オンライン診療の不正ログインによる情報漏洩！

自宅にいながら医師の診察を受けられ、薬の処方までスムーズに完結できるオンライン診療は、多忙な日々を送る方や通院が困難な方にとって大変便利な仕組みとして定着しつつあります。しかし、便利さの向上と裏腹に、インターネットを介してセンシティブな個人情報をやり取りするサービスだからこそ、セキュリティ上の脅威に対する備えが欠かせません。

2026年10月下旬、医療系IT企業であるM社が提供するオンライン診療サービスにおいて、第三者による不正ログインが確認されたと公表されました。本件では、医療機関および患者のアカウントを通じて、受診歴や医師によるメモ、処方箋画像などのプライバシー性の高い情報が第三者に閲覧された可能性があると報告されています。

オンライン診療をはじめとするWebサービスを利用するにあたり、システムを開発・提供する企業側のセキュリティ対策が極めて重要であることは言うまでもありません。しかし同時に、利用する私たち一人ひとりがアカウントをどのように管理しているかという点も、被害を未然に防ぐための大きな防壁となります。

本記事では、今回の事案の概要と手口を整理したうえで、大切な個人情報や健康に関するデータを守るために、今すぐ個人で実践できる具体的なセキュリティ対策を詳しく解説します。

1. M社のオンライン診療サービスで発生した不正ログインの概要

まずは、2026年10月に明らかとなったM社の事案について、何が起き、どのような情報に影響があったのかを客観的に整理します。

被害の全体像と発生日時

公表された情報によると、不正ログインが発生したのは2026年10月23日です。M社が提供するオンライン診療サービスにおいて、一部の医療機関アカウントおよび患者個人アカウントに対して第三者が不正にログインしたことが確認されました。

影響を受けたとされるアカウントの内訳は以下のとおりです。

医療機関側のアカウント： 5医療機関・計6アカウント
- そのうち3医療機関のアカウントにおいて、患者73名分の情報が閲覧された可能性が確認されています。
患者側の個人アカウント： 14アカウント

合計で最大87名分の患者情報が閲覧された可能性があると発表されています。

閲覧された可能性のある情報の種類

今回の不正ログインによって閲覧された恐れのあるデータは、医療機関アカウント経由と患者アカウント経由でそれぞれ報告されています。

医療機関のアカウントを通じて閲覧された可能性がある情報には、医療従事者の氏名やメールアドレスのほか、患者の氏名、メールアドレス、電話番号、生年月日、住所、性別、カルテ番号、診察券番号、受診状況、そして医師による診察時のメモなどが含まれています。

一方、患者個人アカウントを通じて閲覧された情報としては、氏名、メールアドレス、電話番号、生年月日、住所、性別、受診者コードが挙げられています。さらに一部の患者アカウントでは、処方箋の画像や診察記録、サービスの利用履歴まで対象となっていたことが公表されています。

健康状態や通院履歴、医師の所見といった医療情報は、一般的な住所や電話番号以上にプライバシーの核心に関わるセンシティブな情報です。それだけに、今回の事態は多くの利用者に強い不安を与えました。

確認されている安全性と二次被害の現状

一方で、今回の事案において漏洩していない情報も明確に報告されています。

本人確認書類（身分証明書等の画像データ）は閲覧対象に含まれていません。
各アカウントのログイン用パスワードそのものの流出は確認されていません。
クレジットカード情報については、M社側で情報を保持していない仕組みとなっていたため、漏洩の対象外となっています。

また、M社の発表時点において、不正な決済などの直接的な二次被害は確認されていないとされています。サービスのサーバーやデータベースそのものへの直接的な不正侵入（ハッキング）の形跡も確認されておらず、サービス自体の提供は停止されることなく継続されています。

2. 攻撃の手口「リスト型攻撃」とは何か

今回の事態を引き起こした手口は、いわゆる「リスト型攻撃（リスト型アカウントハッキング）」とみられています。この手口を正しく知ることは、私たちがどのような対策を取るべきかを考えるうえで極めて重要です。

企業のサーバーが破られたわけではないという事実

「不正アクセス」「情報閲覧」という報道を目にすると、多くの方は「サービスのデータベースがハッカーに突破され、内部のデータが丸ごと盗み出されたのではないか」と想像しがちです。

しかし、今回の事案でM社のサーバー自体への侵入形跡はありません。攻撃者は、M社のシステムを技術的に破壊して侵入したのではなく、すでに外部から手に入れた「正規のIDとパスワードの組み合わせ」を入力し、正当な利用者のふりをしてログインしたのです。

リスト型攻撃のメカニズム

リスト型攻撃とは、別のWebサイトやサービスから過去に流出したID（メールアドレス）とパスワードのリストを悪用し、標的とするサービスに対して自動化されたプログラムなどを用いて片っ端からログインを試みるサイバー攻撃です。

インターネットを利用していると、時折ニュースで「どこかのサービスから数万人分のユーザー情報が流出した」という事件を耳にすることがあります。攻撃者は、いわゆるダークウェブなどで流通しているこうした膨大なログイン情報のリストを入手します。

そして、多くの人が「複数のサービスで同じID（メールアドレス）と同じパスワードを使い回している」という習性を突き、別のサービスでその組み合わせを試すのです。

たとえば、あるネットショッピングサイト「A」からIDとパスワードが流出したとします。利用者がその同じ組み合わせをオンライン診療でも使っていた場合、攻撃者は「A」から手に入れた情報をオンライン診療のログイン画面に入力するだけで、難なくログインに成功してしまいます。オンライン診療のシステムから見れば、正しいIDと正しいパスワードが入力されているため、正当なユーザー本人によるアクセスなのか、攻撃者による不正なアクセスなのかを即座に見分けることが非常に困難になります。

これが、システムの強固さだけでは完全に防ぎきれない、リスト型攻撃の恐ろしい点です。

3. 想定されるリスクと二次被害の可能性

今回の事態において、クレジットカード情報やパスワードそのものは漏洩していないとされています。しかし、氏名、住所、電話番号に加え、受診履歴や医師のメモ、処方箋画像といったプライベートな情報が閲覧された可能性がある以上、利用者は潜在的な二次被害への警戒を怠るわけにはいきません。具体的にどのようなリスクが想定されるのかを解説します。

フィッシング詐欺や標的型メールへの悪用

最も警戒すべき二次被害は、漏洩した情報を利用した「フィッシング詐欺」です。

悪意のある第三者は、入手した氏名、メールアドレス、電話番号、さらには「どのクリニックでいつオンライン診療を受けたか」「どのような薬を処方されたか」といった具体的な文脈を利用して、巧妙な詐欺メッセージを送ってくる可能性があります。

まったく身に覚えのない送信元からのメールであれば警戒しやすいものですが、「〇〇クリニックで受診された方へのお知らせ」「オンライン診療サービスに関する重要なお知らせ」「処方箋の再確認が必要です」といった具体的な内容で、本名宛てに送られてくると、受信者は本物だと信じ込んでしまいやすくなります。

文中のリンクをクリックさせ、偽のログイン画面に誘導してクレジットカード情報や個人情報を入力させようとする手口が代表的です。

SMSを利用したスミッシング

メールだけでなく、携帯電話の番号宛てに送信されるSMS（ショートメッセージ）を悪用した「スミッシング」も懸念されます。

「医療費の未払いがあります」「処方薬の配送について確認があります」といった至急の連絡を装い、短縮URLを踏ませようとするメッセージには最大の警戒が必要です。

不審な電話による詐欺や勧誘

電話番号と氏名、年齢、健康情報が結びついている場合、電話口で医療従事者や保険組合、公的機関の職員を装い、「保険の還付金がある」「医療費の精算に誤りがあったため口座情報を教えてほしい」などと言葉巧みに金銭を騙し取ろうとする特殊詐欺への応用も考えられます。

自身の医療情報について言及されると、相手が本物の関係者であると錯覚しやすくなる心理を突いた攻撃には十分な注意を払わなければなりません。

4. 個人でできるアカウント防衛策

リスト型攻撃から身を守るために、利用者自身ができる対策は何でしょうか。それは単に「注意深く過ごす」ことではなく、具体的なセキュリティ設定を講じることです。ここからは、個人が今すぐ実践できる有効な対策を順を追って解説します。

対策1：パスワードの使い回しを完全にやめる

リスト型攻撃に対する最も強力で根本的な対策は、「どのサービスでも同じパスワードを二度と使い回さない」ことです。

なぜ使い回しが危険なのか

前述のとおり、リスト型攻撃は「他のどこかから漏れたパスワード」を使って別のサービスを攻撃する手法です。もし、すべてのサービスで完全に異なる固有のパスワードを設定していれば、仮にどこか1つのサービスから情報が漏洩したとしても、他のサービスに不正ログインされる被害の連鎖を確実に遮断できます。

パスワードマネージャーの活用

とはいえ、現代社会において利用するWebサービスは数十から百個以上にのぼることも珍しくありません。すべて異なる、複雑で長いパスワードを人間の頭だけで記憶することは事実上不可能です。

そこで必須となるのが「パスワードマネージャー」の活用です。

パスワードマネージャーとは、各サービスのログインIDと強力なパスワードを暗号化して一元管理してくれるツールです。以下のような選択肢があります。

OSやブラウザ標準のパスワード管理機能：
- Apple製品に内蔵されている「iCloudキーチェーン（Apple Passwords）」
- Google Chromeに内蔵されている「Googleパスワードマネージャー」
専用のセキュリティソフトウェア：
- 1Password、Bitwarden、Keeperなどの独立系パスワード管理ツール

これらのツールを使えば、サービスごとに「英数字・記号を組み合わせた16文字以上の複雑なランダム文字列」を自動生成し、保存してくれます。利用者はパスワードマネージャー自体の「マスターパスワード」1つを厳重に覚えておくだけで、他のすべてのパスワードを記憶する必要がなくなります。

「メモ帳アプリに平文でパスワードを保存する」「手帳に書く」といった管理方法は、端末の盗難や覗き見、マルウェア感染による流出リスクがあるため推奨されません。信頼できるパスワード管理ツールの利用へ早急に移行することが賢明です。

対策2：二要素認証（2FA）・多要素認証（MFA）を必ず設定する

パスワードが何らかの理由で第三者に知られてしまったとしても、侵入を阻止するための強力な防護壁となるのが「二要素認証（2要素認証 / 2FA）」です。

二要素認証の仕組み

従来のログインは「ID（知っている情報）」と「パスワード（知っている情報）」という1つの要素（知識情報）だけで行われていました。これに対し、二要素認証はまったく異なる要素をもう1つ要求する仕組みです。

認証の3要素には以下があります。

知識情報： パスワード、PINコードなど
所持情報： スマートフォン、セキュリティキー、認証用アプリなど
生体情報： 指紋、顔、虹彩など

二要素認証を設定しておくと、攻撃者が正しいパスワードを入力できたとしても、手元にあるスマートフォンに届く一時的なコードや、認証アプリに表示される数字を入力できなければログインを完了できません。

今回のM社の発表でも、二要素認証を設定していなかったアカウントに対してパスワードの初期化が行われ、利用者に対して二要素認証の確実な設定が強く呼びかけられています。

認証方式の選び方

二要素認証にはいくつかの方式があります。

認証アプリ（推奨）：
- Google Authenticator、Microsoft Authenticatorなどのアプリを使用する方式です。
- アプリが30秒ごとに変化する6桁の確認コードを生成します。通信環境に左右されず、後述するSMS乗っ取り（SIMスワップ）のリスクもないため、非常に安全性が高い方式です。
SMS認証：
- 携帯電話のSMSに届く一時的なコードを入力する方式です。
- 設定が手軽な反面、通信の傍受やSIMスワップ詐欺などの高度な攻撃に対する脆弱性が指摘されることもあります。それでも、二要素認証をまったく設定しない状態に比べれば防御力は格段に高まります。

オンライン診療サービスや決済サービス、主要なメールアカウントなど、プライベートな情報を扱うすべてのサービスで二要素認証を「オン」に設定することを強く推奨します。

対策3：次世代の安全基準「パスキー（Passkey）」を導入する

M社のお知らせの中でも、「お使いの端末のパスキー機能（指紋認証・顔認証など）の利用を強く推奨します」と記載されています。この「パスキー」とはどのような技術なのでしょうか。

パスキーの基本概念

パスキーとは、従来の文字列によるパスワードをなくし、スマートフォンの生体認証（Touch ID、Face ID）や画面ロック解除機能を用いて安全にログインするための最新技術です。FIDO（ファイド）アライアンスという国際的なセキュリティ標準化団体と、Apple、Google、Microsoftなどの主要IT企業が共同で普及を進めています。

なぜパスキーがリスト型攻撃やフィッシングを防げるのか

パスキーの最大の特徴は、「パスワードそのものが存在しない」という点です。

パスキーによる認証では、利用者の端末内部に秘密の鍵（秘密鍵）が安全に保存され、サービス側のサーバーにはそれとペアになる公開の鍵（公開鍵）だけが登録されます。ログインする際は、端末で指紋認証や顔認証を行うことで秘密鍵が呼び出され、暗号技術を用いた照合が行われます。

この仕組みにより、以下の絶大なメリットが生まれます。

リスト型攻撃が通用しない： そもそもサーバー側に漏洩するような固定のパスワードが存在しないため、別のサービスから流出した情報を使って不正ログインすることが物理的に不可能です。
フィッシング詐欺に引っかからない： パスキーは、登録された正規のドメイン（Webサイトのアドレス）と厳密に紐付いています。仮に攻撃者が本物そっくりに作った偽のフィッシングサイトに誘導されたとしても、端末側が偽サイトであることを自動で見抜くため、認証情報が送信されることは絶対にありません。

利用中のサービスがパスキーに対応している場合は、従来のパスワード認証からパスキー認証へと切り替えることで、セキュリティレベルを飛躍的に向上させることができます。

対策4：ログイン通知の確認とアクセス履歴の定期的なチェック

Webサービスの多くには、普段と異なる新しい端末やブラウザ、未知のIPアドレスからログインがあった際に、登録メールアドレス宛てに「新しい端末からのログインを検知しました」という通知を送る機能が備わっています。

通知メールを読み流さない：

心当たりのない時間帯や、自分が持っていない端末（例：自分はiPhoneしか使っていないのに「Android端末からログインされました」と届くなど）からの通知があった場合は、即座に不正アクセスを疑う必要があります。
アクティブなセッション（接続中の端末）を確認する：

サービスの設定画面にある「セキュリティ」や「ログイン端末管理」といった項目から、現在ログイン中の端末一覧を定期的に確認する習慣をつけましょう。見覚えのない端末がログイン状態になっていた場合は、直ちに「すべての端末からログアウト」を実行し、パスワードを変更してください。

5. 不正ログインの疑いがある・情報が漏洩した際の初動対応

万が一、自分が利用しているサービスで不正ログインが発生したという通知を受け取ったり、ニュース等で該当する可能性があると分かったりした場合は、慌てずに以下の初動対応を迅速に実施してください。

手順1：同一パスワードを使っている他サービスのパスワードを直ちに変更する

今回の事案がリスト型攻撃であることからも明らかなように、あるサービスで利用していたパスワードが第三者に知られたということは、「同じIDとパスワードの組み合わせを使っている他のすべてのサービス」が即座に危機に瀕していることを意味します。

特に以下のサービスで使い回しがないかを確認し、もし同じパスワードを設定している場合は最優先で変更を行ってください。

メインで利用しているメールアカウント（Gmail、Yahoo!メール、キャリアメール等）
ネット銀行、証券口座、クレジットカード会社の会員サイト
オンラインショッピングサイト（Amazon、楽天市場等）
主要なSNS（LINE、X、Instagram等）

メールアカウントを乗っ取られてしまうと、他のあらゆるサービスの「パスワード再設定メール」を攻撃者に受信されてしまい、すべてのアカウントを連鎖的に奪われる事態になりかねません。メールのセキュリティは最重要防衛ラインとして捉えてください。

手順2：二要素認証やパスキーの再設定

不正ログインが起きたサービス、およびパスワードを変更した重要サービスでは、必ず二要素認証を再設定、あるいは新規設定してください。すでに設定していた場合でも、攻撃者によって設定が書き換えられていないか、登録されている電話番号や認証アプリの情報が正しいかを確認します。

手順3：不審な連絡に対する警戒レベルの引き上げ

公式発表にもあるとおり、今回の事態に便乗した偽の連絡が届く可能性が高まります。以下の鉄則を頭に刻んで行動してください。

「当社からパスワードや認証コード、クレジットカード情報をお尋ねすることはありません」という原則を忘れない：

正規の運営企業や医療機関が、メールやSMS、電話を通じて利用者のパスワードや二要素認証の確認コード、暗証番号を聞き出すことは絶対にありません。これらを要求された時点で、例外なく詐欺と判断できます。
メッセージ内のリンクを安易にタップしない：

「至急ご確認ください」「不正アクセスの補償に関する手続き」といった内容のメッセージが届いても、本文中のリンクを直接開くのは避けてください。ブラウザを開き、あらかじめ保存してあるブックマークや検索画面から公式サイトへ直接アクセスし、マイページやお知らせ欄を確認する姿勢を徹底しましょう。
電話で個人情報を答えない：

医療機関や公的機関を名乗る不審な電話がかかってきた場合は、その場で回答せず、一度電話を切りましょう。その後、自分で調べた代表電話番号や公式サイトに記載された正規の問い合わせ窓口へ折り返し確認することが被害防止に繋がります。

6. オンライン医療サービスと上手に付き合い続けるための心得

オンライン診療やWeb問診、電子処方箋といった医療DXの取り組みは、通院の負担を軽減し、適切な医療アクセスを確保するうえで極めて価値の高い技術です。今回の事件があったからといって、過度に恐れてテクノロジーの恩恵をすべて拒絶してしまうのは賢明な選択とは言えません。

重要なのは、リスクの性質を正しく把握したうえで、安全に使いこなすためのリテラシーを身につけることです。

利用しなくなったアカウントは放置せず退会する

多くのWebサービスに登録したまま、利用しなくなったアカウントを長期間放置しているケースが散見されます。放置されたアカウントはパスワードの更新も行われず、不正ログインされても気づくことが遅れるため、攻撃者にとって格好の標的となります。

通院が終わって今後利用する予定がないサービスや、使わなくなった医療関連アプリがある場合は、登録情報をそのままにせず、退会（アカウント削除）手続きを行っておくことがリスク管理の一環となります。

スマートフォンやPCの基本セキュリティを維持する

どれほどサービス側のパスワードを強固にしても、操作しているスマートフォンやパソコン自体がマルウェア（悪意のあるウイルス等）に感染していたり、画面の覗き見に無防備であったりしては意味がありません。

OSやアプリを常に最新の状態にアップデートする： セキュリティの脆弱性を修正する更新プログラムは、配信され次第速やかに適用してください。
端末に画面ロックを設定する： 指紋認証、顔認証、あるいは強固なパスコードを設定し、紛失や盗難時に第三者が端末内データにアクセスできないようにしておきます。
不審な公衆Wi-Fiでの利用を避ける： 暗号化されていないフリーWi-Fi環境でオンライン診療や個人情報の送受信を行うことは避け、暗号化された安全な回線やモバイルデータ通信（4G/5G）を利用しましょう。