■ オンライン診療の不正ログイン事例から学ぶ医療DXのセキュリティ課題

医療分野におけるデジタル活用（医療DX）が急速に進む一方で、システムの「ログイン認証」を狙ったセキュリティ上のリスクが表面化しています。2026年10月、オンライン診療サービスにおいて第三者による不正アクセスが発生し、厚生労働省が全国の医療機関やシステム事業者に対して注意喚起と対策強化を求める事態となりました。

今回の問題は、システム内部の深刻なプログラム欠陥やサーバー破壊によるものではなく、正規のログイン画面から正しいIDとパスワードで侵入された点に特徴があります。デジタル化された医療環境において、いかに認証の仕組み（入口の防御）が重要であるかを物語る事例となりました。

■ MICIN「クロン」の事例：何が発生し、どのような情報が影響を受けたのか

被害が報告されたのは、株式会社MICINが運営するオンライン診療プラットフォーム「クロンオンライン診療」です。10月23日に一部のアカウントで不正ログインが検知され、同社はアクセス遮断や二要素認証未設定アカウントのパスワード初期化といった応急処置を行いました。

公表された内容によると、不正ログインを受けた医療機関アカウントは5つの医療機関・6アカウントで、そのうち3つの医療機関（患者73名分）で患者情報の閲覧可能性が確認されました。また、患者個人のアカウントについても14件で同様の被害が判明しています。報道等で出ている「最大87人分」という数字は、これら閲覧対象となった患者数とアカウント数を単純合算した最大値を示したものです。

閲覧された可能性がある情報には、氏名、連絡先、生年月日、カルテ番号、受診状況、さらには医師の診察メモや処方箋画像などが含まれます。幸いにもクレジットカード情報や本人確認書類などは対象外であり、現時点で金の不正決済などの二次被害やサーバー自体への侵入履歴は報告されていません。

■ 標的となった「リスト型攻撃」の仕組みとパスワード使い回しの危険性

今回の不正ログインの要因として挙げられているのが「リスト型攻撃（クレデンシャルスタッフィング）」です。これは、他社サービスなどから漏洩したIDとパスワードの組み合わせリストを悪用し、自動プログラムを使って標的サービスへのログインを試みる攻撃手法です。

ランダムに文字を組み合わせる攻撃とは異なり、実際に利用されている正しいログイン情報を流用するため、防衛側にとっては検知しにくいという特徴があります。この攻撃が成立してしまう最大の原因は、ユーザーが複数のWebサービスやシステムで同じID（メールアドレス等）とパスワードを使い回していることです。

このリスクを防ぐ最も有効な手段が「多要素認証（MFA）」です。仮にIDとパスワードが漏洩しても、スマートフォンアプリでの承認やワンタイムパスワードといった別の認証手段を組み合わせることで、第三者の不正侵入を水際でブロックできます。

■ 厚生労働省が発出した緊急要請：医療機関・事業者が直ちに行うべきこと

厚労省は10月28日付で事務連絡を発行し、10月30日の閣議後会見でも大臣自らが対策徹底の重要性に言及しました。今回の注意喚起はオンライン診療のみならず、予約・問診・業務効率化ツールなど、医療現場で導入されているすべてのクラウドサービス（SaaS）を対象としています。

【医療機関へ要請された緊急対応】

・多要素認証の必須化と有効化：システム上で多要素認証やパスキーが利用可能であれば直ちに有効化し、未設定の場合は早期の導入・設定強制を検討すること。

・パスワード管理の見直し：私用サービスや他システムと同一のパスワードを使い回していないか総点検を行うこと。

・アクセスログの緊急確認：深夜帯の不自然なアクセス、海外IPアドレスからの接続、短時間での認証試行など、不審なログがないか点検すること。

・院内周知と警戒：事業者になりすまして認証コードやパスワードを聞き出そうとするフィッシング連絡に注意すること。

【システム事業者へ要請された開発・運用対応】

・多要素認証（FIDO2／パスキー等）の標準実装および認証基盤の強化。

・不正ログインを検知・遮断するレートリミット（試行回数制限）やアカウントロック機能の実装。

・未設定ユーザーに対するパスワード強制リセットおよびセッション無効化の実施。

■ 医療現場で多要素認証（二要素認証）が進まない構造的理由と制度の背景

厚生労働省の「医療情報システムの安全管理に関するガイドライン」では、システム構築時の二要素認証導入が原則化されています。しかし実態として、病院における多要素認証の導入率は約1割程度にとどまっているのが現状です。

セキュリティ導入が進まない背景には、現場の意識問題だけでなく「利用しているシステム自体が多要素認証に対応していない」「システム改修やセキュリティ追加に伴う予算（数百万〜数千万円規模）の確保が難しい」といった構造的な課題が存在します。

制度面においても、安全管理ガイドラインでの要請と、オンライン診療の各種指針での記述レベル（推奨にとどまるケースなど）に微妙なギャップがあり、運用の「隙間」が生まれていました。今回の緊急要請は、こうした隙間を即座に埋め、すでに機能として存在している多要素認証を今すぐ有効化させることを狙いとしています。

■ 今すぐ確認！医療機関が取り組むべきセキュリティ対策チェックリスト

医療現場で自体制の安全を確認するため、以下の項目を順次チェックすることをお勧めします。

1. 利用中クラウドサービスの多要素認証設定

診療システムだけでなく、予約管理、問診、ファイル共有などの各クラウドサービスで二要素認証やパスキーが「ON」になっているか確認する。

2. ログインパスワードの再点検

職員が業務で使うアカウントで、プライベート用や他ツールと同じパスワードを流用していないか確認し、速やかに変更を促す。

3. アクセスログの点検依頼

ログ管理画面の確認、またはシステム委託先事業者へ不審なログイン履歴（海外からの接続や大量試行）の有無を問い合わせる。

4. 詐欺連絡に関する院内周知

「システム事業者」を騙り認証情報を聞き出そうとする不審なメールや電話に応じないよう、全スタッフへ教育を徹底する。

5. 委託先・ベンダーとの責任境界の明確化

セキュリティ障害発生時の対応フローや責任の分界点について、契約内容や確認表を用いて再確認しておく。

■ おわりに：医療DXの成功は「確実な本人確認」から

医療DXの推進により、診療データの共有や業務効率化など多くのメリットがもたらされています。しかし、どれほど便利なシステムであっても、その「入口」であるログイン画面が破られてしまえば、患者の重要な個人情報が一瞬で危険に晒されます。

医療情報は極めて機微な要配慮個人情報です。機能を増やして利便性を追求するのと同様に、アクセス認証を強固に保つことが医療 DX の基盤となります。パスワードの使い回しを止め、多要素認証をしっかりと有効化する――この基本的なセキュリティ対策の徹底こそが、患者からの信頼を守る第一歩となります。