【セキュリティニュース】2026年5月12日号｜東北大学病院 治験情報漏えい可能性・CAMPFIRE個人情報22.5万人漏えい・オーミケンシ決算延期

東北大学・東北大学病院に不正アクセス、教員PCを踏み台に治験参加者の個人情報が漏えいの可能性

東北大学および東北大学病院は2026年5月1日、大学が管理するサーバーへの不正アクセスを公表しました。発端は2026年4月16日に同サーバーへの侵入が検知されたことで、その後の調査により、4月23日には東北大学病院の治験業務に関する資料を保管していたNAS（ネットワークストレージ）にも不正アクセスがあり、治験参加患者の個人情報が漏えいした可能性があることが判明しました。

大学の発表によれば、攻撃者は教員のPCを踏み台として情報機器へアクセスしたことが確認されています。漏えいの可能性がある情報には、臨床試験に参加した患者の氏名・住所などの個人情報、および臨床試験の手順書などが含まれます。漏えいの規模については現時点でまだ確定しておらず、調査が継続されています。

大学は被害拡大防止の予防的措置として、2026年4月24日に一部業務システムのパスワードリセットと学内ネットワークの一部セグメントの切り離しを実施。不正アクセスのあったNASは現在ネットワークから切り離されています。所轄行政機関（個人情報保護委員会・文部科学省・厚生労働省）へも報告済みで、他の医療情報システムへの影響は現時点で確認されておらず、病院は通常通り運営されています。

発生から公表までの経緯

CAMPFIRE、GitHub不正アクセスから個人情報最大22万5,846人分が漏えい可能性、口座情報も含む

クラウドファンディング国内最大手の株式会社CAMPFIREは2026年4月24日、システム管理用GitHubアカウントへの不正アクセスを発端として、最大22万5,846人分の個人情報が外部から閲覧可能だった可能性があると発表しました。当初は4月3日に「ソースコード閲覧の可能性」として公表されましたが、調査が進む過程で被害範囲が段階的に拡大しています。

漏えいの可能性がある情報は、プロジェクト実行者の氏名・住所・電話番号・口座情報など12万929件、支援者の氏名・住所・口座情報など13万155件、2025年3月5日までに登録した利用者の氏名1,282件で、うち合計約8万件超に口座情報が含まれます。Security NEXTの続報によれば、データベースに対する外部からのアクセスと内部処理実行の痕跡も確認されています。

事象経緯（公表順）

繊維メーカーのオーミケンシ、ランサムウェアで基幹システム停止・2026年3月期決算発表を延期

大阪市に本社を置く繊維メーカーのオーミケンシは、2026年3月16日深夜に外部の第三者による不正アクセスを受け、基幹システムが停止しサーバー内のファイルが暗号化されました。ScanNetSecurityの2026年5月11日付続報によれば、VPN経由での侵入が有力視されており、一部サーバーから外部へのデータ送信も確認されています。同社は4月13日付で、当初2026年5月13日に予定していた2026年3月期決算発表の延期を発表しました。

同社サーバーに保存されていた従業員氏名等が漏えいした可能性はあるものの、機微性の高い情報や顧客の個人情報は含まれていないと説明しています。現時点で情報の不正利用は確認されていません。