旭化成セラピューティクスの情報漏洩｜医療従事者約51万名と偽メールの見分け方 2026

2026年10月20日

＠SOHO編集部

この記事のポイント

✓旭化成セラピューティクスの情報漏洩の可能性について
✓2026年10月6日の発表をもとに整理します
✓医療従事者向けサイト「Pharma DIGITAL」の会員データベースが不正アクセスを受け

旭化成セラピューティクス株式会社は2026年10月6日、医療関係者向けの情報提供サイト「Pharma DIGITAL（ファーマデジタル）」がサイバー攻撃を受け、サイトに連携する会員データベースの個人情報が閲覧または取得された可能性があると発表しました。対象となる可能性があるのは、医療従事者が最大約51万4,000名（氏名、所属施設名、施設住所、職種、診療科など）で、このうち約4万4,000名はメールアドレスなども含まれます。あわせて同社の従業員約700名の氏名、メールアドレス、写真も対象です。会員の医療従事者がまずすることは、旭化成セラピューティクスや製薬会社、学会などを名乗るメールのURLや添付ファイルを開かないこと、メールの求めに応じて個人情報を入力しないこと、所属先の情報システムの担当者にこの件を共有しておくことの3つです。

この記事では、2026年10月20日時点で旭化成セラピューティクスと、サイトの運営を受託している株式会社医薬情報ネットが出している発表だけを根拠に、分かっていることと調査中のことを分けて整理します。

2026年10月20日時点で分かっていること

発表の要点を並べます。

発表した会社：旭化成セラピューティクス株式会社（医療用医薬品の会社）
対象のサイト：医療関係者向け情報提供サイト「Pharma DIGITAL」
サイトの運営と情報の管理：株式会社医薬情報ネットに委託
何が起きたか：サイトに連携する会員データベースへのサイバー攻撃による不正アクセス
対象となる可能性がある人数（最大）：医療従事者約51万4,000名、このうちメールアドレスなども含む約4万4,000名、同社の従業員約700名
対象外と明記：クレジットカード情報、要配慮個人情報（保管していない）
現状：情報の不正利用や被害は確認されていない。サイトは即時停止し、運用の停止を続けている

Pharma DIGITALは、国内の医療関係者に向けて、同社の医療用医薬品の適正な使い方の情報や、医学・医療の情報を届けているサイトです。会員として登録していたのは、医師、薬剤師、看護師など、医療の現場で働く人たちと考えられます。

人数はすべて「対象となる可能性がある人数（最大）」として発表されています。約51万4,000名全員の情報が外に出たと確定したわけではなく、閲覧または取得された可能性がある人数の上限です。

要配慮個人情報とは、病歴や健康診断の結果など、本人が不当な扱いを受けないよう特に慎重に扱う必要がある個人情報のことです。今回は、そうした情報もカード情報も保管していなかったと明記されています。

公表の経緯：委託先からの報告と、10月6日の発表

今回の件の流れを日付順に並べます。

日付	出来事
2026年10月2日	旭化成セラピューティクスが、委託先の医薬情報ネットから、会員データベースへの不正アクセスと個人情報の閲覧・取得の可能性について報告を受ける。サイトを即時停止
2026年10月6日	旭化成セラピューティクスと医薬情報ネットが、それぞれ公式サイトで発表
2026年10月8日	問い合わせ窓口の電話番号がフリーダイヤルに切り替わる

旭化成セラピューティクスの発表は、概要を次のように説明しています。

2026年10月2日、当社は、本ウェブサイトの運営および情報の管理を委託している株式会社医薬情報ネット（以下「医薬情報ネット」）より、本ウェブサイトに連携する会員データベースにサイバー攻撃による不正アクセスが確認され、データベース内の個人情報が閲覧または取得された可能性がある、との報告を受けました。出典: asahi-kasei.co.jp

2026年10月20日時点で、旭化成セラピューティクスのニュースの一覧に出ているこの件のお知らせは、10月6日の発表だけです。医薬情報ネットのお知らせの一覧でも、この件は10月6日の1本で、続報はまだ出ていません。Pharma DIGITALのサイトは、2026年10月20日時点で「2026年10月2日より不正アクセスの対応のため、現在サービスを制限して公開しております」と表示しています。

続報を確かめるときは、メールのリンクからではなく、旭化成セラピューティクスの公式サイトのニュースのページを自分で開いて見ます。

漏えいした可能性がある項目と、含まれないと明記された項目

発表の表を、区分ごとに整理し直します。

区分	漏えいした可能性がある情報	対象となる可能性がある人数（最大）
医療従事者	氏名、所属施設名、施設住所、職種、診療科など	約51万4,000名
医療従事者の一部	上記に加え、メールアドレスなど	約4万4,000名
旭化成セラピューティクスの従業員	氏名、メールアドレス、写真	約700名

含まれないと明記された情報
クレジットカード情報（保管していない）
要配慮個人情報（保管していない）

表の「など」は発表の表現のままです。どの項目が「など」に入るのかは、発表には書かれていません。パスワードが含まれるかどうかについても記載はありません。書かれていない項目について、含まれるとも含まれないとも決めつけずに、続報を待つ必要があります。

この組み合わせで注意したいのは、氏名、所属施設名、施設住所、職種、診療科がそろっている点です。これらは、医療従事者に向けた偽メールを本物らしく作るための材料になります。たとえば「○○病院循環器内科 ○○先生」のように、所属と診療科を正しく書いた偽メールが届くと、見分けるのが難しくなります。メールアドレスが含まれるのは約4万4,000名とされていますが、氏名と所属施設が分かれば、施設の代表のアドレスや郵便、電話を使って接触される可能性もあります。

従業員約700名については写真も対象に入っています。写真と氏名があると、製薬会社の担当者になりすました連絡を信じさせやすくなります。普段やり取りしている担当者の名前を名乗る連絡でも、いつもと違う連絡先や依頼の内容であれば、別の手段で確かめます。

原因について発表されていること

原因について、発表で分かっているのは、委託先が管理する会員データベースがサイバー攻撃による不正アクセスを受けたことです。旭化成セラピューティクスは、医薬情報ネットと連携して原因と影響の範囲を調べているとしています。

発表には、もう1つ大事な記載があります。

また本件の原因となった不正アクセスの経路は既に是正措置を講じており、現時点において、再度不正アクセスされた事実は確認されておりません。出典: asahi-kasei.co.jp

不正アクセスの経路はすでにふさがれていて、その後の再侵入は確認されていない、という説明です。ただし、どのような経路だったのか、いつから不正アクセスが始まっていたのかといった詳しい中身は、2026年10月20日時点では発表されていません。調査中とされているので、ここでも推測は書きません。

医薬情報ネットの発表も、同じ趣旨で、サイトの運用を停止したうえで、旭化成セラピューティクスと外部の専門家と連携して原因と影響の範囲を調べていると書いています。委託先とは、会社が業務の一部を任せている別の会社のことです。今回は、サイトの運営と情報の管理を委託していた会社のシステムで不正アクセスが起きた、という形です。

会社の対応と、発表に書かれていないこと

発表に書かれた旭化成セラピューティクスの対応を並べます。

Pharma DIGITALを即時停止し、追加被害の防止措置を講じた
不正アクセスの経路に是正措置を講じた
関係当局への報告
外部の専門組織と委託先と連携し、事実関係の確認、原因の究明、影響範囲の特定を最優先で進める
追加被害の防止を優先し、サイトの運用停止を続ける
委託先に対する管理・監督の体制を強め、個人情報保護と情報セキュリティの管理体制を見直す
対象となる医療従事者に、電子メールなどで個別に連絡する
情報の提供と注意喚起を続け、二次被害の防止に努める

「関係当局への報告」の具体的な報告先は、発表には書かれていません。会社が個人データの漏えいを起こしたときの報告先は、原則として個人情報保護委員会です。個人情報保護委員会とは、個人情報の扱いを監督する国の機関で、不正アクセスなど不正な目的によるおそれがある漏えいや、本人の数が1,000人を超える漏えいは、会社に報告が義務付けられています。

発表に書かれていないことも整理します。お詫びや補償の有無、マイページでの照会、会員のパスワードの扱い、サイトの再開の時期は、2026年10月20日時点では発表されていません。書かれていないことについて、あるともないとも推測はしません。

続報が出たときに見ておきたいのは、対象となる人数や項目が絞り込まれたかどうか、パスワードなど「など」に含まれていた項目が明らかになったかどうか、不正アクセスの経路と時期が分かったかどうか、サイトの再開の時期と再開のときの手続きの4点です。とくに再開の手続きでパスワードの再設定を求められる場合は、その案内を装った偽メールが出回りやすくなるので、公式サイトの発表と照らし合わせてから手続きします。

自分が対象かを確かめる方法

Pharma DIGITALに会員として登録していた医療従事者は、対象になっている可能性があります。発表では、対象となる医療従事者に、電子メールなどで個別に連絡するとしています。

ここで気をつけたいのは、個別の連絡を装った偽メールが届きうる点です。本物の連絡がメールで届く以上、それに似せた偽メールが送られてくることは十分に考えられます。届いたメールが本物かどうかは、次の手順で確かめます。

メールの中のリンクは押さず、旭化成セラピューティクスの公式サイトを自分で開き、ニュースのページにこの件の案内が出ているかを確かめる
メールに書かれた問い合わせ先の電話番号やメールアドレスが、公式サイトの発表に載っているものと同じかを確かめる
ログイン情報や個人情報、カード情報の入力を求める内容になっていないかを見る

Pharma DIGITALに登録していたかどうか覚えていない場合は、メールの受信箱で「Pharma DIGITAL」「ファーマデジタル」「旭化成」などの言葉で検索すると、登録のときや情報配信のメールが見つかることがあります。製薬会社の医療関係者向けサイトは複数あり、どこに登録したか曖昧になっていることも多いので、見つからない場合は後で紹介する窓口に確かめます。

医療従事者に届きやすい偽メールと見分け方

旭化成セラピューティクスは、不審なメールやなりすましの連絡による二次被害が起こる可能性があるとして、不審なメールのURLへのアクセス、添付ファイルの開封、個人情報の入力をしないよう呼びかけています。医療従事者に向けて送られやすいと考えられる偽メールの例を挙げます。

「Pharma DIGITALの再開に伴い、会員情報の再登録をお願いします」とログイン画面に誘導するメール
「製品の安全性に関する重要なお知らせ」と書かれた添付ファイル付きのメール
「講演会のご案内」「アンケートのお願い」「謝礼のお支払い手続き」として口座情報や個人情報を求めるメール
学会や医療関係の団体、ほかの製薬会社を名乗り、所属と診療科を正しく書いたメール

とくに添付ファイルには注意が要ります。添付ファイルを開くと、パソコンがコンピューターウイルスに感染し、同じ施設のほかの端末にまで影響が広がるおそれがあります。所属施設名と診療科が知られていると、その診療科に関係ありそうな題名の添付ファイルを送り付けて、開かせようとする手口が考えられます。

見分けるときに見るところは次のとおりです。

差出人のアドレスのドメイン。表示名が「旭化成セラピューティクス」でも、アドレスが無関係のドメインなら偽物を疑う。ただし差出人の表示は偽装できるので、アドレスが正しく見えても本物とは限らない
リンクの行き先。リンクを押す前に、パソコンならマウスを乗せ、スマートフォンなら長押しして行き先を表示させる
急がせる言葉。「本日中」「至急」「アカウントが停止されます」と期限を切る文面
普段と違う依頼。いつもはない口座情報の登録、ファイルのダウンロード、アプリの導入を求める内容

警察庁は、メールやSMSのリンクを安易にクリックせず、あらかじめ公式サイトをブックマークしておくか、公式アプリを使って正しいサイトに接続するよう呼びかけています。

電子メールやＳＭＳ内のリンクを安易にクリックせず、あらかじめ公式サイトを「お気に入り」や「ブックマーク」に登録しておいたり、公式アプリを活用するなどして正しいサイトに接続するようにしてください。出典: npa.go.jp

会員の医療従事者がすること

漏えいした可能性がある項目は、氏名、所属施設名、施設住所、職種、診療科など、一部の人はメールアドレスなどです。カード情報は保管していなかったとされています。項目に合わせて、要ることを順番に書きます。

1. メールのURLと添付ファイルを開かない

発表が一番強く求めていることです。旭化成セラピューティクスや製薬会社を名乗るメールでも、心当たりのないもの、普段と違うものは開かずに、公式サイトで確かめます。

2. 所属先の情報システムの担当者に共有する

所属施設名と施設住所が対象に入っているため、偽メールは個人のアドレスだけでなく、施設の代表アドレスや同じ施設の同僚にも届く可能性があります。病院や薬局の情報システムの担当者に、この件を伝えておくと、施設として不審なメールへの注意を呼びかけたり、メールの振り分けの設定を見直したりできます。

3. パスワードの使い回しを見直す

発表にはパスワードの記載はありませんが、メールアドレスが含まれる約4万4,000名は、別のサービスで漏れたパスワードと組み合わせてログインを試される危険があります。Pharma DIGITALに登録していたパスワードを、ほかの製薬会社のサイトや学会のサイト、メールで使い回している場合は、サービスごとに違うパスワードに変えておきます。覚えきれない場合は、パスワード管理アプリを使います。

4. 二段階認証を設定する

二段階認証とは、パスワードに加えて、スマートフォンに届く確認コードなどをもう1つ入力しないとログインできないようにする仕組みです。仕事で使うメールや、医療関係者向けのサイトで設定できるものは設定しておきます。

5. 電話や郵便での接触にも気をつける

施設住所と所属が分かっていると、施設に電話をかけて本人を呼び出したり、郵便で案内を送ったりする接触も考えられます。「Pharma DIGITALの件でお電話しました」という連絡があっても、その場で個人情報を答えず、公式の窓口の番号にかけ直して確かめます。

自分のメールアドレスがほかのサービスの漏えいにも巻き込まれていないかを確かめたい人は、海外の漏えい情報を検索できるサービスの使い方を解説したHave I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法と、大手クラウドの過去の漏洩が参考になります。

偽メールを開いてしまったときの動き方

注意していても、忙しい診療の合間に偽メールを開いてしまうことはありえます。開いてしまったあとの動き方を、場面ごとに整理します。

リンクを押しただけで、何も入力していない場合

開いたページを閉じます。何も入力しておらず、ファイルも保存していなければ、多くの場合はそれで足ります。念のため、同じ偽メールが同僚にも届いていないか、情報システムの担当者に伝えておきます。

IDやパスワードを入力してしまった場合

入力したIDとパスワードを使っているサービスで、すぐにパスワードを変えます。偽のサイトに入力した端末とは別の端末から変えると安心です。同じパスワードをほかのサービスでも使っていれば、そちらもすべて変えます。警察庁も、フィッシングサイトにIDやパスワードを入力してしまった場合は、それを使っているすべてのサービスで速やかにパスワードを変えるよう案内しています。勤務先のアカウントだった場合は、自分だけで済ませず、すぐに情報システムの担当者に報告します。

添付ファイルを開いた、アプリを入れてしまった場合

その端末をネットワークから外します。有線のケーブルを抜く、無線の接続を切る、といった操作です。そのうえで、勤務先の端末なら情報システムの担当者に、個人の端末ならセキュリティソフトで調べ、必要に応じて専門の窓口に相談します。独立行政法人の情報処理推進機構（IPA）は、ウイルスや不正アクセスに関する技術的な相談を受け付ける「情報セキュリティ安心相談窓口」を開いています。端末を使い続けると被害が広がるおそれがあるので、確認が終わるまでは仕事に使わないようにします。

口座やカードの情報を入力してしまった場合

カード番号を入力したときは、カードの裏面の番号でカード会社に連絡し、利用の停止と再発行を相談します。口座の情報を入力したときは、取引のある金融機関に連絡します。お金の被害が出たときは、最寄りの警察署にも相談します。

病院や薬局の情報システムの担当者ができること

今回の件では、所属施設名と施設住所が対象に入っているため、施設を単位にした偽メールが届く可能性があります。病院や薬局、クリニックで情報システムを担当している人や、院内の管理を任されている人ができることを挙げます。

職員に向けて、この件の概要と、旭化成セラピューティクスや製薬会社を名乗る不審なメールへの注意を伝える
不審なメールを受け取ったときの報告先を1つに決めて、職員に知らせる
不審なメールを職員どうしで転送して確かめ合わないよう伝える。転送すると、添付ファイルが施設の中に広がる
外部から届くメールのうち、表示名と送信元のアドレスが食い違うものに注意を促す
製薬会社の担当者からの連絡の窓口や連絡先を、施設として把握しておく

職員の中にPharma DIGITALに登録していた人がいるかどうかは、施設の側からは分からないことがほとんどです。対象かどうかに関わらず、施設全体に注意を伝えておくほうが、偽メールの被害を防ぎやすくなります。

製薬会社の担当者を名乗る連絡に気をつける

今回は、旭化成セラピューティクスの従業員約700名の氏名、メールアドレス、写真も対象になっています。医療従事者の側から見ると、普段やり取りしている製薬会社の担当者の名前を使った、なりすましの連絡が届く可能性がある、ということです。

担当者を名乗る連絡で確かめたいのは次の点です。

普段のやり取りと同じ連絡先から来ているか。新しいメールアドレスや個人の携帯電話からの連絡に切り替わっていないか
依頼の内容が普段と同じか。急な口座の登録、ファイルの受け渡し、別のサイトへのログインを求めていないか
面識のある担当者なら、別の手段で本人に確かめられるか

製薬会社の担当者は、医療機関に情報を届ける仕事をしているため、医療従事者の側も連絡に応じやすい関係にあります。その信頼の関係を悪用されないよう、少しでも違和感があれば、公式の窓口を通して確かめます。

登録している医療関係者向けサイトを見直す

医療従事者は、製薬会社ごとの医療関係者向けサイト、学会のサイト、医療情報の配信サービスなど、いくつものサイトに会員登録していることが多いものです。登録した時期がばらばらで、どこにどのメールアドレスとパスワードで登録したか、把握しきれていない人も少なくありません。今回の件をきっかけに、登録しているサイトを見直しておくと、次にどこかで漏えいが起きたときにすぐ動けます。

見直しの手順は次のとおりです。

メールの受信箱で、会員登録の完了や情報配信のメールを検索し、登録しているサイトを書き出す
書き出したサイトごとに、登録したメールアドレスと、パスワードを使い回していないかを確かめる
もう使っていないサイトは、各サイトの退会の手続きで会員登録を解除する
使い続けるサイトは、パスワードをサイトごとに違うものに変え、二段階認証があれば設定する

退会しても、サイトの側で一定の期間は情報を保存していることがあります。それでも、使っていないサイトの登録を減らしておけば、自分の情報を持っている会社の数が減り、漏えいに巻き込まれる機会も減ります。パスワード管理アプリを使えば、どのサイトにどのアドレスで登録したかを一覧で残せるので、見直しの手間も小さくなります。

問い合わせ窓口

発表に載っている問い合わせ先は次のとおりです。

内容	窓口	連絡先
不正アクセスと個人情報の漏えいの可能性について	株式会社医薬情報ネットセキュリティ事案お問い合わせ受付窓口	電話 0120-88-2566（10月8日以降の問い合わせ先）、メール [email protected]、問い合わせフォーム
Pharma DIGITALについて	Pharma DIGITAL専用お問合せ窓口	メール [email protected]

10月7日までの問い合わせ先として載っていた03から始まる番号は、10月8日以降はフリーダイヤルに切り替わっています。受付時間は発表に書かれていません。問い合わせフォームのアドレスは発表のページに載っているので、そこから開きます。偽のメールに書かれた連絡先には連絡せず、必ず公式の発表に載っている窓口を使います。

会社が個人情報の扱いについて法律に沿った対応をしていないと感じたときは、個人情報保護委員会の「個人情報保護法相談ダイヤル」（03-6457-9849、受付時間は9時30分から17時30分、土日祝日と年末年始を除く）に相談できます。偽の連絡でお金の被害が出た場合は、消費者ホットライン「188」や、最寄りの警察署に相談します。

在宅で仕事をする医療従事者が気をつけること

医師、薬剤師、看護師の中には、勤務とは別に、医療記事の執筆や監修、オンラインでの相談、翻訳など、在宅で副業をしている人もいます。そうした人は、勤務先のメールと副業のメール、個人のメールを使い分けていることが多く、どのアドレスでPharma DIGITALに登録していたかによって、偽メールが届く先が変わります。

副業の仕事で取引先とやり取りしているメールアドレスで登録していた場合、偽メールが仕事の受信箱に届きます。原稿のやり取りや監修の依頼と同じ受信箱に、医療関係の題名の偽メールが紛れ込むと、仕事の流れで開いてしまいやすくなります。登録したアドレスを思い出し、そのアドレスの受信箱では特に注意します。

取引先に知らせるかどうかの考え方も整理しておきます。今回漏えいした可能性があるのは、Pharma DIGITALに登録した本人の情報で、副業の取引先から預かった情報が含まれているわけではありません。そのため、自分の情報が対象になっただけなら、取引先に知らせなければならない場面とは一般に考えにくいです。

ただし、偽メールに仕事のアカウントのパスワードを入力してしまった、添付ファイルを開いてパソコンがウイルスに感染したおそれがある、という場合は話が変わります。取引先から預かった原稿や患者に関わる資料、顧客の名簿に第三者が触れたおそれがあるなら、預かっている立場として、すぐに取引先に伝えます。個人情報保護委員会は、漏えいの報告が必要な場面の1つとして、病歴などの要配慮個人情報が含まれる場合を挙げています。

（1）要配慮個人情報が含まれる個人データの漏えい等（又はそのおそれ）出典: ppc.go.jp

医療に関わる副業では、預かる情報にこうした情報が含まれることがあるので、扱いには特に気をつけます。報告や本人への連絡を誰がするかは、業務委託の契約や事情で変わるため、自分だけで判断せず、取引先の担当者や個人情報保護委員会の相談窓口に確かめながら進めます。勤務先の就業規則で、仕事に関わる事故の報告の決まりがある場合は、それにも従います。

運営者の視点：委託先で起きた漏えいから考えること

今回の件は、サイトを提供する会社ではなく、運営と情報の管理を任されていた委託先のシステムで起きました。2026年10月には、問い合わせの受付やコミュニティの運営、メールの配信などを外部のサービスに任せていた会社で、同じように委託先から情報が漏れたという公表が相次いでいます。利用者の側からは、自分が登録したサイトの裏で、どの会社が情報を扱っているかまでは見えません。

在宅ワークとフリーランスの仲介を2004年から続けてきた@SOHOの編集部として、在宅で仕事を受ける人に伝えたいのは、自分も誰かの「委託先」になりうるという点です。取引先から業務を受けて情報を預かる以上、預かった情報をどこに保存しているか、仕事が終わったら削除しているかが、そのまま取引先の安心につながります。依頼者と受け手が直接やり取りする手数料0%の取引では、受け手の手取りが厚くなる一方で、情報の管理も本人に任されます。

情報セキュリティの知識は、それ自体が仕事にもなります。企業の情報セキュリティ対策の支援や、偽メールへの対応の手順づくりといった仕事の内容は、AI・マーケティング・セキュリティのお仕事で紹介しています。研究や学術の分野で仕事をしている人は、研究者の年収・単価相場も参考になります。偽メールを見抜く訓練を職場で進めたい人は、訓練の進め方をまとめた社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドを、ログインにパスワード以外の要素を組み合わせる仕組みを比べたい人はMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版を読んでおくと、漏えいの公表が出たときに落ち着いて動けます。

よくある質問

Q. Pharma DIGITALの情報漏洩で、カード情報や病歴は漏れましたか？

2026年10月6日の旭化成セラピューティクスの発表では、クレジットカード情報と要配慮個人情報は保管していないと明記されています。対象となる可能性があるのは、医療従事者の氏名、所属施設名、施設住所、職種、診療科などで、約4万4,000名はメールアドレスなども含まれます。

Q. 自分が対象かどうかは、どう分かりますか？

発表では、対象となる医療従事者に電子メールなどで個別に連絡するとしています。個別の連絡を装った偽メールもありうるので、メールのリンクは押さず、旭化成セラピューティクスの公式サイトで案内を確かめます。分からないときは、医薬情報ネットのセキュリティ事案お問い合わせ受付窓口（0120-88-2566）に確かめます。