マツダ病院、画像診断の委託先クラウドで患者626人分が閲覧可能に — 露出は約1年8カ月、病院への報告はその1年2カ月後

項目	内容
発生日	2023年4月上旬（委託先がクラウド保存時に共有設定を誤る）
判明日	2024年11月下旬（委託事業者が設定不備に気づき調査開始）
委託先による修正	2024年12月中旬
病院への報告	2026年2月16日
公表日	2026年5月11日
対象組織・業界	マツダ病院（マツダ株式会社が設置する企業立病院）／医療
事象	画像診断業務の委託事業者によるクラウドのファイル共有設定不備
影響件数	626人（2021年2月〜3月にCT・MRI・RI撮影を受けた患者）
情報源	Security NEXT（2026年5月11日）

概要

マツダ病院は2026年5月11日、画像診断業務を委託していた事業者において、患者管理データをクラウドに保存する際のファイル共有設定に不備があり、アクセス制限が行われないまま第三者が閲覧できる状態になっていたことを公表しました。

対象となったのは、2021年2月から3月にかけてCT・MRI・RI撮影を受けた患者626人分のデータです。含まれていたのは、患者氏名（ローマ字またはカタカナ表記）、患者ID、撮影日、撮影種別、部位、部位数でした。撮影画像・検査結果・病名は含まれていません。

委託事業者がこのデータをクラウドへ保存したのは2023年4月上旬で、設定不備に気づいて調査を開始したのは2024年11月下旬、共有設定を修正したのは2024年12月中旬です。マツダ病院に報告が届いたのは、それからさらに1年2カ月後の2026年2月16日でした。二次被害は確認されておらず、対象患者への個別通知が実施されています。

経緯

• 2021年2月〜3月: 対象患者626人がCT・MRI・RI撮影を受診
• 2023年4月上旬: 画像診断の委託事業者が患者管理データをクラウドへ保存。この際、ファイル共有設定に不備があり、アクセス制限がかからない状態となる
• 2024年11月下旬: 委託事業者が設定不備に気づき、調査を開始
• 2024年12月中旬: 委託事業者がファイル共有設定を修正。露出状態は解消
• 2026年2月16日: 委託事業者からマツダ病院へ報告
• 2026年5月11日: マツダ病院が公表。対象患者への個別通知を実施。二次被害は確認されず

原因

公表されている原因は、委託事業者がクラウドへデータを保存する際のファイル共有設定の不備です。アクセス制限が設定されておらず、URLを知る第三者が内容を閲覧できる状態になっていました。攻撃者による侵入や不正アクセスの痕跡は報告されていません。

考えられる原因（推測）: クラウドストレージの共有設定は、多くのサービスで「リンクを知っている全員が閲覧可」がワンクリックで選べる位置に置かれています。組織外との受け渡しを日常的に行う業務では、この設定が最も摩擦の少ない選択肢になりやすく、いったんその手順が定着すると、扱うデータが業務用の一時ファイルから患者管理データに変わっても手順だけが引き継がれる、という経路が考えられます。

露出が1年半以上続いたのちに委託事業者側が自ら気づいた経緯からは、共有設定を定期的に棚卸しする仕組みが存在しなかった可能性がうかがえます。また、修正から病院への報告まで1年2カ月を要していることからは、この事象が委託事業者の社内でインシデントとして起票され、報告義務の判定にかけられるまでに時間を要した可能性が考えられます。いずれも推測であり、公表されているのは設定不備という事実と各時点の日付までです。

対策

組織が学ぶべきこと

1. 委託先のクラウド設定は、委託元の管理画面には映らない

この事案で露出していたのは、マツダ病院のシステムではなく、委託事業者のクラウド上のファイルでした。病院側がどれだけ自院のアクセス権限を厳格に運用していても、この露出は自院の管理画面には一切現れません。委託先が業務データをどこに置き、どの共有設定で扱っているかは、契約と点検でしか把握できない領域です。医療情報を外部に出す業務では、保存先の種別（オンプレか、クラウドか、どのサービスか）と共有設定の既定値まで、仕様書のレベルで確認しておく必要があります。

2. 「画像は含まれていない」ことの意味を、正しく評価する

今回漏えいしたのは氏名・患者ID・撮影日・撮影種別・部位です。診断結果も病名も含まれていません。この点は被害の抑制要因として重要です。しかし「誰が、いつ、どの部位を、どの装置で撮影したか」という組み合わせは、それ自体が受診事実の記録です。撮影部位からは検査の目的がある程度推測されます。病名が含まれていないことは、機微性がないことを意味しません。

3. 報告の遅れは、委託元の説明可能性を直接損なう

委託事業者が露出を修正したのは2024年12月です。その時点で危険な状態は解消されていました。しかし病院が事実を知ったのは2026年2月であり、その間、病院は患者に対して「あなたの情報は安全でした」と説明できる根拠を持たないまま診療を続けていたことになります。委託契約におけるインシデント報告条項は、「重大な事故が起きたら速やかに」といった抽象的な文言では機能しません。何を事故とみなすか、いつまでに一次報を上げるかを具体的に定義しておかなければ、報告の判断は委託先の裁量に委ねられます。

ヤグラの視点 — 発見までの時間：直っていたことと、知られていたことは違う

この事案の時間軸は、二段構えになっています。

一段目は、2023年4月から2024年12月までの約1年8カ月、患者626人分のデータが誰でも閲覧できる状態に置かれていたという事実です。この間、誰かがアクセスしたかどうかを事後に確定させることは、多くのクラウドサービスの標準ログ保持期間を考えれば容易ではありません。二次被害が確認されていないという発表は、被害がなかったことの証明ではなく、確認された被害がないという意味です。この差は、患者への説明において決定的に重要です。

二段目は、修正から報告までの1年2カ月です。技術的には、2024年12月の時点で露出は止まっていました。にもかかわらず、この事案が「まだ終わっていなかった」のは、委託元がそれを知らなかったからです。委託元にとってのインシデントは、危険な状態が解消した時点ではなく、自分がその事実を知り、対象者に説明できる状態になった時点で初めて対応可能になります。

侵入から検知までの時間差が被害規模を決める、というのは技術的侵害の文脈でよく語られます。しかし委託先が絡む事案では、そこに「委託先が気づいてから委託元が知るまでの時間差」という第二のギャップが加わります。前者は監視で縮められますが、後者を縮められるのは契約と関係性だけです。

前提に置くべきなのは、委託先も間違えるし、間違いに気づいたときには「どこまで報告すべきか」で迷うという事実です。迷いが生じたときの既定動作を、「まず一次報を上げる」に倒しておく。そのために、報告のトリガーを委託先が判断せずに済むよう、事象の類型と報告期限を仕様書に列挙しておく。この設計がないまま「速やかに報告すること」と書いても、実務では今回のような間隔が生まれ得ます。

今後の対応

委託事業者による共有設定の修正は完了しており、露出状態は解消しています。マツダ病院は対象患者626人への個別通知を実施済みで、二次被害は確認されていません。委託先管理体制の見直しに関する追加公表が想定されます。

更新履歴

日時	内容
2026-05-11	初稿公開（公表日時点）