藤田医科大学病院、看護師の自宅私物PCがサポート詐欺で遠隔操作 — 患者1,365件の病名・検査データが流出の可能性

項目	内容
発生日	2026年5月25日（被害発生）
対象組織・業界	藤田医科大学病院（大学附属病院）
攻撃手法	サポート詐欺（偽警告画面 → 電話誘導 → 遠隔操作ソフトによる端末操作）
情報源	Security NEXT（2026年6月12日）

概要

藤田医科大学病院は、同院の看護師が自宅の私物パソコンでウェブサイトを閲覧中にサポート詐欺に遭い、端末が第三者に遠隔操作された結果、患者1,365件の個人情報が流出した可能性があることを公表しました。

流出した可能性がある情報は、氏名、性別、生年月日、病名、入退院日、検査データです。病名・検査データという診療情報を含むため、要配慮個人情報にあたります。

被害の発生は2026年5月25日。同院は対象となる患者への報告と謝罪を実施しており、被害は当該私物パソコンに限定され、病院のカルテシステムへの影響は否定しています。

経緯

• 2026年5月25日: 看護師が自宅の私物パソコンでウェブサイトを閲覧中、警告音とともに偽の警告画面が表示される
• 画面に記載された連絡先に電話で連絡し、相手の指示に従って操作。結果として端末が遠隔操作される状態になる
• 当該端末に保存されていた患者1,365件分の個人情報が、第三者に閲覧・取得されうる状態にあったことが判明
• 同院が調査を実施。被害は当該私物パソコンに限定され、カルテシステムへの影響はないと確認
• 対象となる患者に対して報告と謝罪を実施
• 2026年6月12日: 事案が報じられる

原因

直接の原因は、サポート詐欺の偽警告画面にだまされ、記載された連絡先に自ら連絡し、指示に従って遠隔操作を許したことです。同院はこの経緯を明確に説明しています。

一方で、より本質的な要因は別にあります。なぜ病院外の私物パソコンに、患者1,365件分の氏名・病名・検査データが保存されていたのかという点です。この点について、データがどのような経緯で私物端末に移されたのか（USBメモリ経由か、メール添付か、クラウドストレージ経由か）、業務上必要な作業だったのか、院内規程がどう定められていたのかは、公表内容からは明らかにされていません。

考えられる原因（推測）: 医療機関で業務データが私物端末に渡る経路として典型的なのは、(a) 学会発表・研究・院内資料の作成を自宅で行うために、症例一覧やデータセットを持ち出した、(b) 勤務シフト・業務効率上の理由で、集計作業を自宅で継続していた、(c) 過去の作業で使ったデータが削除されずに端末に残り続けていた、といったものです。1,365件という件数からは、個別患者への対応で必要だった記録ではなく、集計・分析目的で抽出された一覧データであった可能性が考えられます。仮に (c) のように「過去の作業データの残置」であれば、被害の直接原因はサポート詐欺であっても、リスクを生んだのは数か月〜数年前のデータ持ち出しとその放置ということになります。

なお、サポート詐欺の被害では、遠隔操作中に攻撃者が実際にどのファイルを閲覧・持ち出したかを特定することが困難です。同院が「流出した可能性」という表現を使っているのは、この点を踏まえた表現と考えられます。

対策

組織が学ぶべきこと

1. 「カルテシステムに影響なし」は安心の根拠にならない

同院はカルテシステムへの影響を否定しており、これは重要な事実です。しかし患者から見れば、自分の病名と検査データが第三者に渡った可能性があるという結果は変わりません。基幹システムの防御が成功していても、そこから抽出されたデータが管理外の端末にある限り、防御線は迂回されます。基幹システムのアクセス制御・監査ログを固めることと、そこから出ていくデータを制御することは、別の課題です。

2. データが端末に「あった」ことが被害の量を決めた

サポート詐欺の被害そのものは、個人の端末が遠隔操作されたという事象です。ここに患者データが1件も入っていなければ、被害は当該職員の個人情報に留まりました。被害規模を1,365件にしたのは、攻撃者の技量ではなく、端末上にあったデータの量です。ここから導かれる対策は明快で、①業務データの院外持ち出しを原則禁止する、②必要な場合は院内の仮想デスクトップ等でデータを端末に落とさずに作業させる、③持ち出しが不可避なら期限を定めて確実に削除する、という3点です。

3. 私物端末（BYOD）は「禁止している」で終わらせられない

多くの医療機関で私物端末による業務データ取扱いは規程上禁止されています。しかし禁止規程だけでは、実際の運用は変わりません。夜勤明けや休日に資料をまとめる必要がある、院内端末が足りない、リモートで作業する手段が整っていない——こうした業務上の必要が残っている限り、抜け道は使われ続けます。規程で禁じるのではなく、「院内の正規手段のほうが便利」な状態を作ることが、実効性のある対策です。

4. サポート詐欺は「知識」で止まる攻撃である

サポート詐欺には技術的な脆弱性の悪用がありません。偽の警告画面を表示し、電話をかけさせ、遠隔操作ソフトを自分でインストールさせる——すべて被害者の操作によって成立します。逆に言えば、「OSやセキュリティソフトの警告に電話番号が書かれていることは絶対にない」という一点を知っているだけで成立しない攻撃です。この一点を、全職員が業務時間外の私物端末利用まで含めて知っている状態にできるかが分岐点になります。

ヤグラの視点 — 攻撃面の拡張：守備範囲は、職員の自宅のリビングまで伸びている

セキュリティの守備範囲を考えるとき、病院という組織は「院内のネットワーク」「電子カルテ」「医療機器」を境界として設計されます。本件が示したのは、その境界の外——職員の自宅にある私物パソコンが、患者1,365件分の診療情報を抱えた資産になっていたという事実です。院内のどれだけ強固な防御も、この端末には届きません。

攻撃面（アタックサーフェス）の拡張は、通常はクラウドの利用、委託先との接続、海外拠点といった文脈で語られます。しかし医療機関のような労働集約的な現場では、「職員が業務を持ち帰る」という日常の運用そのものが攻撃面を拡げます。しかもこの拡張は、資産管理台帳にもネットワーク構成図にも現れません。誰の家のどのパソコンに、どの患者のデータが、いつから置かれているのか——組織はそれを知る手段を持たないまま、そこにリスクを抱えています。

この見えない拡張を縮める方法は、技術と教育の両方が必要です。技術的には、データを端末に落とさない作業環境（画面転送型のリモートアクセス）と、持ち出し経路そのものの制限。しかしそれだけでは、業務の必要が抜け道を作ります。だからこそ、「なぜ持ち帰ってはいけないのか」を、規程の条文ではなく自分の身に起こる話として理解している職員が必要になります。

そして本件の起点は、サポート詐欺という「人を騙す攻撃」でした。インシデントの原因の74%は人的要因とされます。生成AIによって「人を騙す能力」が急上昇している一方で、多くの組織の訓練は形骸化したままです。サポート詐欺は、メールを一切使いません。ウェブ閲覧中に突然表示される警告音つきのポップアップと、電話という2つのチャネルで完結します。メール訓練だけを年1回実施している組織では、この経路に対する備えはゼロです。→ ヤグラ アウェアネス（認証情報詐取・SMS/電話・ClickFix型を含むマルチチャネル型の訓練）

さらに、偽警告に遭遇した職員が「これは詐欺かもしれない」と思った瞬間に、迷わず報告できる経路があるかどうかも被害の分かれ目です。本件のように自宅・私物端末で起きた出来事は、「業務外だから報告しづらい」という心理的ハードルが働きます。報告を1クリックまで下げ、メールに限らずポップアップ警告や電話といった複数チャネルの攻撃を報告・分析でき、AIが平均2分で危険度と影響範囲を返す仕組みは、この躊躇を埋めるための実装です。→ PhishAI

今後の対応

同院は対象患者への報告・謝罪を完了し、被害は当該私物パソコンに限定されるとしています。監視ポイントは、流出した可能性のある診療情報の二次利用（患者を装った問い合わせ、医療費・保険を口実にした接触など）の発生有無、および個人情報保護委員会への報告対応の状況です。組織としては、業務データの院外持ち出しに関する規程と、それを実行可能にする代替手段の整備が課題として残ります。

更新履歴

日時	内容
2026-08-04	アーカイブとして初稿作成（2026年6月12日報道時点）。DBの category: 情報漏えい を、起因に対応する サポート詐欺 に変換