日本美容医療研究機構のクラウドサーバにランサム攻撃、患者369人分の情報が流出した可能性

項目	内容
発生日	2026年3月11日午前11時頃
対象組織・業界	日本美容医療研究機構（リゾナスフェイスクリニック東京を運営／美容医療）
攻撃手法	クラウドサーバへのランサムウェア攻撃
情報源	Security NEXT（2026年4月7日）

概要

医療情報の流出は、単なる個人情報漏えいと異なる重みを持ちます。「何のためにその医療機関を受診したか」自体がプライバシー情報であり、美容医療のように「受診事実そのものを知られたくない」ケースが多い分野では、その機微性はさらに高まります。

2026年4月7日、リゾナスフェイスクリニック東京を運営する日本美容医療研究機構は、クラウドサーバがランサムウェア攻撃を受け、患者369人分の情報が流出した可能性があると公表しました。

経緯

• 2026年3月11日 11時頃: 発生
• 同日中: 外部通信を遮断、システムを復旧、サーバ稼働は見合わせ
• その後: 対象患者への個別報告・謝罪を実施、警察相談、厚生労働省・個人情報保護委員会へ報告
• 2026年4月7日: 公表

原因

侵入経路の詳細は公表されていません。

考えられる原因（推測）: 医療機関のクラウドサーバ被害では、(a) 予約管理システムや電子カルテ関連のSaaS認証、(b) リモート保守経路の悪用、(c) スタッフ向けVPNの認証情報漏洩、が典型的な入口です。同機構がクラウド上で運用していたことから、クラウドアカウントの認証情報経路の可能性が最も高いと考えられます。

対策

組織が学ぶべきこと

1. 医療機関の「公表を控える」判断

本件で流出した情報の項目は「詳細の公表を控える」とされています。これは責任回避ではなく、流出項目の詳細を公表すること自体が二次被害を招く（例: 「特定の施術記録が漏れた」と公表することが、対象患者の推測を容易にする）ためです。医療分野特有の説明責任の設計として、他業種にも参考になります。

2. 「システム復旧」と「サーバ再稼働」は別

発生当日にシステムを復旧しつつ、サーバの稼働は見合わせ、という判断は的確です。復旧＝再稼働ではなく、「侵入経路が特定・遮断されるまでは稼働しない」という原則は、二次感染の防止と説明責任の両立に必要です。

3. 厚労省ラインの報告と個情委ラインの報告は別

医療機関は、患者データを扱う点で個人情報保護委員会への報告が求められると同時に、医療機関としての監督省庁である厚生労働省への報告も必要です。両ラインへの報告を並行して進める体制を平時から整えておくことが、有事の対応を遅らせない要件です。

ヤグラの視点 — 医療情報の説明責任と、ログの保全期間

医療機関のインシデントで問われるのは「何が流出したか」以上に、「誰が・いつ・どの範囲にアクセスできたかをログで説明できるか」です。医療機関のログは、平時の監査だけでなく、インシデント時の説明資料としての性質も持ちます。

ヤグラの AI SOC は、システムログを平時から集約・保全し、有事の際に影響範囲を証跡ベースで説明できる体制を支援します。ログの取得だけでなく、その情報を「規制当局への報告書」の粒度で組み立てられる状態を保つことが、医療機関のインシデント対応の質を決めます。

今後の対応

同機構は関係当局への報告と患者への個別対応を完了しており、本件はクローズとして扱います。

更新履歴

日時	内容
2026-07-28	過去アーカイブとして記事化（キュレーション）