エムスリーの製薬企業向け「MR君」に不正アクセス。医師など2万5,775人と製薬企業の担当者2,260人の情報が漏えい

01発表されている事実

1. 10月14日（水）

   MR君のシステムへの不正アクセスを確認。同日、一部の会員と製薬企業の担当者の情報の漏えいを確認し、判明した経路を遮断

2. 10月15日

   公表。対象は医師会員全体の1割未満と、製薬企業の担当者数百名規模とした

3. 10月22日（木）以降

   対象の会員に、登録メールアドレスあてで順次個別に連絡

4. 10月23日

   第2報。人数を公表

ログインパスワードや保有するm3ポイントは含まれていません。クレジットカード番号などは同社で持っていません。会員様等には、m3.com会員以外の、製薬企業から預かっている医師の情報も一部含まれます。現時点で、漏えいした情報が不特定多数に公開された事実や、不正に使われた事実は確認されていないとしています。原因の詳しい説明はまだありません。

02読者への影響

漏れたのは主に「どの医師が、どこに勤めていて、どの製薬企業のだれが担当か」という仕事上のつながりの情報です。メールアドレスが含まれる人は限られますが、勤務先がわかると、病院の代表電話や郵送で、製薬企業やエムスリーを名乗る連絡が届くおそれがあります。担当者の名前を出されると信じやすく、標的型メールや、偽のログイン画面への誘導に使われやすい種類の情報です。

03今すぐやること

1. 医療機関の方は、エムスリーや製薬企業を名乗るメール・SMS・電話で、パスワードやカード情報、口座情報を求められても応じない。同社は個別連絡でこれらの入力や提供を求めることはないとしています
2. MRの名前を出して資料のダウンロードやログインを求めるメールは、前から知っている連絡先で担当者本人に確かめる
3. 病院・診療所では、受付や医局に「製薬企業を名乗る不審な連絡」に気をつけるよう共有する
4. 問い合わせは m3.com カスタマーサポート（cs-security@m3.com）へ

04同じことを防ぐには（会社の方へ）

取引先から預かった名簿は、自社の顧客情報と同じ重さで守る必要があります。業務でつながりの深い相手を装うメールは見分けにくいため、メールの送信元を確かめる仕組み（DMARCなど）と、社員の訓練をあわせて進めるのが効果的です。図鑑の「メールセキュリティ・訓練」の分類で、サービスを比べられます。

05今後の発表

同社は判明した不正取得の経路の封じ込めを終え、新たな不正取得は確認されていないとしています。調査を続け、新たな事実が分かれば知らせるとしています。