エムスリー「MR君」に不正アクセス、医師の氏名・勤務先が漏えい——医療機関に届く「本物らしい連絡」に注意

2026年10月15日、医療従事者向けサイト「m3.com」を運営するエムスリーが、製薬企業向けサービス「MR君」に不正アクセスがあり、一部の医師会員と製薬企業の担当者の個人情報が漏えいしたと発表しました。漏えいしたのは、氏名や勤務先、一部の方のメールアドレスなどです。

氏名と勤務先の病院・診療所が分かると、その医師あてに本物らしいメールや電話を仕掛けやすくなります。医療機関で働く方や、クリニックの事務の方に知っておいてほしいことを整理します。

何が起きたのか

侵入の原因は調査中で、対象者には順次知らせるとしています。

氏名と勤務先で何が起きうるか

パスワードは漏れていません。ただ、「どの病院の、どの先生か」が分かる情報は、狙いを絞った詐欺（標的型攻撃）の材料になります。

• 製薬企業やエムスリーを装うメール：「新薬の説明会のご案内」「m3ポイントの失効について」と、偽のログイン画面に誘う
• 病院あての偽の連絡：先生の名前を出して、事務や受付に「資料を送りたいので担当のメールアドレスを」「振込先が変わった」と連絡する
• 添付ファイル付きのメール：「講演資料」「症例データ」を装ってウイルスを送り込む。病院のパソコンが感染すると、電子カルテや業務が止まるおそれがある

医療機関はランサムウェアの被害が多い分野です。入口はメールの添付ファイルやリンクになることが少なくありません。

医師・医療機関の方が今やること

1. エムスリーや製薬企業を名乗る連絡は、別の経路で確かめる

メールのリンクや添付からは手続きせず、m3.com を自分で開くか、いつもやり取りしている担当者に直接確認してください。エムスリーも、同社を装ったメール・SMS・電話に注意するよう呼びかけています。見分け方は標的型攻撃メールとは？普通の迷惑メールとの違いで解説しています。

2. 院内で「先生の名前を出した連絡」に注意するよう共有する

事務や受付のスタッフにも、「先生の名前と病院名を知っている相手でも、本物とは限らない」と伝えておきます。振込先の変更や、メールアドレスの問い合わせは、折り返しの電話で確かめる決まりにすると安全です。

3. m3.com と同じパスワードをほかで使っていたら変える

今回パスワードは漏れていませんが、見直す良い機会です。身に覚えのないログインや利用があれば、m3.com のカスタマーサポートに問い合わせてください。

委託先・取引先のシステムから漏れるという共通点

今回は、医師が直接使うサイトではなく、製薬企業との間をつなぐサービスが狙われました。自分が使っていないつもりのサービスにも、名前や勤務先は登録されています。クリニックや医療機関として、どの外部サービスに職員の情報を預けているかを把握しておくと、こうした発表があったときに素早く動けます。

まとめ：名前と勤務先を知っている相手でも、まず疑う

• エムスリーの「MR君」で、医師会員の1割未満と製薬企業の担当者数百人分の氏名・勤務先などが漏えい
• パスワードとポイントは含まれない。悪用は現時点で確認されていない
• 製薬企業やエムスリーを装うメール・電話は、リンクではなくm3.com や担当者に直接確かめる。院内のスタッフにも共有を

「届いたメールが本物の製薬企業からか分からない」「院内のパソコンやメールの守りを見直したい」という医療機関の方は、BULLCOM Securityにご相談ください（法人向けサービス）。メールのスクリーンショットをLINEで送っていただければ、詐欺かどうかを確認してお返事します（無料）。

参考：週刊アスキー、日本経済新聞（いずれもエムスリーの2026年10月15日付の発表に基づく）