シミックヘルスケア・インスティテュート「RAコネクト」で不正アクセス——Web公開領域に置かれた個人情報ファイルが取得される、患者・医療関係者ら計約1,940人分
| 項目 | 内容 |
|---|---|
| 発生日 | 2026年6月15日に不正アクセス発生、7月11日に一部ファイル取得を確認 |
| 対象組織・業界 | 株式会社シミックヘルスケア・インスティテュート（受託研究・患者支援） |
| 攻撃手法 | Web公開領域に配置された個人情報ファイルの取得 |
| 情報源 | シミックヘルスケア・インスティテュート 公式、サイバーセキュリティ.com（2026年7月24日） |
株式会社シミックヘルスケア・インスティテュートは、同社が運営受託する患者支援サービス「RAコネクト」において、第三者による不正アクセスを受け、Webサーバの公開領域に配置されていた個人情報を含むファイルが取得されたと2026年7月24日に公表しました。
漏えいの可能性がある対象は、患者・医療従事者・委託元企業関係者ら合計約1,940人にのぼります。同社は認証情報の変更・アクセス遮断・外部セキュリティ機関による調査を実施済みで、現時点で情報の不正利用や他システムへの影響は確認されていないと説明しています。
- 2026年6月15日: 第三者による不正アクセス発生
- 2026年7月11日: 調査により一部ファイルが取得されていたと判明
- 判明後: システムアクセス遮断、認証情報変更、外部セキュリティ機関による調査を実施
- 2026年7月24日: 公式に公表
公式発表によると、原因はシステムのWeb公開領域に、一部の個人情報を含むファイルが配置されていたことです。攻撃者は本来アクセスされるべきでない領域から、直接ファイルを取得したものと見られます。
対象と情報項目の内訳は次の通りです：
| 対象区分 | 人数 | 情報項目 |
|---|---|---|
| 患者 | 30人 | 氏名、年齢、性別、電話番号、居住都道府県、かかりつけ医療機関名 |
| 患者 | 216人 | メールアドレス |
| 医療従事者 | 1,535人 | 医師名、医療機関名 |
| 委託元企業関係者 | 113人 | 氏名、営業所名 |
| （追加分） | 46人 | 氏名、営業所名、メールアドレス |
考えられる原因（推測）
Section titled “考えられる原因（推測）”以下は公表事実から考えられる仮説であり、シミックヘルスケア・インスティテュートが公表したものではありません。
- 一時ファイル・作業ファイルの置き忘れ: 業務でExcelやCSVを一時的にWebサーバに置いて共有し、削除を忘れる——医療・受託研究の現場では起きやすいパターンです
- アクセス制御未設定のディレクトリ: 本来ベーシック認証や社内IP制限で保護すべき領域が、公開状態のまま放置されていた可能性
- URLが「推測不能なら安全」という誤った前提: URLを知られなければ大丈夫という運用は、ディレクトリリスティング・検索エンジンクロール・過去アクセスログの流通で容易に崩れます
いずれのパターンでも共通するのは、Webサーバの「公開領域」に何が置かれているかを継続的に点検する運用があれば発見できたという点です。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 「Web公開領域に何が置かれているか」を定期棚卸しする: サービス運用の過程で、業務用ファイルが公開ディレクトリに残されるケースは繰り返し発生しています。攻撃者は自動化ツールでこの種のディレクトリを日常的に走査しており、「気づかれない期間」はほぼ存在しません。定期的な公開領域スキャンとファイルインベントリの照合を運用に組み込む必要があります。
2. 個人情報を「そもそも公開領域に置かない」設計原則: 一時的な受け渡しであっても、Web公開領域に個人情報ファイルを置かない運用ルールを徹底することが、この種の事案の根本予防です。共有はクラウドストレージの署名付きURL、社内ファイルサーバ、認証必須の共有システムで行うべきです。
3. 医療情報・患者情報は「取得された時点で戻せない」: 医師名・医療機関名・患者の居住地の組み合わせは、名寄せ後の悪用（標的型営業・詐欺）に転用しやすい情報です。件数が数千件規模でも、情報の質が高いほど「戻せない」性質を持つことを前提に、公開・共有プロセスを組む必要があります。
ヤグラの視点 — 知っていれば防げた、Web公開領域の点検が習慣にあったか
Section titled “ヤグラの視点 — 知っていれば防げた、Web公開領域の点検が習慣にあったか”「Web公開領域に個人情報ファイルを置かない」——このルールは、セキュリティ研修で必ず登場する基礎中の基礎です。それでも本件のような事案が定期的に起きるのは、「知っている」と「習慣として点検している」の間にある距離を組織が埋めきれていないからです。原因が「知らなかった」なら教育で対処できますが、多くの場合は「知っていたが、点検の仕組みがなかった」「一時的な運用が恒久化した」という構造で発生します。研修や規程で対処するのではなく、公開領域のスキャン・変更検知を運用フローに埋め込み、置かれてはならないファイルの存在自体を継続的に監視する仕組みが必要です。「知っている」に頼らず「見える化」で守る——これがWeb公開領域の管理を巡る本質的な学びです。（関連: ヤグラ AI SOC）
対象者への通知進捗、他システムへの影響有無、Web公開領域設定の改修状況に関する続報を注視し、判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-07-28 | 第一報を公開 |