旭化成セラピューティクスとシミックヘルスケア・インスティテュート、不正アクセスで患者サポートプログラム「RAコネクト」で個人情報漏洩|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月27日更新日時: 2026年07月27日

旭化成セラピューティクス株式会社とシミックヘルスケア・インスティテュート株式会社（CHI）は2026年7月24日、関節リウマチ治療薬「ケブザラ」の患者サポートプログラム「RAコネクト」において、患者・医療従事者・従業員の個人情報が漏洩したと同時に公表しました。原因は、プログラムの運営を受託していたCHIのシステムにおいて、Web公開領域に配置されていた一部ファイルが第三者による不正アクセスを受けたことです。漏洩の対象は患者246名、医療従事者1,535名、旭化成セラピューティクス従業員159名の計1,940名にのぼります。不正アクセスの発生は2026年6月15日で、CHIが漏洩を確認したのは7月11日、旭化成セラピューティクスへの報告は7月13日でした。旭化成セラピューティクスは、本件がデータの取り扱いおよびアクセス制御に関する運用上の不備と、確認・監督体制が十分に機能していなかったことに起因すると説明しています。

サマリー

2026年7月24日、旭化成セラピューティクスとシミックヘルスケア・インスティテュート（CHI）が同時に個人情報漏洩を公表
対象は関節リウマチ治療薬「ケブザラ」の患者サポートプログラム「RAコネクト」
漏洩人数は計1,940名（患者246名、医療従事者1,535名、旭化成セラピューティクス従業員159名）
原因はCHIのシステムにおけるWeb公開領域に配置された一部ファイルへの第三者による不正アクセス
旭化成セラピューティクスはデータ取扱い・アクセス制御の運用上の不備と確認・監督体制の不全に起因すると説明
2026年6月15日に不正アクセス発生、7月11日にCHIが漏洩を確認、7月13日に委託元へ報告、7月24日に公表
患者情報には氏名・年齢・性別・電話番号・かかりつけ医療機関名が含まれ、疾患の推知が可能な要配慮性の高い内容
現時点で不正利用等は確認されていないが、なりすまし等の二次被害への注意喚起を実施

項目	内容
公表日	2026年7月24日（両社同時）
委託元	旭化成セラピューティクス株式会社（東京都千代田区）
委託先	シミックヘルスケア・インスティテュート株式会社（CHI）
対象プログラム	関節リウマチ治療薬「ケブザラ」患者サポートプログラム「RAコネクト」
不正アクセス発生日	2026年6月15日
CHIによる漏洩確認日	2026年7月11日
委託元への報告日	2026年7月13日
原因	Web公開領域に配置された一部ファイルへの第三者による不正アクセス
漏洩人数	計1,940名
二次被害	現時点で不正利用等は確認されていない
問い合わせ窓口	0120-63-2001／[email protected]（平日9:00〜20:00）

漏洩した情報の内訳

両社が公表した漏洩情報の内訳は次の通りです。

区分	漏洩した個人情報	人数
患者	氏名、氏名のカナ、年齢、性別、電話番号、お住まいの都道府県、かかりつけ医療機関名	30名
患者	メールアドレス（その他の情報を含まないもの）	216名
医療従事者	医師名、医療機関名	1,535名
旭化成セラピューティクス従業員	氏名、営業所名	113名
旭化成セラピューティクス従業員	氏名、営業所名、メールアドレス	46名

両社とも、上記以外の情報について漏洩は確認されていないとしています。

何が起きたか――Web公開領域に置かれたファイルへの不正アクセス

CHIの発表によると、2026年6月15日にRAコネクトの運営に使用しているシステムにおいて第三者による不正アクセスが発生しました。CHIが調査を進めた結果、7月11日にWeb公開領域に配置されていた一部ファイルに含まれる個人情報の一部が第三者に取得されていたことを確認しています。

CHIは判明後直ちに当該システムへのアクセスを遮断し、認証情報の変更等のセキュリティ対策を実施したうえで、外部のセキュリティ専門機関による詳細な調査を行いました。調査は完了しており、対象となった情報および影響範囲を特定したとしています。また本件は当該システムに限定した事象であり、他のシステムにおいては同様の事象は確認されていないと説明しています。

旭化成セラピューティクスがCHIから報告を受けたのは7月13日でした。同社は本件について、本プログラムの運営におけるデータの取り扱いおよびアクセス制御に関する運用上の不備と、確認・監督体制が十分に機能していなかったことに起因するものであることが判明したと説明しています。原因となったデータの取扱いおよびアクセス制御上の不備については既に是正措置を講じており、現時点で同一の経路による追加の情報流出は確認されていないとのことです。

ネットワークエンジニア・サーバーサイドエンジニアとしてWebシステムの構築・運用に携わってきた経験から見ると、両社の表現の違いは注目に値します。CHIは「第三者による不正アクセス」という表現を用いていますが、旭化成セラピューティクスは「データの取り扱いおよびアクセス制御に関する運用上の不備」と、より原因側に踏み込んだ説明をしています。Web公開領域、すなわちインターネットから到達可能なディレクトリに個人情報を含むファイルが配置されていたという事実は、外部からの高度な侵入というより、本来非公開であるべきファイルの配置場所と権限設定の誤りに起因する構図です。この種の事案では、攻撃者が特別な技術を用いずともURLを推測または探索するだけでファイルにアクセスできてしまいます。

患者情報の要配慮性――疾患の推知が可能な組み合わせ

今回の漏洩で最も注意を要するのは、30名の患者について漏洩した情報の組み合わせです。

氏名、カナ、年齢、性別、電話番号、居住都道府県、かかりつけ医療機関名という項目が揃っています。加えて、これらの情報がRAコネクトという関節リウマチ治療薬「ケブザラ」の患者サポートプログラムから流出したという文脈自体が、対象者が関節リウマチの治療を受けているという事実を推知させます。

個人情報保護法における要配慮個人情報には病歴が明示的に含まれており、本人に対する不当な差別・偏見その他の不利益が生じないよう特に配慮を要する情報とされています。藤田医科大学病院の事案でも解説したとおり、具体的な疾患名と個人識別情報が組み合わさることで、保険加入の審査、就職活動、社会的関係における不利益を生じさせる可能性があります。

メールアドレスのみが漏洩した216名についても、そのアドレスがRAコネクトの登録者リストに含まれていたという事実自体が、当該人物と関節リウマチとの関連を示唆します。単独では個人を特定しにくい情報であっても、流出元のプログラムの性質と組み合わさることで機微性を帯びるという点が、医療関連サービスにおける情報漏洩の特徴です。

二次被害への注意喚起

両社は現時点で本件に起因する情報の不正利用等は確認されていないとしつつ、二次被害への注意を呼びかけています。

旭化成セラピューティクスは、不審なメールやなりすまし連絡等の二次被害が発生する可能性があるとして、不審なメールに記載されたURLへのアクセス、添付ファイルの開封、個人情報の入力等を行わないよう十分に注意するよう案内しています。

対象となる患者および医療関係者には、書面や電子メール等を用いて個別に順次連絡が行われています。関係する医療機関および医療従事者に対しても、本件の概要および現在判明している内容が案内されているとのことです。

医師名と医療機関名が漏洩した1,535名の医療従事者についても、製薬企業や医療関連団体を装ったフィッシングメールの標的となるリスクがあります。医療従事者向けの情報提供を装った不審な連絡には警戒が必要です。

再発防止策――委託先と委託元の双方が対策を提示

CHIは調査結果を踏まえ、次の5点の再発防止策を実施しているとしています。Web公開領域における公開設定およびアクセス管理の見直し、公開ファイルに対する点検・監視体制の強化、情報管理ルールおよび運用手順の見直し、情報セキュリティ教育の継続的な実施、そして受託業務における情報管理体制の強化です。

旭化成セラピューティクスは、委託先に対する管理・監督体制の強化を図るとともに、個人情報保護に関する情報管理体制の見直しを進めているとしています。RAコネクトは対策のもとで継続して運営されています。

委託先管理という共通課題

本件は、委託先の運用上の不備が委託元の顧客情報の漏洩に直結するという、近年繰り返し発生している構造の事案です。

個人情報保護法は、個人データの取扱いを委託する場合、委託を受けた者に対する必要かつ適切な監督を義務付けています。今回、旭化成セラピューティクスが「確認・監督体制が十分に機能していなかった」と自ら明記した点は、この監督義務の観点から重要な認識と評価できます。

情報システム部門が委託先管理を行ううえで、本件から得られる実務的な示唆は3点あります。

第一に、公開領域と非公開領域の分離状況の確認です。委託先がWebシステムを構築・運用している場合、個人情報を含むファイルがインターネットから到達可能な領域に配置されていないかを、契約時および定期的に検証する必要があります。ディレクトリリスティングの無効化、認証を経ないファイルアクセスの遮断、公開ディレクトリの定期スキャンといった具体的な確認項目を、委託先への監査項目に含めることが有効です。

第二に、インシデント発生時の報告フローの明確化です。今回、不正アクセスの発生から委託元への報告まで約1か月を要しています。委託先が調査を完了してから報告するというフローでは、委託元による個人情報保護委員会への報告や本人通知の判断が遅れます。速報段階での通知義務を契約に明記しておくことが望ましい対応です。

第三に、機微性の高いデータを扱う委託先への追加的な要求です。医療機関や医療関連サービスにおける委託先起因の情報漏洩は継続的に発生しています。要配慮個人情報を扱う委託先に対しては、一般的なセキュリティ要件に加え、暗号化の要求、アクセスログの保全期間、脆弱性診断の実施頻度といった項目を個別に規定することが求められます。