著名なセキュリティーリサーチャーのpiyokango氏が注目のシステムトラブルをピックアップ。今週の注目ネタは……。
今回は、マツダ病院の患者情報がクラウド上で閲覧可能だった事故、ユタカ電業のChatworkアカウント不正アクセス、双日テックイノベーションの弁当注文サイトにおけるアクセス制御不備を取り上げる。
委託先の設定ミスで患者情報が閲覧可能、報告まで1年以上
マツダ病院は2026年4月23日、同院がCT・MRI・RIの画像診断を委託している外部事業者で、患者情報を含むデータが第三者から閲覧可能な状態になっていたと発表した。
同院によれば、委託先がCT・MRI・RIの画像診断データをクラウドサービス内に保管する際、ファイル共有設定を誤ったことが原因で、一定期間にわたり適切なアクセス制限がなされない状態になっていたという。共有設定の誤りが生じたのは2023年4月上旬とされる。
委託先は2024年11月下旬に設定不備の可能性を認識し、同年12月中旬に設定を修正したものの、同院にすぐ報告しなかった。同院は委託先から2026年2月16日に報告を受けて事案を把握し、今回の発表に至った。
影響を受けたのはCT・MRI・RI検査を受けた患者626人で、患者ID、氏名、撮影日、撮影種別、部位、部位数が漏洩した可能性があるとしている。同院は、委託先が共有設定の解除を実施済みであることを確認したという。
同院は再発防止策として、委託先に対して管理状況や再発防止策の履行状況を定期的に確認するとともに、事故の恐れを認識した際は速やかに報告するよう指導した。委託先側の対策としては、クラウド利用時の共有設定ルールの改定と全社員への周知、定期的な教育の実施に加え、共有設定が第三者閲覧可能となった場合に設定者およびセキュリティー担当者へ通知する仕組みの導入を挙げた。
https://hospital.mazda.co.jp/news/20260423/index.html
