要点
発表された事実
- 旭化成セラピューティクスは2026年10月6日、医療関係者向け情報提供サイト「Pharma DIGITAL（ファーマデジタル）」がサイバー攻撃を受け、サイトに連携する会員データベースの個人情報が閲覧または取得された可能性があると公表した（同社のプレスリリース）。
- サイトの運営と情報の管理は株式会社医薬情報ネットに委託しており、同社が10月2日に不正アクセスを確認し、同日旭化成セラピューティクスに報告した（同上、医薬情報ネットのお知らせPDF）。
- 漏えいの可能性がある情報は、医療従事者の氏名・所属施設名・施設住所・職種・診療科など（最大約51万4000名）、これに加えてメールアドレスなど（最大約4万4000名）、旭化成セラピューティクス従業員の氏名・メールアドレス・写真（約700名）（同上）。
- クレジットカード情報や要配慮個人情報は保管していない（同上）。
- サイトは即時停止し、運用停止を続けている。不正アクセスの経路はすでに是正し、再度の不正アクセスは確認されていない（同上）。
わかっていないこと
- 侵入経路と原因（調査中）
- 対象人数の合計（表の「上記に加え、メールアドレス など 約4万4,000名」が約51万4000名の内数か別枠か。報道は「最大約51万4000人」とするもの、「最大約55万8700人」と合算するものに分かれている）
- 実際に取得されたデータの範囲（「閲覧または取得された可能性」の段階）
- 不正アクセスが行われた期間
- 医薬情報ネットが受託しているほかのサイト・サービスへの影響の有無（発表に記載がない）
- サイト再開の時期と、委託先管理の見直しの内容
関係しそうな既知の手口
- （考察）製薬会社の医療従事者向けサイトは、運営・会員管理を専門の受託会社に任せる形が多い。受託会社のデータベースや管理環境が破られると、委託元の会社からは見えにくいところで情報が流れる。大和証券などが影響を受けたスカラコミュニケーションズの件と同じく、「委託元のシステムは無事だが、預けたデータが抜かれた」構図にあたる。
概要
- 旭化成の医薬品子会社が提供する医療従事者向けサイト「Pharma DIGITAL」で、運営を委託している医薬情報ネットの会員データベースに不正アクセスがあった。
- 医療従事者の氏名・所属施設・診療科など最大約51万4000名分と、一部会員のメールアドレス、自社従業員約700名分の氏名・メールアドレス・写真が閲覧・取得された可能性がある。
- 委託先が10月2日に確認して報告し、サイトは停止中。原因と影響範囲は委託先と外部専門家が調べている。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-02 | 医薬情報ネットが、Pharma DIGITALに関連するデータベースへの不正アクセスを確認し、同日旭化成セラピューティクスに報告。サイトを即時停止 |
| 2026-10-06 | 旭化成セラピューティクスと医薬情報ネットがそれぞれ公表。関係当局への報告、対象の医療従事者への個別連絡を進めると説明 |
発表内容の整理
事実
対象
旭化成セラピューティクスと医薬情報ネットの発表にある表は次のとおり。
| 区分 | 漏えいした可能性がある情報 | 対象となる可能性がある人数（最大） |
|---|---|---|
| 医療従事者（医薬情報ネットの表では「医師・医療従事者様」） | 氏名、所属施設名、施設住所、職種、診療科 など | 約51万4,000名 |
| 同上 | 上記に加え、メールアドレス など | 約4万4,000名 |
| 旭化成セラピューティクス従業員 | 氏名、メールアドレス、写真 | 約700名 |
- クレジットカード情報などの高リスク情報や、要配慮個人情報は保管していない。
- 人数の扱いについて、ITmedia NEWSは「医療従事者最大約51万4000人分」とし、うち最大約4万4000人分ではメールアドレスなども対象になりうると報じた（ITmedia NEWS）。日本経済新聞は「医療従事者など最大で約55万8700人」と報じている（日本経済新聞）。
サイトと委託の関係
- Pharma DIGITALは、国内の医療関係者を対象に、旭化成セラピューティクスの医療用医薬品の適正使用に関する情報や、医学・医療に関する情報を提供するサイト。
- 運営と情報の管理を医薬情報ネットに委託している。医薬情報ネットのお知らせは、同社が「運営および情報管理を受託している」サイトで不正アクセスが発生したと説明している。
対応と案内
- サイトの運用停止を続け、委託先と外部専門組織と連携して事実関係の確認、原因究明、影響範囲の特定を進める。
- 調査結果を踏まえ、委託先に対する管理・監督体制を強化し、個人情報保護と情報セキュリティの管理体制を見直すとしている。医薬情報ネットも、受託業務の情報管理体制を抜本的に見直すとしている。
- 対象の医療従事者には電子メール等で個別に連絡する。不審なメールのURLや添付ファイルを開かず、個人情報を入力しないよう呼びかけている。
- 問い合わせ窓口は医薬情報ネットの専用窓口（10月8日以降はフリーダイヤル）と、Pharma DIGITAL専用窓口。
考察
公表は、委託先の確認から4日後に、委託元と委託先が同じ日に同じ内容で出している。説明の主語がそろっている点は、委託先事案でありがちな「どちらが説明するのか」が曖昧になる事態を避けられている。
件数の表は、2行目の「上記に加え」が人数にもかかるのかが読み取りにくく、報道でも数字が分かれた。対象者が自分は該当するのか、メールアドレスまで含まれるのかを判断するには、個別連絡の内容が頼りになる。
流出の可能性がある項目は、医療従事者の氏名と勤務先・診療科の組み合わせ。カード情報のような直接の金銭被害につながる情報ではないが、「どの病院のどの診療科に誰がいるか」は、製薬会社や学会、医療機関を装った標的型のメールを作るのに十分な材料になる。従業員約700名分の氏名・メールアドレス・写真も、社員を装ったなりすましに使われうる。
関係しそうな既知の手口
考察
- 委託先・SaaS事業者のサーバーが破られ、複数の委託元のデータがまとめて抜かれる事例は、この2週間だけでも大和証券（スカラコミュニケーションズ、シチズン時計なども影響）や吉野家HD／ApplyNowがある。医薬情報ネットのWebサイトには、取引先として複数の製薬会社の名前が並んでいる（医薬情報ネット）。今回の発表はPharma DIGITALについてのもので、ほかの受託業務への影響には触れていない。
- 会員サイトの会員データベースが攻撃を受ける典型的な経路には、公開Webアプリの脆弱性（SQLインジェクション、CMS・プラグインの脆弱性）、管理画面の認証情報の窃取、クラウド上のデータベースやストレージの公開設定の誤りなどがある。本件の経路は公表されていない。
利用者・運用者がいまできること
事実（発表に基づく）
- 不審なメールに記載されたURLへのアクセス、添付ファイルの開封、個人情報の入力をしない。
考察（医療従事者向け）
- 製薬会社、医療情報サイト、学会事務局などを名乗り、勤務先や診療科を正しく書いた「講演依頼」「製品情報の更新」「会員情報の再登録」などのメールが届く可能性がある。リンクは開かず、ブックマークや公式サイトから確認する。
- 医療機関の情報システム担当は、医療情報サイトを装ったフィッシングへの注意を院内に周知しておく。
考察（製薬会社など委託元の運用者向け）
- 会員サイトを外部に委託している場合、委託先がどこにどのデータを保管し、誰がアクセスできるかを把握しているかを確認する。委託契約に、侵害時の報告期限やログの提供、監査の権利が入っているかも見直す。
- 会員情報のうち、サイトの運営に不要な項目（古い会員、長く使っていないアカウント）を委託先に残し続けていないかを点検する。