札幌柏葉会病院の旧ドメインを第三者が取得、病院をかたるメールや偽サイトに注意

札幌柏葉会病院は2026年7月30日、過去に使用していたドメイン「kashiwaba-nougeka.or.jp」が、現在は同院と関係のない第三者に取得されているとして注意を呼びかけました。旧ドメインを使ったWebサイトやメールアドレスから、病院をかたる不審なメールが発信される可能性があります。現在の正規ドメインは「hakuyo-kai.or.jp」です。本件は札幌柏葉会病院のサーバーやシステムがサイバー攻撃を受けたものではなく、個人情報漏洩が確認された事案でもありません。一方、過去に医療機関が実際に使用していたドメインには一定の信頼が残るため、患者や取引先が偽の予約案内、請求、本人確認などを正規の連絡と誤認する危険があります。

札幌柏葉会病院の旧ドメイン第三者取得に関する概要サマリー

• 札幌柏葉会病院は2026年7月30日、旧ドメインに関する注意喚起を公表しました
• 対象は、過去に同院が利用していた「kashiwaba-nougeka.or.jp」です
• 旧ドメインは現在、札幌柏葉会病院と関係のない第三者が取得しています
• 旧ドメインを使ったWebサイトやメールアドレスから、病院をかたる不審なメールが発信される可能性があります
• 現在の正規ドメインは「hakuyo-kai.or.jp」です
• 公式Webサイトは「hosp.hakuyo-kai.or.jp」で公開されています
• 旧ドメインから実際に不審メールが送られた件数や、偽サイトが確認されたかは公表されていません
• 本件は札幌柏葉会病院のサーバーやシステムへのサイバー攻撃ではありません
• 病院からの個人情報漏洩が確認された事案でもありません
• 旧ドメインを第三者が取得すると、同じドメインのメールアドレスを新たに作成できる可能性があります
• 第三者が正規にメール認証を設定した場合、SPFやDKIMの検証を通過するメールを送れる可能性があります
• 患者や取引先は、Webサイトとメールのドメインが現在の「hakuyo-kai.or.jp」であることを確認する必要があります
• 病院や医師をかたる予約、検査結果、診療費、採用、請求書変更などの連絡に注意が必要です
• 企業や医療機関は、利用終了後のドメインを安易に手放さず、一定期間保持する運用が必要です

項目	内容
公表日	2026年7月30日
注意喚起元	札幌柏葉会病院
対象	過去に使用していた旧ドメイン
旧ドメイン	kashiwaba-nougeka.or.jp
現在の正規ドメイン	hakuyo-kai.or.jp
現在の公式Webサイト	hosp.hakuyo-kai.or.jp
事案の内容	旧ドメインを病院と無関係の第三者が取得
想定される悪用	偽サイト、なりすましメール、フィッシング、請求詐欺
不審メールの確認件数	未公表
偽サイトの確認状況	未公表
個人情報漏洩	病院からの漏洩は確認されていない
サイバー攻撃	病院のサーバーやシステムへの攻撃ではない
患者・取引先の対応	Webサイトとメールが現在の正規ドメインか確認
病院の対応	公式サイトで注意喚起
個人情報保護委員会への報告	個人情報漏洩事案ではなく、公表資料に記載なし

旧ドメインが病院と無関係の第三者の管理下に

札幌柏葉会病院によると、過去に使用していた「kashiwaba-nougeka.or.jp」は、現在は同院と一切関係のない第三者が取得しています。

病院は、旧ドメインを使用したWebサイトや、旧ドメインを含むメールアドレスから、同院をかたる不審なメールが発信されるリスクがあると説明しました。

注意喚起の時点で、旧ドメインを使った不審メールが実際に送信された件数、偽サイトの内容、被害申告は公表されていません。

第三者による取得が判明したため、悪用される前に患者や取引先へ注意を促したものとみられます。

旧ドメインには危険が伴うため、本記事からリンクは設定しません。過去のブックマーク、メール、文書、検索結果などに旧URLが残っている場合はアクセスせず、現在の公式サイトを確認してください。

現在の正規ドメインはhakuyo-kai.or.jp

札幌柏葉会病院が現在使用している正規ドメインは「hakuyo-kai.or.jp」です。

公式Webサイトは「hosp.hakuyo-kai.or.jp」で公開されています。

メールについても、ドメイン部分が現在の「hakuyo-kai.or.jp」であるかを確認するよう、病院は患者と取引先へ呼びかけています。

メールアドレスは「@」より後ろがドメインです。

例えば、次のように確認します。

正規ドメインの例
[email protected]

旧ドメイン
[email protected]

ただし、正規ドメインに見えることだけでメールの安全性を完全に判断できるわけではありません。

差出人欄の表示だけを変更する送信元偽装や、正規ドメインに似せた別のドメインが使われる可能性もあります。本文の内容、リンク先、添付ファイル、要求される操作を含めて確認する必要があります。

病院へのサイバー攻撃や個人情報漏洩ではない

札幌柏葉会病院は、本件について、同院のサーバーやシステムがサイバー攻撃を受けたものではないと明記しています。

患者情報や診療情報などの個人情報漏洩が発生したとの発表もありません。

旧ドメインが第三者の管理下へ移ったことと、病院の現在のシステムへ不正アクセスされたことは別の問題です。

今回の注意喚起だけを根拠に、電子カルテ、予約システム、院内ネットワーク、メールサーバーが侵害されたと判断することはできません。

一方、第三者が旧ドメインを利用して患者から認証情報や個人情報を集めた場合、将来的に別のサービスへの不正アクセスや個人情報漏洩につながる可能性があります。

現在の病院システムが侵害されていないからといって、旧ドメインの悪用リスクを軽視すべきではありません。

廃止したドメインは一定期間後に再登録できる

ドメイン名は、Webサイトやメールの所在地を示す識別子です。

登録者が更新を止めてドメインを廃止すると、所定の期間を経た後、第三者が新たに登録できる状態になる場合があります。

再登録できる瞬間を狙って第三者が取得する行為は、一般にドロップキャッチと呼ばれます。

JPRSは、廃止したドメインであっても、他サイトからのリンク、検索エンジンの評価、ブックマークなどが残るため、第三者に取得され、詐欺サイトや誹謗中傷サイトなどへ悪用される可能性があると注意しています。

第三者が再登録可能な状態にあるドメインを取得すること自体は、直ちに不正アクセスを意味しません。

問題になるのは、過去の利用者との関係を誤認させたり、ロゴや名称を無断使用したり、フィッシングや詐欺に利用したりする場合です。

セキュリティ対策Labでは、名古屋市が廃止済みドメインの第三者取得を公表した事案も取り上げています。

自治体、病院、金融機関、企業などが過去に使用したドメインは、一般的な新規ドメインよりも利用者から信用されやすく、悪用された場合の影響が大きくなります。

旧ドメインのメールはSPFやDKIMを通過する可能性

旧ドメインを第三者が正式に取得すると、その第三者はドメインのDNS設定を管理できます。

DNSへメールサーバーの情報やSPF、DKIM、DMARCを設定すれば、旧ドメインを送信元とするメールを実際に配信できる可能性があります。

これは、差出人欄だけを偽装する単純ななりすましメールとは異なります。

第三者が現在の管理者としてメール認証を正しく設定していた場合、受信側ではSPFやDKIMが成功する可能性があります。

つまり、「メール認証に成功しているから、過去の病院が送信した正規メール」とは判断できません。

SPFやDKIMが確認するのは、そのメールが現在のドメイン管理者によって許可されたサーバーから送られたかどうかです。過去にそのドメインを利用していた組織との関係までは保証しません。

受信者は、ドメインが過去のものではなく、現在病院が案内している「hakuyo-kai.or.jp」であるかを確認する必要があります。

企業のメールセキュリティ担当者も、旧ドメインからのメールをSPFやDKIMの結果だけで許可せず、送信元の業務上の必要性を確認してください。

同じメールアドレスを再現されるリスク

旧ドメインがメールに使われていた場合、第三者は「info@」「contact@」「recruit@」など、過去に存在した可能性があるメールアドレスを新たに作成できます。

過去の名刺、採用ページ、論文、医療機関一覧、取引先のアドレス帳などにメールアドレスが残っていれば、受信者が以前からの正規連絡先だと誤認する可能性があります。

JPRSは、廃止されたドメインを第三者が登録し、同じメールアドレスを作って、素性を偽ったメールへ悪用する可能性があると説明しています。

さらに、旧メールアドレスを外部サービスのログインIDやパスワード再設定先として残していると、第三者がパスワード再設定メールを受信し、アカウントを乗っ取る危険があります。

対象となり得るのは、SNS、クラウドサービス、医療関連システム、採用サービス、ドメイン管理、オンラインストレージ、業務SaaSなどです。

旧ドメインを廃止する前に、登録先サービスのメールアドレスをすべて変更する必要があります。

患者を狙ったフィッシングの可能性

医療機関の旧ドメインが悪用された場合、患者が正規の連絡と誤認しやすい内容が使われる可能性があります。

想定される不審な連絡には次のようなものがあります。

• 診療予約の変更やキャンセルを通知する
• WEB予約の再登録を求める
• 検査結果や画像データの確認を案内する
• 医療費や未払い料金の支払いを求める
• 保険証やマイナンバーカードの再登録を求める
• 電子カルテや患者ポータルへのログインを求める
• 健康診断や脳ドックの案内を装う
• 紹介状や診療情報を添付ファイルとして送る
• 医師や看護師を名乗って個人情報を聞き出す
• 緊急連絡を装って家族情報を確認する

メールに病院名、診療科名、所在地、代表電話番号などの正しい情報が含まれていても、正規メールである証拠にはなりません。

公開情報を組み合わせれば、第三者でも本物らしいメールを作成できます。

受信したメールから予約や支払いの確認を求められた場合は、メールへ返信せず、札幌柏葉会病院の現在の公式サイトに掲載された代表番号から確認してください。

取引先を狙った請求書詐欺にも注意

旧ドメインは患者だけでなく、医療機器メーカー、医薬品卸、委託事業者、紹介元医療機関などの取引先を狙う詐欺にも悪用される可能性があります。

攻撃者が病院の担当者や経理部門を装い、次のような連絡を送ることが考えられます。

• 振込先口座の変更
• 請求書の再発行
• 未払い請求の確認
• 発注内容や納品先の変更
• 医療機器の緊急手配
• 添付ファイルによる見積書や発注書の送付
• クラウドストレージへのログイン要求
• 取引先情報の再登録
• 電子契約への署名依頼
• 担当者変更の通知

過去に使われていたドメインであれば、取引先のメールシステムやアドレス帳に登録されている可能性があります。

振込先、発注、契約、納品先の変更は、メールだけで完結させず、現在の公式サイトや既存の台帳に記録された電話番号で確認してください。

セキュリティ対策Labのヴィンクス旧サービスドメインが第三者に取得された事案でも、廃止ドメインを手放した後の監視と、問い合わせ窓口への情報共有の必要性を整理しています。

旧URLへのリンクとブックマークを更新する

患者、取引先、医療関係者は、旧ドメインのURLをブックマークしている場合、現在の公式サイトへ更新してください。

組織のWebサイト、社内ポータル、医療機関一覧、取引先台帳、マニュアル、メールテンプレートに旧URLが残っていないかも確認が必要です。

古いPDF、パンフレット、名刺、掲示物、過去のニュース記事などは、インターネット上や社内ファイルサーバーに長期間残ります。

可能な範囲で旧URLを削除・変更し、修正できない文書については、旧ドメインが現在は無関係であることを周知してください。

検索エンジンに旧サイトの情報が残っている場合もあります。検索順位の上位に表示されたことだけで公式サイトと判断せず、ドメインを確認します。

不審メールを受信した場合の対応

旧ドメインを含むメールを受信しても、本文のURLや添付ファイルを開かないでください。

病院に関する正規の案内か確認する場合は、メール本文に書かれた電話番号を使わず、現在の公式サイトから連絡先を調べます。

情報を入力していない場合は、メールを削除します。

業務用メールで受信した場合は、削除前に情報システム部門やセキュリティ窓口へ報告してください。送信元、メールヘッダー、リンク先、添付ファイルを分析し、同じメールの受信状況を確認できます。

フィッシングサイトでパスワードを入力した場合は、正規サイトから直ちに変更し、同じパスワードを使用している他のサービスも変更します。

多要素認証を有効にし、ログイン履歴、転送設定、登録端末、アプリパスワードを確認してください。

クレジットカード情報や銀行情報を入力した場合は、カード会社や金融機関へ連絡します。

マイナンバーカード、保険証、運転免許証などの画像を送った場合は、警察や消費生活センター、関係する発行機関への相談も検討してください。

医療機関がドメインを長期保持すべき理由

医療機関のドメインは、患者との連絡、紹介状、採用、学会活動、研究、取引、請求など、長期間にわたり多くの場所で使われます。

一度利用を終了しても、過去のメール、文書、論文、Webアーカイブ、名刺、取引先のアドレス帳から完全に消えることはありません。

JPRSは、廃止ドメインが第三者に再登録されると、Webサイトの信用や残存リンクを悪用される可能性があるため、廃止前の周知、メールアドレスを登録したサービスの変更・削除を推奨しています。

組織名変更やWebサイト移転を理由に旧ドメインが不要になっても、一定期間は保持し、旧Webサイトから新サイトへ転送する方法が有効です。

転送期間の終了後も、ドメイン自体を保持したまま、Webとメールを停止して悪用を防ぐ運用が考えられます。

年間の更新費用だけで判断せず、患者の安全、ブランド保護、なりすまし防止に必要な管理資産として扱う必要があります。

情報システム部門への示唆

ドメインはWeb担当者だけが管理する広報資産ではなく、メール、認証、クラウド、証明書、取引先連絡に関わるセキュリティ資産です。

情報システム部門は、現在利用中のドメインだけでなく、過去に使ったドメイン、キャンペーン用ドメイン、採用サイト用ドメイン、委託先が取得したドメインも台帳へ登録してください。

実務上は次の対応が必要です。

• 現在利用中と廃止予定の全ドメインを棚卸しする
• 登録者、管理事業者、更新期限、用途、責任者を台帳化する
• 自動更新と複数担当者への期限通知を設定する
• 退職者個人のアカウントやカードで更新しない
• ドメイン廃止には情報システム、広報、法務、経理の承認を必要とする
• 廃止前にWeb、メール、DNS、証明書、外部サービスとの依存関係を確認する
• 旧メールアドレスを使ったSaaSやSNSの登録を変更する
• 旧ドメインのTLS証明書やAPI連携を無効化する
• 旧サイトから新サイトへの転送期間を設ける
• 不要になっても一定期間はドメイン登録を維持する
• 手放したドメインの再登録状況と利用内容を監視する
• 検索結果、外部リンク、PDF、名刺、パンフレットの旧URLを更新する
• 旧ドメインからのメールをメールゲートウェイで警告・隔離する
• 取引先と患者向け窓口へ旧ドメインの情報を共有する
• なりすましを確認した場合の注意喚起と削除依頼手順を整備する

メールゲートウェイでは、旧ドメインを既知の注意対象として登録し、受信時に警告を表示するか隔離する方法があります。

ただし、過去のメールを参照する必要がある場合や、第三者が正当な用途で取得している場合もあるため、送信元ドメインだけを根拠に一律削除する運用は慎重に行ってください。

現在の正規ドメインにはSPF、DKIM、DMARCを適切に設定し、DMARCレポートからなりすまし送信の状況を監視します。

旧ドメインと似た文字列のドメインが新たに登録されていないかを確認するブランド監視も有効です。

ドメインを手放した後は、元の組織がDNSやメール設定を変更できません。問題が起きてから回収できるとは限らないため、廃止前の判断が最も重要です。

札幌柏葉会病院の事案は、現在のシステムへの侵害や個人情報漏洩ではありません。一方、旧ドメインに残る信頼が、患者や取引先へのフィッシングに悪用される可能性を示しています。

出典

• 当院旧ドメインについての注意喚起 – 札幌柏葉会病院
• ドメイン名の廃止に関する注意 – JPRS
• ドメイン名廃止後のトラブルやリスクに今年も注目が集まる – JPRS
• 名古屋市、廃止済みドメインの第三者取得を公表 – セキュリティ対策Lab
• 株式会社ヴィンクスの旧サービスドメインが第三者に取得されサポート詐欺サイトへ誘導 – セキュリティ対策Lab
• ロート製薬の旧DRXサイトURLが不正サイトへ転送、旧ドメイン管理の盲点が顕在化 – セキュリティ対策Lab