エムスリー第2報2万5775人と2260人の確認範囲を分ける

資料で確認できること

10月14日に確認・遮断、15日初報、23日に人数を公表

会社は10月14日、「MR君」のシステムへの第三者による不正アクセスを確認し、同日中に判明した経路を遮断したと説明しています。翌15日の初報では、医師会員は全体の1割未満、製薬企業担当者は数百人規模としていました。

10月23日の第2報で、調査により判明した対象人数と情報項目を公表しました。10月22日以降、対象となる会員へ登録メールアドレス宛てに順次個別連絡をしているとしています。

• 資料 01エムスリー株式会社：不正アクセスによる個人情報漏えいに関するお詫びとお知らせ
• 資料 02エムスリー株式会社：不正アクセスによる個人情報漏えいに関するお詫びとお知らせ 第2報

資料で確認できること

m3.com会員等2万5775人、製薬企業担当者2260人で漏えいを確認

m3.com会員等では、氏名、勤務先、一部の人のメールアドレス、一部サービスの利用情報、製薬企業が登録していた担当関係等が含まれ、いずれかの漏えいが確認された人数は2万5775人です。このうちメールアドレスが含まれたのは6人とされています。

製薬企業の担当者では、氏名、勤務先、一部の人のメールアドレス等が対象で、いずれかの漏えいが確認された人数は2260人です。このうち264人はメールアドレスを含むと説明しています。m3.com会員等には、製薬企業から預かっていたm3.com会員ではない医師の情報も一部含まれます。

• 資料 02エムスリー株式会社：不正アクセスによる個人情報漏えいに関するお詫びとお知らせ 第2報

当事者の説明

ログインパスワード、m3ポイント、カード番号等は対象外

会社は、漏えいが確認された情報にログインパスワードと保有するm3ポイント等は含まれないと説明しています。クレジットカード番号等は同社で保持していないとしています。

対象外との説明は重要ですが、確認された氏名、勤務先、担当関係、利用情報等の漏えいを小さくするものではありません。不審な連絡が届いた場合は、公開された対象項目と照らし合わせ、公式窓口へ別経路で確認する必要があります。

• 資料 02エムスリー株式会社：不正アクセスによる個人情報漏えいに関するお詫びとお知らせ 第2報

当事者の説明

不正取得経路を封じ込め、個別連絡と防衛強化を継続

会社は、判明している不正取得経路の封じ込めを完了し、新たな情報の不正取得は確認していないと説明しています。監督官庁への報告と各サービスの防衛強化も実施したとしています。

登録メールアドレスの変更等で個別メールを届けられない対象者には、公式発表をもって個別連絡に代えるとしています。また、会社からの個別連絡でパスワード、カード情報、銀行口座情報等の入力や提供を求めることはないと明記しています。

• 資料 02エムスリー株式会社：不正アクセスによる個人情報漏えいに関するお詫びとお知らせ 第2報

未確認の点

侵入原因、対象者ごとの項目、通知完了、二次利用は未確認

10月25日の確認時点で、不正アクセスが可能になった具体的な原因、侵入開始日時、対象者ごとに該当する情報項目、個別連絡の完了状況、漏えい情報が第三者へ共有・二次利用されたかは、公開資料だけでは確定できません。

会社は、不特定多数への公開や不正利用を確認していないとしています。これは第2報時点の確認状況であり、将来の被害が起きないことや、情報がほかに渡っていないことを保証する表現ではありません。

• 資料 01エムスリー株式会社：不正アクセスによる個人情報漏えいに関するお詫びとお知らせ
• 資料 02エムスリー株式会社：不正アクセスによる個人情報漏えいに関するお詫びとお知らせ 第2報

確認の範囲

このコラムの確認範囲

本稿は2026年10月25日に取得したエムスリーの10月15日付初報と10月23日付第2報を照合しました。JBJは会社、会員、取引先、関係当局、攻撃者へ直接取材しておらず、システム、ログ、漏えい情報、個別通知を独立に確認していません。掲載画像は確認範囲を整理する説明用イメージで、実際の人物・設備・画面・資料・被害記録ではありません。

• 資料 01エムスリー株式会社：不正アクセスによる個人情報漏えいに関するお詫びとお知らせ
• 資料 02エムスリー株式会社：不正アクセスによる個人情報漏えいに関するお詫びとお知らせ 第2報

JBJの見解

医療関係者の情報漏えいを重く扱い、範囲を広げすぎない

医療従事者や製薬企業担当者の氏名、勤務先、担当関係等を含む情報が漏えいしたことは重大です。対象者への確実な通知、侵入原因、管理上の課題、再発防止策について、会社には継続した説明が求められます。

一方、公式発表はm3.comの全会員情報やエムスリーの全サービスが漏えいしたとは説明していません。確認された「MR君」の事案と、同社が10月21日に公表したStudio利用サイトの別事案を混同しないことも必要です。

JBJの見解

届いた連絡、勤務先、サービス利用、不審な連絡を分けて記録する

対象となる可能性がある人は、エムスリーから届いた連絡の受信日時、登録メールアドレス、勤務先、一部サービスの利用状況、不審なメールや電話を分けて保存してください。医療・業務上の非公開情報をSNSへ掲載しないでください。

不審な案内は本文のリンクを開かず、公式サイトを自分で開いて窓口を確認します。勤務先や製薬企業が説明するときも、確認された対象者と情報項目を示し、医療従事者全体へ影響を広げないことが重要です。

• 資料 02エムスリー株式会社：不正アクセスによる個人情報漏えいに関するお詫びとお知らせ 第2報

JBJの見解

会社の説明責任を問い、医師や担当者への攻撃を避ける

漏えいが確認された以上、会社には原因、対象者への通知、管理上の課題、対策の有効性を説明する責任があります。対象者や取引先が具体的な説明を求めることは正当です。

一方、サービスを利用していた医師や製薬企業担当者に攻撃の責任を広げたり、勤務先や担当関係を推測で公表したりする根拠はありません。確認された問題と、資料を超えた断定を分けます。