を受けた患者379名で、ID・氏名・性別・生年月日・病名・術式などが含まれる。USBメモリは暗号化されておらず、外部への漏えいや不正利用は確認されていないものの漏えいの可能性は否定できないとされる。3月17日時点で発見に至っておらず、個人情報保護委員会への報告、警察への被害届提出、対象患者への書面での通知が行われている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 物理公表で確認外部からの攻撃ではなく、委託先事業者所有のUSBメモリが所定の保管場所から所在不明となった。当該USBメモリは院内のパソコン間で使用するもので、院外へ持ち出して使用する運用ではなかったと公表されている。
- 脆弱性
- CVE 非公表公表で確認USBメモリ（委託先事業者所有）ソフトウェアの脆弱性ではない。紛失したUSBメモリは暗号化されていなかったと公表されている。
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 業務停止に関する公表はない。
- データ
- おそれ上限 379確定 —人氏名性別生年月日健康情報従業員情報その他対象は2026年1月5日〜2月19日に緊急を除く手術を受けた患者379名。ID、氏名、性別、生年月日、病名、術式、診療科、病棟、麻酔の種類、執刀医・麻酔科医名、その他手術室スタッフの情報、院内電話の内線一覧表。外部への漏えい・不正利用は確認されていないが、暗号化されておらず漏えいの可能性は否定できない。マイナンバー、健康保険証記号・番号、住所、電話番号などの連絡先情報、クレジットカード番号は含まれない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 病院のSPD業務を委託されている事業者の従業員が、事業者所有のUSBメモリに診療データを保存し紛失した。
時系列
技術解説
公表された事案の経過 事実
多根総合病院は2026年3月17日、SPD業務（物品管理・院内物流）の委託先事業者の従業員が、患者の個人情報を含むUSBメモリを紛失したと公表した。公表によると、従業員は2月18日に事業者所有のUSBメモリへ要配慮個人情報を含む診療データを保存した。翌19日に所定の保管場所へ取りに行ったところ無く、所在不明と判明した。事業者は直ちに関係箇所の捜索と関係者への聞き取りを行い、2月20日に病院へ報告した。それでも3月17日時点で発見に至っていない。当該USBメモリは院内のパソコン間で使用するもので、院外へ持ち出して使用する運用ではなかったと説明されている。
対象となった情報と漏えいの有無 事実
対象は2026年1月5日〜2月19日に緊急を除く手術を受けた患者379名である。保存されていたのは、ID、氏名、性別、生年月日、病名、術式、診療科、病棟、麻酔の種類、執刀医・麻酔科医名、その他手術室スタッフの情報、院内電話の内線一覧表である。マイナンバー、健康保険証記号・番号、住所、電話番号などの連絡先情報、クレジットカード番号は含まれていない。外部への漏えいや不正利用の事実は確認されていない。ただしUSBメモリは暗号化されておらず、漏えいの可能性は否定できないとされている。379名は対象者数であり、漏えいが確認された人数として公表されたものではない。
公表された対応と再発防止策 事実
病院は事業者から報告を受けた後、直ちに事業者へ全容解明の調査と再発防止策の策定を指示した。個人情報保護法第26条第1項に基づく個人情報保護委員会への報告を行い、事業者は警察へ被害届を提出している。対象患者には個別に書面でお詫びと経緯の説明を始めた。再発防止策としては、委託先を含め、個人情報を含むデータについてUSBメモリ等の外部記憶媒体の使用を原則禁止とする。やむを得ず使う場合は暗号化とパスワード管理を徹底する運用ルールを整備する。さらに、当該事業者を含む全委託先に厳重に指導し、情報セキュリティ教育を再実施するとしている。
委託先での媒体管理という構造（解釈） 解釈
本件は外部からの攻撃ではなく、委託先で扱われた可搬媒体の所在不明である。診療データが委託先の業務の中でUSBメモリに複製され、その媒体が暗号化されていなかった点が、影響の見え方を左右したと考えられる。院内用途の媒体であっても、保管場所から所在が分からなくなる事態は起こりうる。報道では、委託先が独自に用意した媒体を業務で使っていたならシャドーITに近い運用との見方も示されたが、これは記事筆者の見解で、実態は公表されていない。個人の注意に頼るより、委託先を含めて媒体の持ち込み、複製、保管の管理を仕組みで整えることが課題になると考えられる。
公表の時間差と評価（解釈） 解釈
紛失の判明は2月19日、病院への報告は2月20日、公表は3月17日である。公表資料は、発生日・発覚日・対象期間・情報項目・含まれない情報を区別して示しており、患者が自分に関係するか判断しやすい構成だと読める。一方で、公表までの約4週間にどのような調査や判断があったかは、公開された範囲では分からない。外部への漏えいは確認されていないとの記載と、暗号化されていないため可能性は否定できないとの記載が併記されている。これは、確認できていないことと問題がないことを分けて伝える姿勢と受け取れる。ただし、この見方は公表文面からの読み取りである。
対応
- 封じ込め
- 事業者が直ちに関係箇所の捜索と関係者への聞き取りを実施したが未発見。病院は事業者に全容解明の調査と再発防止策の策定を指示。事業者から警察へ被害届を提出。再発防止として、委託先を含め個人情報を含むデータのUSBメモリ等外部記憶媒体の使用を原則禁止し、やむを得ない場合は暗号化・パスワード管理を徹底する運用ルールを整備し、全委託先事業者への厳重な指導と情報セキュリティ教育の再実施を行う。
- 公表の仕方
- 2026年3月17日に病院Webサイトでお知らせとお詫びを公表。対象患者には個別に書面でお詫びと経緯説明を開始した。
- 当局対応
- 個人情報保護委員会（個人情報保護法第26条第1項に基づく報告）
- 警察（事業者が被害届を提出）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 個人情報を含むデータを可搬媒体へ複製できる状態が、紛失時の影響範囲を決める | 端末側でUSB大容量記憶装置の書き込みを既定で禁止する（MDM／EDRのデバイス制御、グループポリシー）。業務上必要な媒体だけ、資産IDやシリアル番号で許可リスト登録する。委託先の作業端末にも同等の制御を契約で求める。 |
| 暗号化されていない媒体は、見つからない間「漏えいの可能性」を残し続ける | やむを得ず使う媒体はハードウェア暗号化USB、またはBitLocker To Go等で全体暗号化し、復号できない状態を標準にする。暗号化の有無を媒体台帳に記録し、未暗号化の媒体は使用させない。 |
| 委託先が扱うデータと媒体は、発注元から見えにくい | 委託先に提供するデータ項目を最小化し、診療データの持ち出しや複製は契約で明示的な許可制にする。委託先の媒体台帳と持出し記録を年次監査で確認し、棚卸し結果の提出を求める。 |
| 保管場所の所在確認が弱いと、紛失の発生時点を絞り込めない | 媒体の貸出・返却を記録する管理簿または資産管理ツールで、利用者、時刻、保管場所を追跡する。施錠付き保管庫の開閉ログを取得し、日次または利用ごとに在庫を照合する。 |
| 委託先での事故を発注元が速やかに把握し、公表判断につなげる連絡体制が要る | 委託契約に、事故の発見から発注元への初報までの時間、報告項目（対象人数、データ項目、暗号化の有無）を定める。年1回、委託先を含む紛失・漏えい想定の連絡訓練を行い、規制当局への報告手順も訓練に含める。 |
自組織などでの確認項目
- 自組織の委託先が、業務のために自社所有のUSBメモリや個人用クラウドへ個人情報を複製していないか、把握する方法はあるか。
- 可搬媒体を紛失した場合に、保存されていたデータ項目、人数、暗号化の有無を何時間以内に確認できるか。
- 委託先で事故が起きたとき、発注元に報告される条件と期限は契約に明記されているか。実際に報告を受けた想定で連絡訓練をしたことがあるか。
未解明点
- 紛失したUSBメモリは発見されたか。発見された場合、内容が外部に読み取られた形跡はあったか。
- 事業者が当該USBメモリをどのような経緯で導入し、診療データをどのような業務目的・手順で扱っていたか。
- 紛失判明から公表まで約4週間を要した間の調査内容と、個人情報保護委員会への報告時期はいつか。
- 事業者に対する調査結果と、再発防止策の具体的な実施時期はいつか。
出典
- 1社会医療法人きつこう会 多根総合病院2026-03-17公式本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-03-19報道本文確認済