今日のポイント（3行以内）:
委託先に預けたデータも「自社の責任」。委託先のアクセス制御と公開設定を契約時に確認する。
退職・異動が絡む内部不正は珍しくない。人事異動のたびにIDと権限を棚卸しし、共有IDを廃止する。
ECサイトを持つなら、不正アクセスの検知と会員への一斉告知の手順を事前に決めておく。

① 旭化成セラピューティクス／シミックヘルスケア・インスティテュート｜患者支援サービス「RAコネクト」で1,940人分が漏えい

旭化成セラピューティクスと、同社から業務を受託していたシミックヘルスケア・インスティテュート（CHI）は2026年7月24日、関節リウマチ治療薬の患者サポートプログラム「RAコネクト」で個人情報が外部に流出したと公表した。CHIのシステムでWeb公開領域に置かれていた一部ファイルが、第三者による不正アクセスを受けたことが原因とされる。

漏えいの対象は、患者246名・医療従事者1,535名・旭化成セラピューティクス従業員159名の計1,940名。不正アクセスが発生したのは2026年6月15日で、CHIが流出を確認したのが7月11日、委託元の旭化成セラピューティクスへ報告したのが7月13日、両社が公表したのが7月24日という経過だった。旭化成セラピューティクスは、データの取り扱いとアクセス制御の運用に不備があり、確認・監督体制が十分に機能していなかったことが背景にあると説明している。

② ムラウチドットコム｜総合通販サイトの一部システムが不正アクセスを受け、情報漏えいの可能性

家電・パソコンなどの総合通販を手がけるムラウチドットコムは2026年7月24日、同社が運用する一部システムが第三者から不正アクセスを受け、情報漏えいが発生した可能性があると公表した。漏えいの有無・件数・対象範囲は現在調査中で、確定した被害規模は明らかにされていない。

ECサイトは、会員の氏名・住所・連絡先に加え、購入履歴や決済に関わる情報を扱うため、攻撃者にとって狙いやすい標的だ。詳細が判明していない段階でも早期に公表した点は、利用者が不審なメールやなりすましサイトに警戒するうえで意味がある。ムラウチを装った偽サイト・詐欺メールも以前から報告されており、正規の告知と偽の告知を見分ける情報提供が重要になる。

③ 君津市消防本部｜消防士長が他人のIDを無断使用し、人事情報に不正アクセス

千葉県君津市消防本部は2026年7月21日、男性消防士長（31歳）が庁内の情報システムに不正アクセスしていたとして、戒告の懲戒処分を行ったと発表した。この消防士長は、以前の業務で知り得た別の所属職員のIDとパスワードを無断で使い、本来は閲覧権限のない人事関連の内部情報を閲覧していた。動機は「自分の異動先を事前に知りたかった」というものだった。

発覚の直接のきっかけは、幹部職員のIDを使った二度目のログイン試行でアカウントがロックされたことだった。外部からの攻撃ではなく、内部の人間が正規の認証情報を流用した「内部不正」の典型例であり、悪意ある攻撃というより出来心に近いが、被害の実態としては明確な不正アクセスにあたる。

編集部まとめ

今日の3件は、外部委託・外部攻撃・内部不正という異なる経路をたどりながら、いずれも「アクセス制御の甘さ」に行き着く。誰がどのデータにアクセスできるかを把握し、不要な権限を削り、いつもと違うアクセスに気づける仕組みを持つ。この基本の徹底が、規模を問わず最も費用対効果の高い防御になる。

参考情報

• 関節リウマチ患者支援サービスに不正アクセス 1,940人分の情報流出か、旭化成セラピューティクスとシミック（株式会社アクト）
• 旭化成セラピューティクスとシミックヘルスケア・インスティテュート、不正アクセスで「RAコネクト」で個人情報漏洩（セキュリティ対策Lab）
• ムラウチドットコム 一部システムへの不正アクセスに関する公表（ScanNetSecurity）
• 「異動先知りたくて…」人事情報に不正アクセス 消防士長を処分（毎日新聞／Yahoo!ニュース）
• 千葉県君津市の消防士が庁内情報システムへ不正アクセス（セキュリティ対策Lab）