何が起きたか

エムスリー株式会社は2026年10月15日、同社が運営する製薬企業向けサービス「MR君」のシステムに対して第三者による不正アクセスが行われ、同社が保有する個人情報の一部が外部に漏えいしたと発表した。

同社の発表によれば、不正アクセスを確認したのは2026年10月14日（水）。調査の結果、一部の医師会員および製薬企業の担当者に関する情報が漏えいしたことを、同日中に確認したとしている。

漏えいが確認されている情報の範囲は、一部の医師会員（医師会員全体の1割未満）と、製薬企業の担当者（数百名規模）の氏名、勤務先、一部の人のメールアドレス等。一方で、ログインパスワードや保有するm3ポイント等は含まれていない。クレジットカード番号等の情報については、そもそも同社で保持していないとしている。

対象となる人数および不正アクセスを受けた情報の詳細については、引き続き精査中で、詳細が判明次第、続報で知らせるという。

また同社は、現時点において、漏えいした情報が不特定多数に公開された事実や、不正利用された事実は確認されていないとしている。

原因と、これまでの対応

不正アクセスが可能となった原因については、現在詳細な調査を進めている段階で、現時点では「第三者による不正アクセスによるもの」と確認したにとどまる。

対応としては、不正アクセスの確認後、影響範囲の特定と並行して防御策の強化を行った。現時点で判明している不正アクセスの経路は遮断し、監視を続けているという。今後も、同社の各サービスを対象とした防衛強化を実施していくとしている。

あわせて、監督官庁への報告など必要な対応を進めているほか、本件の対象となる人に対しては順次案内を行う。製薬企業など取引先に対しては、同社の担当者から順次連絡するとしている。

会員・取引先に向けては、同社を装った不審なメール、SMS、電話などへの注意を呼びかけ、不審な連絡や身に覚えのない利用を確認した場合は問い合わせ窓口に連絡するよう求めた。問い合わせ先は、会員向けがm3.comカスタマーサポート、株主・投資家向けがIR担当（info-ir@m3.com）、報道関係者向けが広報担当（pr@m3.com）となっている。

同社は引き続き詳細な調査を継続しており、調査の進展により新たな事実が判明した場合は、改めて速やかに知らせるとしている。

製薬業界にとっての意味

今回漏えいが確認された情報には、医師会員だけでなく、製薬企業の担当者の氏名・勤務先・メールアドレス等が含まれる。「MR君」は製薬企業向けのサービスであり、その利用者である製薬企業側の担当者情報が影響範囲に入った点は、製薬各社にとって自社の問題でもある。対象となる取引先には同社担当者から順次連絡が入るとされており、各社は自社の担当者が対象に含まれるかどうかの確認と、社内への周知が当面の実務になる。

また、エムスリー自身が「当社を装った不審なメール、SMS、電話」への注意を呼びかけている点は重要だ。氏名と勤務先、メールアドレスという組み合わせは、相手の所属を知ったうえで送られてくる連絡の材料になりうる。医師会員側でも製薬企業側でも、発表後しばらくは、同社名を用いた連絡への警戒が必要になる。

もっとも、現時点の発表は確定した事実が限られている。対象者数は「医師会員全体の1割未満」「数百名規模」という粒度にとどまり、具体的な人数も、不正アクセスが可能となった原因も、精査・調査の途中である。パスワードやm3ポイントが含まれないこと、クレジットカード情報を保持していないことは明示されたが、影響範囲の全体像は続報を待つ段階にある。

製薬企業にとって、医師向けのデジタルチャネルは日常的な情報提供の基盤になっている。その基盤を担う事業者でのインシデントが、委託先・利用先のセキュリティをどう確認するかという論点を、各社にあらためて突きつけた格好だ。エムスリーは各サービスを対象とした防衛強化を継続するとしており、今後公表される調査結果の内容が、取引先各社の対応判断の материал となる。