富士フイルムメディカル、医療従事者約59万人分の情報流出の可能性 — 発生から公表まで6ヶ月
| 項目 | 内容 |
|---|---|
| 発生日 | 2025年6月23日（不正アクセス発生日）／2025年10月10日（検知日） |
| 対象組織・業界 | 富士フイルムメディカル（医療機器・医療関連サービス） |
| 攻撃手法 | 営業管理システムのID・パスワードを不正入手した第三者による不正アクセス |
| 情報源 | Security NEXT（2025年12月24日） |
富士フイルムメディカルは、2025年12月24日、営業管理システムへの不正アクセスにより、医療従事者約59万人分の個人情報が外部に流出した可能性があることを公表しました。発生日は2025年6月23日、検知日は同年10月10日で、発生から検知まで約3.5ヶ月、公表まで6ヶ月が経過しています。
流出した可能性がある情報は、医療従事者の氏名、職種、電話番号、メールアドレス、生年月日、性別、年齢、出身地、出身校、卒業年、勤務先情報、所属学会、専門分野、営業管理メモなど、営業活動で蓄積された詳細な個人プロフィールです。さらに販売事業者の従業員情報（氏名・勤務先・住所・電話番号）も対象に含まれます。
- 2025年6月23日: 営業管理システムへの不正アクセスが発生（発生日）
- 2025年10月10日: 不正アクセスを検知（検知まで約3.5ヶ月）
- 被害システムを遮断、個人情報保護委員会に報告
- 2025年12月24日: 対象者への通知および公表
- ID・パスワード管理体制の強化を予定、二次被害は現時点で未確認
同社は「営業管理システムのIDとパスワードを不正に入手した第三者による不正アクセス」と説明しています。ID・パスワード窃取の具体的な経路（フィッシング／情報窃取型マルウェア／リスト型攻撃／内部からの漏えい等）は公表されていません。
考えられる原因（推測）: 業務用SaaS・営業管理システムのアカウント乗っ取りは、(a) 従業員へのフィッシングで正規認証情報を窃取、(b) 情報窃取型マルウェア（Infostealer）でブラウザ保存パスワードを吸い出し、(c) パスワードの使い回し先漏えいのリスト型攻撃、が典型的な経路です。「営業管理システム」という単一システムへのログインで59万人規模のデータにアクセスできる設計であったこと、およびそのシステムが多要素認証未整備もしくは外部からアクセス可能な状態であった可能性が考えられます。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 「検知までの時間差」の意味
Section titled “1. 「検知までの時間差」の意味”6月23日に発生した侵害を、10月10日まで気づけていない — 約3.5ヶ月間、攻撃者は営業管理システムに正規ユーザーとしてアクセスし続けた可能性があります。医療従事者59万人分の詳細プロフィールへの断続的な参照・持ち出しが行われていた場合、影響範囲の確定は「その期間のアクセスログ」を全量遡って調査する必要があります。ID・パスワードでの正規ログインは「異常な認証」として検知しにくく、アクセスパターン（時間帯・アクセス量・地理的異常）で検知する仕組みがなければ埋もれます。
2. 営業管理システムの機微性
Section titled “2. 営業管理システムの機微性”本件の情報種別は「氏名＋職種＋所属＋専門分野＋営業管理メモ」など、医療従事者を対象にしたフィッシング・BECを設計するのに極めて有用な組み合わせです。二次被害の潜在リスクは高く、対象医療従事者は同社を装ったメール・電話に注意する必要があります。営業管理システムは「顧客との接点データ」を持つが故に、CRM・SFA系システムのアカウント保護は認証強化（MFA・条件付きアクセス）と、ログ監視の両輪で設計する必要があります。
3. ID・パスワード管理体制強化の中身
Section titled “3. ID・パスワード管理体制強化の中身”同社は再発防止として「ID・パスワード管理体制の強化」を挙げています。実効的な強化には、(a) 業務システムへの多要素認証必須化、(b) 特権アカウントの分離、(c) パスワードマネージャ配布と使い回し禁止、(d) ログイン失敗・成功パターンの継続監視、が含まれる必要があります。
ヤグラの視点 — 発見までの時間、3.5ヶ月の意味
Section titled “ヤグラの視点 — 発見までの時間、3.5ヶ月の意味”6月23日発生・10月10日検知 — 3.5ヶ月間、攻撃者が正規認証情報を使って営業管理システムにアクセスし続けた可能性があります。この間、59万人分のデータがどの頻度で・どの範囲まで参照されたかは、当時のログが揃っていなければ再構成できません。侵入から検知までの時間差は、そのまま「攻撃者にとっての活動期間」であり、被害範囲の確定困難さを決定します。
正規認証情報を使った侵害は、パスワード窃取後は「正規ユーザーの振る舞い」として現れるため、単純な認証イベント監視では発見できません。時間帯・アクセス量・データ抽出量・地理的異常・端末指紋などの複合シグナルを横断相関する必要があります。人手で全ログを監視するのは現実的でなく、AIによる24時間365日の横断ログ監視と自動封じ込め（検知から初動まで平均数分）が現実解になりつつあります。ヤグラの AI SOC は、この「正規ログインに紛れた不正アクセスの検知」を、100+の連携先ログの横断相関で実現する基盤です。
同社は対象者への個別連絡と、継続的なモニタリング、ID・パスワード管理体制強化を進める方針です。医療従事者を装ったなりすまし・詐欺の二次波が懸念されるため、対象者への注意喚起の継続と、二次被害検知のための監視強化が続きます。
| 日時 | 内容 |
|---|---|
| 2026-07-30 | 初稿公開（2025年12月24日公表・アーカイブ整理） |