2026年10月27日、株式会社MICINは、同社のオンライン診療サービス「クロンオンライン診療」で第三者による不正ログインがあったと公表しました。医療機関のアカウントを通じて、3医療機関の患者73名分の情報が閲覧されています。
同社の発表では、手口は**他のサービスから流出したIDとパスワードの組み合わせを使う「リスト型攻撃」**とみられています。パスワードを片っ端から試す「総当たり攻撃」とは違い、正しいIDとパスワードでログインされるため、パスワードを複雑にしても、使い回していれば防げません。
この事案は、オンライン診療を使うクリニックだけの問題ではありません。電子カルテ、Web予約、Web問診、メールなど、院外から入れるサービスはどれも同じ攻撃の対象になります。本記事では、事案の概要を公式発表で確認し、なぜ二要素認証が必要なのか、クリニックが今すぐ何をすべきかを整理します。
本記事は2026年10月31日時点の公表情報にもとづく一般的な情報提供です。事案の内容は株式会社MICINの発表時点のもので、今後の調査で変わる可能性があります。
事案の概要
株式会社MICINが2026年10月27日に公表した内容は次のとおりです。
| 項目 | 内容 |
|---|---|
| サービス | オンライン診療サービス「クロンオンライン診療」 |
| 発生日 | 2026年10月23日（同日に検知） |
| 手口 | 外部から取得したIDとパスワードの組み合わせを使うリスト型攻撃によるものとみられる |
| 不正ログインの対象 | 医療機関アカウント：5医療機関・6アカウント／患者アカウント：14アカウント |
| 患者情報が閲覧された範囲 | 3医療機関の患者73名分（医療機関アカウント経由） |
| 閲覧された可能性のある情報 | 患者の氏名、メールアドレス、電話番号、生年月日、住所、性別、カルテ番号、診察券番号、受診状況、医師によるメモなど。一部の患者は処方箋画像、診察記録、サービスの利用履歴も |
| 含まれない情報 | 本人確認書類、パスワード情報。クレジットカード情報は同社が保持していない |
| システムへの侵入 | 発表時点の調査では、同社のサーバーやデータベースへの侵入の形跡は確認されていない |
同社は、不正アクセス元からの通信の遮断、不正ログインのあったアカウントと二要素認証を設定していないアカウントのパスワードの初期化、全医療機関アカウントのログアウト、監視の強化を行い、個人情報保護委員会に報告したとしています。医療機関には、他サービスと異なるパスワードへの再設定と二要素認証の設定を、患者には、パスワードの使い回しをやめることと、端末のパスキー機能（指紋認証・顔認証など）の利用を呼びかけています。
報道によれば、上野賢一郎厚生労働大臣は10月30日の閣議後会見で、医療機関と医療情報システム事業者に対し、多要素認証の利用徹底とアクセスログの緊急確認などを求める通知を出したことを明らかにしました。
総当たり攻撃とリスト型攻撃の違い
パスワードを狙う攻撃には、いくつかの種類があります。防ぎ方が違うため、区別しておくことが大切です。
| 攻撃 | やり方 | 効く対策 | パスワードを複雑にすれば防げるか |
|---|---|---|---|
| 総当たり攻撃（ブルートフォース） | 1つのIDに対し、考えられる文字の組み合わせを順に試す | ログイン試行回数の制限、長く複雑なパスワード | 防ぎやすくなる |
| 辞書攻撃 | よく使われる単語や「password123」のようなパスワードを試す | 推測されやすいパスワードの禁止 | 防ぎやすくなる |
| パスワードスプレー | よく使われるパスワード1つを、多数のIDに少しずつ試す | 推測されやすいパスワードの禁止、不審なログインの監視 | 防ぎやすくなる |
| リスト型攻撃 | 他のサービスから流出したIDとパスワードの組み合わせを、そのまま試す | パスワードの使い回しをやめる、二要素認証 | 使い回していれば防げない |
リスト型攻撃では、攻撃者は「正解」を持った状態でログインしてきます。数回の試行で成功するため、試行回数の制限にも引っかかりにくく、パスワードがどれだけ複雑でも、他のサービスと同じなら突破されます。
職員が私用のサービスと同じパスワードを業務でも使っていれば、クリニックとは関係のないサービスでの流出が、そのまま自院への入口になります。
なぜ二要素認証で防げるのか
認証に使う要素は、次の3種類に分けられます。
- 知識：本人だけが知っているもの（パスワード、暗証番号）
- 所持：本人だけが持っているもの（スマートフォン、ICカード、ハードウェアトークン）
- 生体：本人の身体の特徴（指紋、顔）
二要素認証は、このうち異なる2種類を組み合わせて本人を確認する仕組みです。パスワードが流出しても、攻撃者は職員のスマートフォンやICカードを持っていないため、ログインできません。リスト型攻撃のように「パスワードが知られている」ことを前提にした攻撃に対して、最も効果のある対策です。
ただし、方式によって強さは違います。
| 方式 | 特徴 |
|---|---|
| SMSで届く確認コード | 導入しやすい。電話番号の乗っ取りや、偽サイトでコードを入力させる手口には弱い |
| 認証アプリのワンタイムコード | SMSより安全。偽サイトにリアルタイムで入力させる手口には注意が必要 |
| パスキー（指紋・顔認証など） | 正規のサイトでしか使えない仕組みで、偽サイトに誘導されても使われにくい |
| ICカード・ハードウェアトークン | 共用端末の多い院内で使いやすい。紛失時の手順が必要 |
方式を選べるサービスでは、パスキーや認証アプリを優先し、それができない場合でもSMSの二要素認証を有効にするだけで、リスト型攻撃への耐性は大きく上がります。
制度上の位置づけ
二要素認証（多要素認証）は、医療分野の指針・ガイドラインにも明記されています。
- オンライン診療の適切な実施に関する指針（令和8年4月改訂）：医療機関が行うべき対策として「オンライン診療に用いるシステムを使用する際には、多要素認証を用いるのが望ましい」としています。事業者に対しても、システムの運用保守を行う職員や事業者のアクセス権限を多要素認証などで管理することが望ましいとしています。
- 医療情報システムの安全管理に関するガイドライン 第6.0版（システム運用編）：パスワードで利用者を認証している場合、「令和9年度時点で稼働していることが想定される医療情報システムを、今後、新規導入又は更新するに際しては、二要素認証を採用するシステムの導入、又はこれに相当する対応を行うこと」を遵守事項としています。
オンライン診療の指針では「望ましい」という表現ですが、今回の事案を受けて厚生労働省が多要素認証の利用徹底を求めたと報じられており、「設定できるのにしていない」状態は説明がつきにくくなっています。
クリニックが今すぐやるべきこと
1. 院外から入れるサービスを洗い出す
オンライン診療だけでなく、院外からログインできるサービスをすべて一覧にします。
- オンライン診療、Web予約、Web問診
- クラウド型の電子カルテ・レセコン
- メール、グループウェア、ファイル共有
- オンライン資格確認・医療機関向けポータル、保守業者のリモート接続
2. 二要素認証を有効にする
一覧にしたサービスごとに、二要素認証が設定されているかを確認し、設定できるものはすぐに有効にします。今回の事案では、二要素認証を設定していないアカウントのパスワードが一律に初期化されました。設定できる機能があるのに使っていない状態が、最も危険です。
3. パスワードの使い回しをやめる
業務で使うパスワードは、私用のサービスと必ず分けます。覚えきれない場合は、パスワード管理ツールの利用をルールで認めるほうが、メモや使い回しより安全です（パスワードポリシーの設計）。
4. 共用IDをやめ、退職者のアカウントを止める
複数の職員で1つのIDを使っていると、二要素認証の設定も、誰が操作したかの確認もできません。職員ごとにIDを発行し、退職者のアカウントは退職日に停止します（アクセス権限設計と特権ID管理）。
5. ログイン履歴を確認する
厚生労働省の通知でも、アクセスログの確認が求められたと報じられています。サービスの管理画面でログイン履歴が見られる場合は、心当たりのない日時・場所からのログインがないか確認します。
6. 事業者に確認する
利用している事業者に、次の点を確認しておきます（事業者に確認すべき質問リスト）。
- 二要素認証を必須にする設定はあるか
- ログイン試行の制限や、不審なログインの検知をしているか
- 医療機関がログイン履歴を確認できるか
- 不正ログインが疑われるとき、医療機関にどう連絡するか
7. 患者に案内する
オンライン診療では、患者側のアカウントも狙われます。患者向けの案内で、パスワードを使い回さないこと、パスキーなどの機能が使える場合は使うことを伝えます。あわせて、クリニックや事業者がパスワードや認証コードを尋ねることはないと伝えておくと、事案に便乗した詐欺の予防になります。
もし不正ログインが疑われたら
- 該当アカウントのパスワードを変更し、二要素認証を設定する
- 事業者に連絡し、ログイン履歴と閲覧された情報の範囲を確認する
- 診療情報が閲覧された可能性がある場合は、個人情報保護委員会への報告と本人への通知を検討する（速報は概ね3〜5日以内、確報は原則30日以内、不正アクセスなど不正の目的によるおそれがある場合は60日以内）
報告の考え方は個人情報漏えい時の報告義務、対応の流れは医療機関のインシデント対応計画で解説しています。
よくある質問
Q. パスワードを長く複雑にすれば、二要素認証は不要ですか。 A. 総当たり攻撃には効果がありますが、リスト型攻撃には効果がありません。他のサービスで同じパスワードを使っていれば、長さや複雑さに関係なくそのままログインされます。
Q. 今回の事案は、事業者のシステムの欠陥によるものですか。 A. MICIN社の発表時点では、同社のサーバーやデータベースへの侵入の形跡は確認されておらず、外部から取得したIDとパスワードによるログインとみられています。システムが安全でも、アカウントの認証が破られれば情報は見られてしまう、という点が重要です。
Q. 二要素認証にすると、毎回のログインが面倒になりませんか。 A. 多くのサービスでは、信頼できる端末を登録すれば一定期間は確認を省略できます。院内の共用端末の扱いは、多要素認証の導入で現実的な進め方を整理しています。
まとめ
- MICIN社の事案は、他サービスから流出したIDとパスワードを使うリスト型攻撃とみられ、患者73名分の情報が閲覧された
- リスト型攻撃は正しいパスワードでログインされるため、パスワードを複雑にしても使い回していれば防げない
- 二要素認証は、パスワードが知られていてもログインを防げる、最も効果の大きい対策
- オンライン診療の指針は多要素認証を「望ましい」とし、安全管理ガイドラインは新規導入・更新時の二要素認証を求めている
- まずは院外から入れるサービスの一覧化と、二要素認証の有効化から始める
情報漏洩の経路全体と対策の優先順位は、情報漏洩時代にクリニックが守るべきセキュリティ対策にまとめています。
ポテックは、医療機関向けの電子カルテ・医療DXの提供と、医療情報セキュリティの体制づくりの支援を行っています。自院のアカウント管理や認証の設定に不安がある場合は、お問い合わせからお気軽にご相談ください。
参考・出典
- 株式会社MICIN「オンライン診療サービス『クロンオンライン診療』への不正ログインに関するご報告」（2026年10月27日） https://micin.jp/news/14859/
- 時事通信「医療機関に対策強化通知 オンライン診療不正アクセスで 上野厚労相」（2026年10月30日、Yahoo!ニュース掲載） https://news.yahoo.co.jp/articles/f9a8f6021cfb952d77fd2d83be2dcd89f781ee31
- 厚生労働省「オンライン診療の適切な実施に関する指針」（令和8年4月改訂） https://www.mhlw.go.jp/content/001685701.pdf
- 厚生労働省「医療情報システムの安全管理に関するガイドライン 第6.0版 システム運用編」 https://www.mhlw.go.jp/content/10808000/001582980.pdf
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」 https://www.ppc.go.jp/personalinfo/legal/leakAction/