医療機関のWebサービスで個人情報の漏えいが相次ぐ　予約サイト・問い合わせフォーム・委託先管理の点検を

予約システムへの不正アクセスで患者情報が漏えい

　メドレーは2026年10月15日、医療機関業務支援システム「アットリンク」への不正アクセスを公表した。10月23日に示した調査状況によると、第三者が9月下旬から10月中旬にかけて不正に設置したプログラム経由でデータベースから情報を取得していた。漏えいした可能性があるのは氏名、フリガナ、誕生月日、メールアドレス、ログインIDとパスワード、利用医療機関名、最終来院日など。アプリやWeb予約の未利用者も対象区分に含まれる。対象数は調査中で、同社は10月14日深夜にサービスを一時停止している。

移行済みの旧予約システムに残る情報

　四谷メディカルキューブは2026年10月20日、過去に利用していた予約システム「いつあき」（株式会社ファインズが運営）への不正アクセスにより、患者の氏名、電話番号、メールアドレスが漏えいしたと公表した。不正アクセスは9月21日から22日に発生し、対象は2016年10月1日から2025年3月24日までの約8年5カ月間に同システムで予約した患者。同院は2025年3月以降は別システムを利用しており、現行の予約システムと電子カルテへの影響は確認されていない。

問い合わせフォームも個人情報の保存先

　志摩市民病院は2026年10月、公式サイトの制作に使うWeb制作プラットフォーム「Studio」（Studio株式会社）のクラウド環境が不正アクセスを受け、問い合わせフォームから送信された氏名、メールアドレス、問い合わせ内容8件が漏えいした可能性があると公表した。診療業務や電子カルテ上の個人情報への影響はないとしている。

フォーム編集時の設定ミスによる事例も

　京都府立医科大学では2025年3月、病院実習に向けた抗体検査・ワクチン接種状況の入力フォームで、新入生15名の回答が他の新入生から閲覧可能な状態になった。職員が質問項目を追加する際、編集権限が「回答先のリンクを知っている全員」となる操作を誤って行っていた。回答には氏名、生年月日、性別のほか、各種抗体価とワクチン接種履歴が含まれていた。翌日に保護者からの連絡で判明し、設定を修正。学外への漏えいや悪用は確認されていない。

厚労省は予約・問診システムも点検対象に挙げている

　厚生労働省は2026年10月9日、内閣官房国家サイバー統括室の文書「不正アクセスによる漏えい等の事案を踏まえた対応について」を別添とする事務連絡を都道府県宛に発出した。同文書は大量の個人情報や機微な情報を扱う事業者全般を対象に、修正プログラムの適用、多要素認証の導入、再委託先を含む委託先の管理状況の把握、業務終了後のデータ削除の徹底などを挙げている。

　10月28日には、国内のオンライン診療システムでリスト型攻撃による不正ログインが医療機関側・患者側双方のアカウントで確認されたとして、セキュリティ対策強化を求める事務連絡が発出された。医療機関には、多要素認証（二要素認証、パスキー機能等）の有効化、業務アカウントのパスワードの使い回しの点検、深夜帯や海外IPアドレスからの接続などがないかの監査ログ確認を求めている。

　事業者には、IDにメールアドレスや電話番号を用いパスワードのみで認証するシステムの見直しを求めたうえで、SaaS型サービスを提供する事業者に対し、予約システム、問診システム、業務効率化システム等を含め関連するシステム全般を確認するよう求めている。

　日常的な点検の枠組みとしては「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」がある。令和8年度版は4分野・全19項目で、病院・診療所は医療法第25条第1項、薬局は薬機法に基づく立入検査で実施状況が確認される。機器等の台帳、連絡体制図、事業継続計画（BCP）、運用管理規程は現物が確認され、事業者が「対象外」と回答した項目は医療機関側が責任を負う。

　医療情報システムの安全管理に関するガイドラインは2026年6月に第7.0版が公表され、保守委託機関編が新設されて5編構成となった。

　インシデントが発生した場合や、その疑いがある場合は、厚生労働省政策統括官（情報政策担当）付医療情報連携担当参事官室に連絡する。要配慮個人情報が含まれる場合や不正アクセスによる場合など一定の要件に該当するときは、個人情報保護委員会への報告も必要となる。厚労省は相談先として情報処理推進機構（IPA）の「不正アクセス特別相談窓口」も案内している。

※本稿は2026年11月12日までの公表情報に基づく。各機関の公表内容に沿い、漏えいが確認された事例と、漏えいのおそれ・可能性がある事例を区別して記載した。