何が起きたか

エムスリー株式会社は2026年10月15日、同社が運営する製薬企業向けサービス「MR君」のシステムに対して第三者による不正アクセスが行われ、同社が保有する個人情報の一部が外部に漏えいしたことが判明したと発表した。

同社の発表によると、不正アクセスを確認したのは2026年10月14日（水）。調査の結果、一部の医師会員および製薬企業の担当者に関する情報が漏えいしたことを、同日中に確認したとしている。

影響範囲について、同社は現時点で不正アクセスを受けたことを確認している情報として、一部の医師会員（医師会員全体の1割未満）と、製薬企業の担当者（数百名規模）を挙げた。漏えいした情報には、氏名、勤務先、一部の人のメールアドレス等が含まれる。

一方で、ログインパスワードや、会員が保有するm3ポイント等は含まれていないと明記している。クレジットカード番号等の情報については、そもそも同社で保持していないとしている。

対象となる人数および不正アクセスを受けた情報の詳細については、引き続き精査中で、詳細が判明次第、続報として知らせるとしている。

現時点において、漏えいした情報が不特定多数に公開された事実や、不正利用された事実は確認されていないという。

原因調査と同社の対応

不正アクセスが可能となった原因については、現在詳細な調査を進めているところで、現時点では「第三者による不正アクセスによるもの」と確認している段階にとどまる。

同社は不正アクセスの確認後、影響範囲の特定と並行して防御策の強化を行ったと説明。現時点で判明している不正アクセスの経路は遮断しており、監視を続けているとしている。今後も、同社の各サービスを対象とした防衛強化を実施していくという。

あわせて、監督官庁への報告など必要な対応を進めているほか、本件の対象となる人に対しては順次案内するとしている。

利用者に対しては、同社を装った不審なメール、SMS、電話などに注意するよう呼びかけた。不審な連絡や身に覚えのない利用を確認した場合は、問い合わせ窓口へ連絡するよう求めている。

問い合わせ窓口は、会員向けには「m3.comカスタマーサポート」、株主・投資家向けにはIR担当、報道関係者向けには広報担当がそれぞれ設けられた。対象となる取引先（製薬企業）には、同社の担当者から順次連絡するとしている。

製薬企業側にも及ぶ影響

今回の発表で注目されるのは、漏えいの対象が医師会員だけでなく、製薬企業の担当者にも及んでいる点である。「MR君」は製薬企業向けサービスであり、製薬企業の担当者が自社の医薬品情報を医師会員に届けるために利用する。つまりこのシステムには、情報の受け手である医師と、送り手である製薬企業側の双方の情報が集まる構造になっている。今回、その双方から情報が漏えいした形だ。

製薬企業の担当者について同社が示した規模は「数百名規模」である。氏名と勤務先が含まれるため、どの企業の誰がこのサービスに関わっていたかという情報が外部に出た可能性がある。一部についてはメールアドレスも含まれる。同社が「当社を装った不審なメール、SMS、お電話など」への注意を呼びかけているのは、こうした情報が悪用された場合のリスクを想定したものと読める。

医師会員については「医師会員全体の1割未満」という表現にとどまり、実数は示されていない。人数と情報の詳細はいずれも精査中とされており、続報で規模が変わる可能性がある。同社自身も「調査の進展により新たな事実が判明した場合には、改めて速やかにお知らせいたします」と記しており、現時点の発表が確定値ではないことを示している。

製薬企業にとっては、自社が契約するデジタル情報提供サービスの事業者側で、自社の従業員の情報が漏えいしたという事態になる。対象となる取引先には同社担当者から順次連絡が入るとされており、各社は自社の担当者が対象に含まれるかどうかの確認と、不審な連絡への注意喚起が当面の対応となる。

原因の特定が未了である以上、同種のリスクが同社の他サービスに及ぶかどうかも現時点では判断材料がない。同社が「当社の各サービスを対象とした防衛強化を実施してまいります」としている点は、調査と対策が「MR君」単体にとどまらない範囲で進められることを示している。続報で原因と範囲がどこまで明らかになるかが、次の焦点となる。