旭化成セラピューティクスは 10 月 6 日、医療関係者向けの情報サイト「Pharma DIGITAL」がサイバー攻撃を受け、会員の個人情報が閲覧または取得された可能性があると公表した。対象は医療従事者が最大で約 51 万 4,000 人と約 4 万 4,000 人の 2 区分、同社の従業員が約 700 人だ。
医療の現場で働く人の名前と勤め先が、まとまって外に出た恐れがある。同社は対象者へメールなどで個別に連絡するとしており、その連絡を装った偽メールにどう備えるかが、受け取る側の課題になる。
何が漏れた恐れがあるか
同社の公表によると、サイトの運営と情報の管理を委託している医薬情報ネットから 10 月 2 日、サイトに連携する会員データベースへの不正アクセスを確認したと報告を受けた。区分ごとの内容は次のとおりだ。
- 医療従事者 約 51 万 4,000 人: 氏名、所属施設名、施設の住所、職種、診療科など
- 医療従事者 約 4 万 4,000 人: 上の項目に加えて、メールアドレスなど
- 従業員 約 700 人: 氏名、メールアドレス、写真
クレジットカード情報や、病歴のような要配慮個人情報は保管していないという。いずれの人数も「最大」の見込みで、調査は続いている。
いま分かっている対応
同社はサイトをすぐに止め、不正アクセスの経路はすでに塞いだとしている。現時点で、情報の不正利用や被害は確認されていない。関係当局へ報告し、外部の専門組織や委託先と原因と影響の範囲を調べている。サイトの停止は当面続ける。
問い合わせは医薬情報ネットの窓口が受け付ける。電話番号は 10 月 7 日までと 10 月 8 日以降で変わるため、同社のお知らせのページで最新の番号を確かめたい。
本物の連絡と偽物を、どう分けるか
今回の情報には、名前に加えて勤め先と職種、診療科がそろっている。これは、受け取った人が「自分あての正式な連絡だ」と思い込みやすい偽メールの材料になる。製薬会社や学会、勤め先の事務を名乗り、診療科に合わせた文面で届く連絡には、普段より一段強い疑いを持っておきたい。
同社自身も、不審なメールの URL を開かない、添付ファイルを開かない、個人情報を入力しないよう呼びかけている。難しいのは、同社からの正式な個別連絡も同じくメールで届く点だ。
- メールのリンクから窓口に入らず、旭化成セラピューティクスのサイトのお知らせを自分で開き、そこに書かれた窓口を使う
- 「確認のため」としてパスワードや口座、カードの番号を求める連絡には応じない。今回の漏えいの対象にカード情報は含まれていない
- 同じパスワードをほかのサイトでも使っているなら、メールアドレスが対象になった人ほど、先に変えておく
すべての偽メールを見分けることはできない。ただ、連絡の入口を自分の側で決めておけば、見分けられなかったときの被害を小さくできる。
次に確かめること
確認できる次の一点は、旭化成セラピューティクスのニュースページに出る調査結果の続報だ。原因の詳細と、対象人数が「最大」の見込みからどこまで確定するかが示される。医療の仕事をしている家族がいるなら、この記事のことを一言伝えておくのもよい。
ことば
- 要配慮個人情報 — 病歴や犯罪の経歴など、知られると差別や偏見につながりうる情報で、個人情報保護法がとくに慎重な扱いを求めている。今回のサイトは、これを保管していないとしている。
- 二次被害 — 漏えいした情報そのものより、それを使った偽メールやなりすましの電話で、別の情報やお金をだまし取られる被害。名前と勤め先がそろっていると、文面が本物らしくなり、見抜きにくくなる。
正式な連絡も偽の連絡もメールで届くとき、あなたはどの入口からなら信じると決めておくだろうか？
