オンライン診療で不正ログイン 厚労省が医療機関に対策強化を依頼

何が起きたのか

厚生労働省は2026年10月28日、都道府県の衛生主管部局に事務連絡を出しました。国内のオンライン診療サービスのシステムで不正ログインが起きたためです。不正に手に入れた ID とパスワードを試す「リスト型攻撃」とみられています。リスト型攻撃は、ほかのサービスから漏れた ID とパスワードの組を、別のサービスのログイン画面に次々と入れて試す手口です。同じパスワードを使い回していると破られます。

医療機関側と患者側の両方のアカウントで不正ログインが確認され、患者の個人情報や診療情報が見られる被害が出ました。事務連絡にサービス名と被害の件数は書かれていません。事務連絡は、医療情報が特にデリケートな要配慮個人情報であり、漏れれば患者のプライバシーや診療に重大な影響が出ると述べています。

医療機関がすること

多要素認証が使えるのに設定していない場合は、すぐに確認し、導入と設定の義務づけを検討します。多要素認証には二要素認証とパスキーが含まれ、パスキーも例に挙げています。

パスワードは私用のサービスや他のシステムと同じか似ていないかを点検します。ログでは深夜の接続、海外の IP アドレスからの接続、短い間の連続した試行を、監査ログで調べます。

院内には、事業者や公式サポートを名乗る不審な連絡に注意するよう伝えます。メール、SMS、電話のいずれも対象です。本物の事業者がパスワードやワンタイムコードを個別に尋ねることはないと、事務連絡は説明しています。

システム事業者への依頼

事業者には医療機関向けと患者向けの両方の画面で多要素認証やパスキーを標準にするよう求めました。

不正な試行の検知と防御の見直しも挙げています。同じ IP アドレスからの分散したログインの試行や、特定のアカウントへの総当たり（パスワードスプレー）を検知します。パスワードスプレーは、多数のアカウントに同じパスワードを順に試す手口です。そのうえで、自動で遮断する、アカウントをロックする、試行の回数を制限する、といった仕組みを点検して強めます。多要素認証を設定していない利用者には、注意喚起やパスワードの再設定の依頼、ログイン中の状態（セッション）の強制的な無効化などで被害を減らす措置をとるよう求めています。異常なアクセスの増加を知らせる基準や監視の体制の見直しも依頼しました。

メールアドレスや電話番号を ID にしてパスワードだけで入れるシステムについては、緊急の利用停止も含めて至急検討するよう求めています。そうしたシステムは、外部から流出した情報を使うリスト型攻撃で、不正ログインが成立しやすいことが分かっているためです。予約や問診など、関連するサービスを提供する SaaS 事業者にも確認を依頼しました。

異常を見つけたとき

不正ログインなどの事故を検知したら、厚生労働省の医療情報連携担当の部署へ速やかに報告するよう求めています。厚労省の医療分野のサイバーセキュリティのページによると、報告は「医療情報システムの安全管理に関するガイドライン」に基づく対応で、発生日時、影響の範囲、分かっている被害の状況を簡潔にまとめて伝えます。患者の個人情報を含む医療情報が漏れた、またはそのおそれがあるときは、個人情報保護委員会への報告も必要です。具体的な対処の相談には、IPA の不正アクセス対策特設サイトの窓口があります。

医療機関以外の会社にとっては

この事務連絡の対象は医療分野ですが、同じ仕組みのクラウドサービスは他の業種にもあります。社外から入れる予約、問診、勤怠、顧客管理などのクラウドサービスで、ID にメールアドレスを使い、パスワードだけで入れる設定のものがないかを確かめてください。管理者のアカウントから多要素認証を有効にする手順は、パスキーの始め方 まず管理者のアカウントからで扱っています。