アルケア、従業員がSMSのフィッシング被害でApple Accountを乗っ取られる — 端末が初期化され顧客約200件・従業員約400件に影響

項目	内容
発生日	2025年12月1日（フィッシング被害）／2025年12月2日（端末の初期化を確認）
公表日	2025年12月25日
対象組織・業界	アルケア（医療機器や医療用消耗材の製造・販売／製薬・医療機器）
影響件数	顧客 約200件（茨城県と栃木県の医療機関および代理店の氏名、医療機関名または会社名、電話番号など）／従業員 約400件（氏名、業務用携帯電話番号、メールアドレス）
攻撃手法	セキュリティ強化などを口実に偽サイトへ誘導する悪意あるSMS。従業員がアカウント情報を入力し、Apple Accountを第三者に乗っ取られた。翌日に端末の初期化を確認
情報源	Security NEXT（2025年12月25日）

概要

医療機器や医療用消耗材の製造・販売を手がけるアルケアは2025年12月25日、従業員がフィッシング被害に遭い、「Apple Account」が第三者に乗っ取られたと公表しました。

起点は悪意あるSMSです。セキュリティ強化などを口実に偽サイトへ誘導され、従業員がアカウント情報を入力しました。被害は2025年12月1日に発生し、翌2日に端末が初期化されていることを確認しています。

対象となったのは、茨城県と栃木県の医療機関および代理店の顧客の氏名、医療機関名または会社名、電話番号など 約200件と、従業員の氏名、業務用携帯電話番号、メールアドレス 約400件です。

同社は個人情報保護委員会へ報告し、対象となる顧客の特定を進めて個別に連絡しています。

経緯

• 2025年12月1日: 従業員が悪意あるSMSから偽サイトへ誘導され、アカウント情報を入力。Apple Accountが第三者に乗っ取られる
• 2025年12月2日: 端末が初期化されていることを確認
• 対応: 個人情報保護委員会へ報告。対象となる顧客の特定を進め、個別に連絡
• 2025年12月25日: アルケアが公表

原因

判明している事実: 従業員が悪意あるSMSを受け取り、セキュリティ強化などを口実に偽サイトへ誘導されてアカウント情報を入力したことです。乗っ取られた後の第三者の操作内容、情報がどのように取得されたかは公表されていません。

考えられる原因（推測）

端末が初期化されたという結果が、この事案の性格を示しています。Apple Accountを掌握した攻撃者は、アカウントに紐づく端末を遠隔で消去できます。これは端末を使えなくする行為であり、情報を盗む行為とは目的が異なります。被害者が端末から締め出されているあいだに、クラウド側に同期された連絡先やデータへアクセスする時間を稼ぐという手口が知られており、今回もその構図であった可能性が考えられます。

対象が「顧客 約200件」と「従業員 約400件」という構成である点からは、端末またはアカウントに同期されていた連絡先が持ち出されたと考えられます。業務用携帯電話に登録された取引先の担当者と社内の同僚——連絡先アプリの中身がそのまま対象範囲になっている形です。

多要素認証については公表がありません。ただし偽サイトでアカウント情報を入力させる手口では、入力された確認コードをその場で使う中継型の攻撃も用いられるため、多要素認証の有無だけでは防げない場合があります。

対策

組織が学ぶべきこと

1. 業務用端末の連絡先が、そのまま取引先名簿になっている前提で考える

今回、顧客約200件と従業員約400件が対象になりました。専用のデータベースが侵害されたのではなく、端末に入っていた連絡先が範囲を決めています。業務用端末に取引先の連絡先をどこまで持たせるかは、端末が奪われたときの影響範囲を決める設計判断です。

2. 個人アカウントと業務用端末の結びつきを整理する

Apple Accountのような個人向けアカウントが業務用端末を管理している構成では、そのアカウントが奪われた時点で端末の制御も失われます。業務用端末を組織側の管理システムに登録し、遠隔消去や初期化の権限を組織が保持しておくことで、乗っ取られたときの主導権が変わります。

3. 端末が使えなくなったときの連絡手段を決めておく

端末が初期化されると、被害に遭った本人が報告する手段そのものが失われます。「連絡がつかない」状態が、報告の遅れとして現れます。別経路での連絡方法を事前に決めておくことが、初動の速さを左右します。

ヤグラの視点 — 訓練のマルチチャネル化：メールを1通も使わずに、600件分の連絡先が出ていった

この事案の経路にメールは登場しません。起点はSMSです。「セキュリティ強化」を口実にした短い文面から偽サイトへ誘導され、従業員がアカウント情報を入力しました。その先で起きたのはメールアカウントの侵害ではなく、Apple Accountの掌握と端末の初期化です。

情報漏えいへの備えは、多くの組織でメールを前提に設計されています。添付ファイルの扱い、宛先の確認、不審メールの見分け方——訓練のシナリオもメールで届く前提で作られます。その設計は、SMSで届いた1通に対して何も働きません。送信元の表示は電話番号で、ドメインもヘッダもなく、本文は数十文字です。しかも受け取るのは業務用携帯で、パソコンの前ではなく移動中や商談の合間です。

攻撃側は、すでにチャネルを広げています。SMS、電話、ポップアップの偽警告、正規サービスを装った通知——人が判断を誤る経路は一つではないという前提で攻めてきます。守る側の訓練がメールに閉じている限り、この差は埋まりません。訓練のシナリオに認証情報の詐取だけでなく、SMSや電話を使った手口、偽の警告から操作を誘導する型まで含める必要があります（→ ヤグラ アウェアネス）。

そして今回、被害者は端末を初期化されています。気づいた本人が、いちばん報告しにくい状態に置かれたわけです。翌日に確認できているのは早い部類ですが、報告経路が端末に依存していないかは、あらかじめ点検しておく価値があります。

今後の対応

• 乗っ取られた後に第三者が行った操作の範囲
• 対象となった顧客への個別連絡の状況
• 業務用端末の管理方法を含む再発防止策の公表内容

更新履歴

日時	内容
2026-08-17	2025年12月25日の公表内容をもとにアーカイブ記事として作成