エムスリー「MR君」に不正アクセス、医師ら2万8,035人分漏えい

何が起きたのか

エムスリーは2026年10月23日、製薬企業向けサービス「MR君」への不正アクセスについて第2報を出しました。第1報は10月15日です。

不正アクセスを確認したのは10月14日です。調査で一部のm3.com会員と製薬企業の担当者の情報が漏れたことが分かり、同じ日のうちに、判明した不正アクセスの経路を遮断しました。

第1報と第2報では、公表された内容が次のように変わりました。

• 対象の人数：第1報は、医師会員全体の1割未満と、製薬企業の担当者数百人規模としていました。第2報で、2万5,775人と2,260人という人数が示されました。
• 原因：第1報は、不正アクセスが可能になった原因を調査中とし、第三者による不正アクセスによるものと確認しているだけでした。第2報には、原因についての記載がありません。
• 対象者への連絡：第1報は順次案内するとしていました。第2報では、10月22日以降にメールで連絡していると伝えています。

漏れた情報

合わせて2万8,035人です。

• m3.com会員など 2万5,775人：氏名、勤務先、一部のメールアドレス、一部のサービスの利用に関する情報、製薬企業が登録していた担当関係の情報など。メールアドレスを含むのは6人
• 製薬企業の担当者 2,260人：氏名、勤務先、一部のメールアドレスなど。メールアドレスを含むのは264人

m3.com会員以外で、製薬企業から預かった医師の情報も含まれます。ログインパスワードと保有するm3ポイントは含まれません。カード番号は保持していないとしています。漏れた情報が不特定多数に公開された事実や、不正に利用された事実は、確認されていません。

会社の対応

同社は、判明した不正取得の経路の封じ込めを終え、新たな情報の不正取得は確認されていないとしています。そのうえで、各サービスの防御策の強化を続けています。監督官庁にも報告しました。

対象の会員には、10月22日以降、登録したメールアドレスへ順に個別に連絡しています。メールアドレスの変更などで届かない会員には、この発表を個別の連絡に代えるとしています。同社からの個別の連絡で、パスワード、クレジットカード情報、銀行口座の情報の入力や提供を求めることはありません。

利用者には、同社を装った不審なメール、SMS、電話に注意するよう呼びかけています。問い合わせは、会員はm3.comのカスタマーサポート、製薬企業は同社の担当者、株主や投資家はIR担当、報道関係は広報担当と、窓口が分かれています。

中小企業が学べること

第1報で割合と規模を示し、第2報で人数を示した例です。調査の途中でも分かる範囲を伝えると、関係者は備えられます。

取引先から預かった名簿も、自社で守る情報です。この件でも、製薬企業が登録した担当関係の情報や、製薬企業から預かった医師の情報が含まれました。取引先が登録した名簿や担当関係の情報が、自社のどのシステムに入っているかを書き出し、事故のときに誰が取引先へ連絡するかも決めておきます。

個別に連絡するときは、パスワードやカード番号の入力を求めないことを、文面に書く決まりにします。同社の連絡にも書かれている点です。偽の連絡と見分けやすくなります。