東北大学への不正アクセス（大学病院の治験資料NASから患者情報等が漏えいした可能性）
公表日
東北大学が管理するサーバとその病院の治験資料を保管するNASに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、2003〜2013年の入院患者などの情報が漏れた可能性があると発表された。件数はまだ発表されていない。
対象者は？
2003年から2013年までの間に入院し、2013年12月31日以降は受診のない患者の、患者番号・氏名・性別・診療科・最終受診日。および2001年以降に治験分担医師であり、2025年度末までに退職した方の、氏名と現在使用できないメールアドレス。発表の内訳に挙がっているのはこれらで、いずれも連絡先が不明なため個別連絡はできていない。
大学の公式発表に対象の条件が書かれているので、自分が当てはまるかを確認する。
いますぐできること
- 公式発表で、自分が対象の条件に当てはまるか確認する。
- 対象に当てはまる可能性がある場合は、心当たりのない連絡やメールに注意する。
- 当てはまる家族や知人がいれば、公式発表の存在を知らせる。
何が起きたのか
東北大学は2026年5月1日に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を発表した。4月16日に、大学が管理するサーバへの不正アクセスが確認された。調査の結果、東北大学病院の治験業務の資料を保管していたNASにも不正アクセスがあり、患者の個人情報等が漏れた可能性が4月23日に分かった。教員のパソコンが不正に使われ、情報機器にアクセスされたことも確認されている。大学は4月24日に、一部の業務システムのパスワードを変更し、学内ネットワークの一部を切り離した。6月17日には、漏れた可能性のある情報の内訳などが追記された。
なぜ起きたのか・なぜ広がったのか
最初にどこから入られたのか、なぜ被害が出たのかは、まだ発表されていない。確認されているのは、教員のパソコンが不正に使われ、情報機器にアクセスされたことまで。
いまの状況2026-06-17 時点続報待ち
2026年6月17日時点で、二次被害は確認されていない。不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。のあったNASはネットワークから切り離されたのち廃止され、他の医療情報システムへの影響は確認されておらず、病院は通常通り運営している。大学は警察や外部専門機関と連携して調査を続け、脆弱性対策や監視の強化、教育を進めるとしている。対象の件数、侵入の経路や時期は、まだ発表されていない。補償についても、まだ発表されていない。
企業として考えたいこと
自社で、昔のプロジェクトや業務の個人情報が入ったままのファイルサーバがないか、今日確認できますか。
技術的な要約
東北大学は2026年5月1日、同学が管理するサーバへの不正アクセスを4月16日に確認したと発表した。調査の結果、東北大学病院の治験業務に関する資料を保管していたNASにも不正アクセスがあり、患者の個人情報等が漏えいした可能性が4月23日に判明した。教員のPCが不正利用され、情報機器へアクセスされたことが確認されている。大学は4月24日に一部業務システムのパスワードリセットと学内ネットワークの一部セグメントの切り離しを行い、当該NASは遮断・廃止された。個人情報保護委員会、文部科学省、厚生労働省へ報告済みで、2026年6月17日付で追記がなされ、二次被害は現時点で確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公式発表では、教員のPCが不正利用され、情報機器へアクセスされたことが確認されたとされる。侵入経路の詳細は公表されていない。
- 脆弱性
- CVE 非公表不明脆弱性の製品名・CVEは公表されていない。大学は再発防止策として脆弱性対策を進めるとしている。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 不正アクセスのあったNASはネットワークから切り離され通信を遮断。他の医療情報システムへの影響は現時点で確認されず、病院は通常通り運営している。
- データ
- おそれ上限 —確定 —氏名その他メール従業員情報件数は今回の情報源では示されていない。漏洩の可能性がある情報は、2003〜2013年に入院し2013年12月31日以降受診のない患者の患者番号・氏名・性別・診療科・最終受診日、および2001年以降の治験分担医師で2025年度末までに退職した方の氏名・メールアドレス（現在使用できないもの）。これらの方は連絡先不明で個別連絡できていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
公表された経緯と初動 事実
東北大学は2026年5月1日に不正アクセスを発表した。4月16日に同学が管理するサーバへの不正アクセスが確認され、調査の結果、東北大学病院で実施している治験業務に関する資料を保管していたNASにも不正アクセスがあり、患者の個人情報等が漏洩した可能性が4月23日に判明した。教員のPCが不正利用され、情報機器へアクセスされたことが確認されたとされる。大学は警察および外部専門機関と連携して原因と影響を調査している。個人情報保護委員会、文部科学省、厚生労働省へは報告済みである。4月24日には被害拡大防止の予防的措置として、一部業務システムのパスワードリセットと学内ネットワークの一部セグメントの切り離しを行った。
漏えいの可能性がある情報の範囲 事実
6月17日の追記では、漏洩の可能性がある情報が二つの区分で示された。一つは、2003年から2013年までの間に入院し、2013年12月31日以降は受診のない患者の、患者番号、氏名、性別、診療科、最終受診日である。もう一つは、2001年以降に治験分担医師であり、2025年度末までに東北大学を退職した方の、氏名とメールアドレス（現在使用できないもの）である。いずれも連絡先が不明のため個別連絡ができていない。対象の件数は、今回参照した情報源には示されていない。不正アクセスのあったNASはネットワークから切り離されて通信が遮断され、のちに廃止された。他の医療情報システムへの影響は現時点で確認されておらず、病院は通常通り運営している。二次被害は現時点で確認されていない。
攻撃の構造に関する読み取りと限界 解釈
公表から読み取れるのは、教員PCの不正利用と、サーバおよびNASへの不正アクセスが確認されたという点までである。教員PCの不正利用がNASへのアクセスにどう結びついたのか、最初の侵入口が何だったのかは公表されていない。そのため、認証情報の悪用なのか脆弱性の悪用なのかを判断する材料は乏しい。一方、大学が再発防止策に脆弱性対策を挙げていることから、複数の観点で点検が行われているとも受け取れる。また、漏洩の可能性があるのは2013年以前に入院した患者や退職済みの医師の情報であり、現在の診療や運用とは別に、治験の資料として長期間保管されていた情報が含まれていた点は特徴的である。ただし、これは保管の経緯が公表されていない前提での推測にとどまる。
公表内容の評価 解釈
発表から約1か月半後の追記で、漏洩の可能性がある情報の内訳が対象区分ごとに具体的に示され、二次被害が未確認であること、NASの廃止と再発防止策も明記された点は、対象者が自分に関係するかを判断しやすくする情報提供と見ることができる。連絡先が不明で個別連絡ができない方々に対して、公表により周知するという方法を取っていることも、現実的な対応の一つといえる。一方で、対象の件数、侵入の時期、侵入経路、NASが外部から到達可能な状態だったかといった点は示されておらず、同種の環境を持つ他組織が自らの対策に生かすには情報が限られる。調査が継続中とされているため、これらは今後の続報に委ねられている状況と考えられる。
対応
- 封じ込め
- 警察および外部専門機関と連携して原因と影響を調査。4月24日に一部業務システムのパスワードリセットと学内ネットワークの一部セグメント切り離しを実施。不正アクセスのあったNASはネットワークから切り離して通信を遮断し、のち廃止した。脆弱性対策、運用・監視の強化、情報セキュリティ教育を進め、治験関連情報の管理方法を見直した。
- 公表の仕方
- 2026年5月1日に「本学への不正アクセスについてのご報告とお詫び」を公表し、6月17日に追記した。連絡先不明の対象者には個別連絡ができておらず、公表で周知している。二次被害は現時点で確認されていない。
- 当局対応
- 個人情報保護委員会
- 文部科学省
- 厚生労働省
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 長期保管データは現行業務とは別に棚卸しし、保管の必要性を定期的に判断する | NAS・ファイルサーバごとにデータ所有者、保管目的、保存期限、個人情報の有無を台帳化し、年1回以上棚卸しする。期限切れや目的の失われたデータは、承認手続きのうえで削除またはオフライン保管へ移す。 |
| 教員・職員PCの不正利用が、保管先へのアクセスに波及しないようにする | 端末とファイルストレージ間のアクセスをネットワーク分離とACLで必要最小限に絞る。EDRを導入して不審なログインや大量のファイル参照を検知し、PCからNASへの接続には多要素認証や踏み台経由を要求する。 |
| 被害拡大防止のため、ネットワーク分割と資格情報の一斉リセットを即時に実行できる手順を持つ | セグメント単位で遮断できるスイッチ・FW設定の手順書を作り、定期的に訓練する。業務システムのパスワードリセットを優先順位付きで実行できるよう、対象システムと担当者の一覧を整備する。 |
| 連絡先不明の対象者にも届くよう、公表内容を具体的に設計する | 対象条件（入院期間、最終受診日、在籍期間など）を、本人が自己判定できる粒度でWebに掲載する。問い合わせ窓口を用意し、メールアドレス等の連絡先データの更新状況も定期的に点検する。 |
自組織などでの確認項目
- 自組織のNASやファイルサーバに、現在の業務で使っていない古い個人情報が残っていないか。保存期限と所有者は台帳で確認できるか。
- 教員・職員の個人PCや研究室PCから、重要データを保管するストレージへ、どの経路・どの認証でアクセスできるか。不要な経路は残っていないか。
- 不正アクセスの疑いが出たとき、ネットワークの一部セグメントを切り離し、業務システムのパスワードをリセットする手順は文書化され、直近で訓練されているか。
未解明点
- 漏洩の可能性がある患者・治験分担医師の件数は、まだ公表されていない。
- 最初の侵入口、侵入日、教員PCの不正利用とNASへのアクセスとの関係は公表されていない。
- 調査の最終報告や、実際に情報が持ち出されたかの確認結果が公表されるか。
出典
- 1ScanNetSecurity2026-05-20報道本文確認済
- 2東北大学2026-06-17公式本文確認済