広南病院の看護部サイトに不正アクセス、問い合わせ約124人分

仙台市の一般財団法人広南会 広南病院は2026年11月10日、病院の看護部サイトにある「看護部お問い合わせフォーム」が第三者の不正アクセスを受け、フォームを使った人の個人情報が漏えいしたおそれがあると公表しました（第1報）。対象は2022年12月17日から2026年10月29日までにフォームを使った約124人（11月2日時点）で、氏名や連絡先、卒業した学校名、問い合わせの内容が含まれます。二次被害は現時点で確認されておらず、外来、入院、救急の受け入れは通常どおりです。

発覚のきっかけ

10月30日、問い合わせフォームから短い時間に集中して届いた不審なメールを病院が確認しました。ホームページの管理会社に調べてもらったところ、第三者による不正アクセスの形跡が見つかりました。病院は同じ日に侵入の経路と攻撃元からの通信を遮断し、遮断のあとはアクセスできないことを確かめています。その後も監視を続けています。

フォームからの不審な送信が集中したことが、発見の手がかりになりました。侵入の経路と原因は、外部の専門会社が中心になって調べている最中で、公表されていません。

漏えいのおそれがある情報

項目は、氏名、生年月日、性別、メールアドレス、住所、電話番号、卒業または卒業見込みの学校名、問い合わせの内容です。クレジットカードなど、金融取引の情報は含まれていません。

お知らせには電子カルテについての記載はありません。ほかの医療情報システムなどへの影響は、現時点で確認されていないとしています。

病院の対応

病院は所轄の行政機関である個人情報保護委員会と厚生労働省、警察署に報告・相談し、その指示に従って対応しています。外部の専門会社と共同で、原因、影響の範囲、ほかのシステムへの影響を詳しく調べています。対象となる可能性がある人には、順次メールで個別に連絡する予定です。

再発防止として、問い合わせフォームにはすでに対策を講じ、ホームページの管理を委託している先の管理の進め方も見直すとしています。新しい事実が分かれば、ホームページで公表するとしています。

利用者には病院を装った不審なメール、電話、SMSに注意し、身に覚えのない連絡のリンクや添付ファイルを開かないよう呼びかけています。パスワードなどの認証情報やカード番号を入力しないことも求めています。病院からの連絡はメールで行い、SMSや電話でお金に関わる個人情報を尋ねることはないとしています。問い合わせの窓口は専用の電話と専用のフォームです。

中小企業が学べること

問い合わせフォームは業種を問わず多くのホームページにあります。今回は約4年分のフォームの利用者が対象になりました。フォームの作りによっては、送られた内容がメールで届くだけでなく、サーバーにもたまっていきます。その場合、侵入されると、それまでに受け付けた分がまとめて対象になります。

自社のフォームについて、送られた内容がどこに残るかを制作会社や管理会社に確かめておくと、残す期間を決められます。採用や見学の申し込みのように、学歴や連絡先が入るフォームは、残す期間を短くしておくと、漏れたときの影響を小さくできます。

気づき方も参考になります。病院はフォームからの不審なメールの集中をきっかけに、管理会社へ調査を頼みました。フォームから届くメールの量や中身がいつもと違うときに、誰が管理会社に連絡するかを決めておくと、早い段階で調べ始められます。ホームページの問い合わせの情報が漏えいした例として、ヤクルト本社のサイトに不正アクセス、3万9,505件の個人情報が漏えいもあります。