要点
発表された事実
- 株式会社MICINは2026年10月27日、「クロンオンライン診療」で10月23日に一部の医療機関と患者のアカウントへ第三者による不正ログインがあったと公表した。外部から取得したIDとパスワードの組み合わせを使う「リスト型攻撃」によるものとみている（MICIN）。
- 不正ログインされたのは5医療機関6アカウントと患者14アカウント。うち3医療機関で患者73名分の情報が閲覧された（同）。
- 医療機関アカウント経由で閲覧された患者情報は、氏名、メールアドレス、電話番号、生年月日、住所、性別、カルテ番号、診察券番号、受診状況、医師によるメモ。一部の患者は処方箋画像、診察記録、サービスの利用履歴も対象（同）。
- サーバーやデータベースへの侵入の形跡はなく、本人確認書類とパスワードは含まれない。カード情報は同社で保持していない。サービスは停止しない（同）。
- 発覚当日にアクセス元を遮断し、不正ログインされたアカウントと二要素認証を設定していないアカウントのパスワードを初期化、全医療機関アカウントをログアウトさせた。個人情報保護委員会へ報告済み（同）。
わかっていないこと
- 攻撃に使われたIDとパスワードがどこから流出したものか
- 患者アカウント14件で閲覧された患者の内訳（医療機関経由の73名と重なるか）
- 予定している「ログイン時のセキュリティ強化」の具体的な内容
関係しそうな既知の手口
- （考察）リスト型攻撃は、他のサービスから漏れたIDとパスワードを使い回している利用者を狙う。医療機関のアカウントは1つで多数の患者情報に届くため、二要素認証の有無で被害の大きさが変わる。
概要
- オンライン診療「クロン」で、使い回しのパスワードを狙ったとみられる不正ログインがあり、医療機関の管理画面から患者73名分の情報が見られた。
- 閲覧された情報にはカルテ番号や受診状況、医師のメモが含まれる。
- MICINは二要素認証未設定のアカウントのパスワードを一斉に初期化した。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-23（金） | 一部の医療機関・患者アカウントへの不正ログインを確認。アクセス元の遮断、パスワード初期化、全医療機関アカウントのログアウトを実施（MICIN） |
| 10-27（火） | 公表。対象の医療機関・患者へ個別に連絡（同） |
発表内容の整理
事実（MICIN、10月27日）
| 項目 | 内容 |
|---|---|
| 手口 | リスト型攻撃とみられる不正ログイン |
| 医療機関アカウント | 5医療機関6アカウント。うち3医療機関で患者73名分を閲覧 |
| 患者アカウント | 14アカウント（氏名、メールアドレス、電話番号、生年月日、住所、性別、受診者コード） |
| 医療従事者 | 医療機関アカウント経由で氏名・メールアドレスが閲覧 |
| 含まれない情報 | 本人確認書類、パスワード、カード情報（同社で保持せず） |
| 二次被害 | 不正な決済などは確認されていない |
- 医療機関には、パスワードを他のサービスと別のものにして再設定することと、二要素認証の設定を求めている。患者には、パスワードの変更と端末のパスキー機能（指紋・顔認証など）の利用を強く推奨している（MICIN）。
- 朝日新聞は、閲覧された可能性があるのは最大87人分と報じている（朝日新聞）。
考察
サーバーへの侵入がなくても、正しいIDとパスワードでログインされれば、画面に出る情報はすべて見られる。医療機関側のアカウントは診療に使う業務画面なので、受診状況や医師のメモまで閲覧された。二要素認証を設定していないアカウントを狙い撃ちで初期化した対応から、被害に遭ったアカウントは二要素認証を設定していなかったとみられるが、発表では明示されていない（考察）。
関係しそうな既知の手口
事実（既知の知見）
- MICIN自身が、外部から取得したIDとパスワードの組み合わせで不正ログインを試みる手口（リスト型攻撃）と説明している（MICIN）。
考察
医療系サービスでは、患者の利便性のために二要素認証を任意にしていることが多い。医療機関アカウントだけでも二要素認証を必須にすれば、1つの漏れたパスワードで多数の患者情報に届く経路はふさげる（考察）。
利用者・運用者がいまできること
- クロンを使う患者は、パスワードを他のサービスと別のものに変え、パスキーを使う。同じパスワードを使っている他のサービスも変える。
- 医療機関は、クロンを含む業務用サービスのアカウントに二要素認証を設定する。
- MICINを名乗るメール・SMS・電話でパスワードや認証コードを聞かれても答えない。