徳島大学病院、システム侵害で患者1万6945件・職員1933件の個人情報流出可能性

2026/01/06 情報収集中重大医療機関 #不正アクセス

項目	内容
発生日	2025年10月11日〜22日（侵害期間）
対象組織・業界	徳島大学病院
攻撃手法	外部からのシステム侵害（経路は未公表）
情報源	Security NEXT（2026年1月6日）

概要

徳島大学病院は、2025年10月に外部からシステム侵害を受け、患者情報1万6945件（血液検査・尿検査受診者）、職員情報42人分、看護キャリア支援システム登録職員1933人分などが流出した可能性があると2026年1月6日にSecurity NEXTで報道されました。

侵害期間は2025年10月11日〜22日、検知は10月29日、公表は2026年1月6日と、検知から公表まで約2ヶ月を要しています。「流出の痕跡や不正利用などは確認されていない」との説明ですが、可能性としての流出範囲は公表されています。

経緯

2025年10月11日〜22日: 外部からの侵害期間
2025年10月29日: 侵害を検知
外部協力のもとアクセスログ・通信履歴の精査を実施
2026年1月6日: 公表・Security NEXTが報道

原因

侵入経路は「外部より侵害された」との記載のみで、具体的な手法は公表されていません。

考えられる原因（推測）: 大学病院のシステム侵害の典型的経路は、(a) 外部公開されているシステム（患者向けポータル・診療予約・電子カルテの外部連携）の脆弱性悪用、(b) VPN機器の脆弱性悪用、(c) 教職員・医療職員の認証情報を狙ったフィッシング、(d) 業務委託先経由のサプライチェーン侵害、が挙げられます。看護キャリア支援システムに「パスワード」まで含まれた情報が保存されていたという記述から、認証情報が平文または復号可能な形で保存されていた可能性があり、これが二次侵害のリスクを高める要素になります。

対策

組織が学ぶべきこと

1. 医療機関の患者情報＝規制上の要配慮個人情報

本件で流出可能性が示された患者情報1万6945件には、氏名・患者ID・性別・生年月日・検査オーダー情報が含まれます。検査オーダー情報は健康・医療分野の情報として、個人情報保護法上の要配慮個人情報にあたり、通常の個人情報より厳格な取扱いが求められます。医療機関としての説明責任・監督官庁への報告義務は、通常の企業インシデントより一段重い基準で判断されます。

2. 「パスワード」がシステムに保存されていたことの重み

看護キャリア支援システム登録職員1933人分の情報には、「ユーザーID・パスワード」まで含まれていたとされます。パスワードが平文・可逆暗号でシステムに保存されていた場合、他システムでのパスワード使い回しがあれば二次侵害の連鎖が発生します。パスワードは平文保存せず、ハッシュ化（かつソルト付与）で保存するのが基本ですが、業務システムでこれが徹底されていなかった可能性があります。

3. 検知から公表まで約2ヶ月の理由

本件は10月29日検知、1月6日公表と約2ヶ月を要しています。医療機関のインシデントでは、患者への影響有無の確定・関係機関への報告・院内合意形成に時間を要するのが一般的ですが、その間対象患者は自身が流出対象かを知らされていない期間が続きます。公表の速さは対象者保護と、事実確定の慎重さのトレードオフで、そのバランスをどう取るかが問われます。

ヤグラの視点 — 説明責任のログ：医療機関は「範囲」と「未確認」を語る材料を平時から持つ

医療機関のインシデントは、規制監督当局（個人情報保護委員会、厚生労働省、都道府県）への報告義務と、患者・地域社会への説明責任が二重に発生します。本件のように「流出の痕跡は確認されていない」と説明する場合、その根拠となるログ・調査範囲・分析手法を、説明可能な形で保持している必要があります。

「痕跡確認されず」は、(a)アウトバウンド通信ログを見て転送がなかったことを確認した、(b)そもそもログが取れておらず確認できないためデフォルトで「未確認」と表現している、で意味が大きく異なります。前者を主張するには、ネットワーク境界・データベース・認証系のログを平時から包括的に取得し、時系列で相関できる基盤が必要です。

ヤグラの AI SOC は、100以上の連携先ログを集約し、AIによる横断監視・自動封じ込め（検知から初動まで平均数分）を実現します。医療機関のように規制上の説明責任が重い組織にとって、「範囲確定」の材料を平時から積み上げておくことは、事故時の説明責任と、患者・地域社会の信頼を守ることに直結します。

今後の対応

流出の実害（不正利用・二次侵害）の有無、対象患者・職員への通知範囲の確定が焦点です。看護キャリア支援システムに含まれていた認証情報について、他システムでのパスワード変更依頼等の対応が想定されます。

更新履歴

日時	内容
2026-07-30	初稿公開（1月6日Security NEXT報道時点）