何が起きたか

東邦ホールディングス株式会社（コード番号8129、東証プライム市場、代表取締役 社長執行役員CEO 枝廣弘巳）は2026年10月19日、同社の非連結子会社であるエンタッチ株式会社（本社：東京都、代表取締役：辻浦珠代）が管理するデータベースに第三者による不正アクセスがあり、保有する情報の一部が外部に漏洩したことが判明したと公表した。

発覚は2026年10月13日16時頃。エンタッチが管理するデータベースから、リモートディテーリング事業に関するデータが外部に漏洩していることが確認された。原因は、ランサムウェア攻撃を行う第三者による不正アクセスであると同社は説明している。

エンタッチは、医療機関向けにリモートで情報提供を行うリモートディテーリング事業等を手がける。同事業は、東邦ホールディングスの医薬品卸売事業子会社である東邦薬品株式会社（本社：東京都、代表取締役社長：馬田明）からの受託のもとで行っている場合と、エンタッチ自らが直接製薬企業からの受託のもとで行っている場合がある。つまり、流出したデータには、卸を介した案件と製薬企業から直接受託した案件の双方が含まれうる構造になっている。

漏洩が確認された情報として、東邦ホールディングスは以下を挙げている。

  • 当サービスを利用した医療従事者の氏名、所属医療機関、所在地都道府県
  • プラットフォームにアクセスするユーザー（管理者、eMR等）の情報（氏名、メールアドレス）
  • 予約時に連絡先として入力された電話番号、メールアドレス
  • 予約対象となった製品名・製薬企業名
  • 予約作成日時、面談日時、面談ステータス

一方で、プロジェクトで情報提供に使用するコンテンツファイル本体や、録画・音声データは該当データベース上に存在しないため、今回の漏洩範囲の対象外としている。対象となる可能性のある件数および詳細な範囲については、現在調査中である。

封じ込めと報告の状況

東邦ホールディングスは、本事象はエンタッチのシステムにおけるものであり、同社グループの他のシステムとは完全に遮断されているため、グループの他システムへの影響はないとしている。また、データの改ざんや消去は確認されておらず、エンタッチの事業継続への支障は生じていないという。

エンタッチは発覚後直ちに応急・防御措置を実施した。具体的には、データベースにアクセスするソフトウェアへのセキュリティパッチの適用、アクセスログの保全および全パスワードの強制変更である。あわせて、警視庁サイバー犯罪対策課への相談と、個人情報保護委員会への報告を行っている。このうち東邦薬品からの業務委託に基づくものについては、東邦薬品から報告を実施したとしている。委託元と受託先で報告主体を分けた形だ。

今後については、外部専門機関（フォレンジック調査会社）へ調査を依頼し、専門家と連携して原因究明、影響範囲の特定、および対策の検討を進めるとしている。利用者に対しては、不審なメール等に注意するよう呼びかけた。調査の進展により新たに知らせるべき事実が判明した場合には、速やかに公表するとしている。

業界にとっての意味

今回流出が確認された項目を並べると、単なる連絡先リストにとどまらない点が目を引く。医療従事者の氏名と所属医療機関に加えて、「予約対象となった製品名・製薬企業名」「面談日時」「面談ステータス」が含まれている。これは、どの医師がどの製薬企業のどの製品について、いつ説明を受けたのか（あるいは受ける予定だったのか）という組み合わせが、外部に出た可能性があることを意味する。氏名やメールアドレス単体よりも、この組み合わせのほうが機微な情報になりうる。

コロナ禍以降に広がったリモートでの情報提供は、面談の予約・記録をプラットフォーム上に集約することで成り立っている。その利便性の裏側で、複数の製薬企業の活動履歴が一つのデータベースに集まるという構造が生まれる。今回のケースは、その集約点が攻撃を受けたときに何が起きるかを示した事例といえる。委託元である製薬企業にとっては、自社システムが無事でも、委託先のプラットフォームを通じて自社製品名と医師の面談記録が外部に出る経路が存在することになる。

また、東邦薬品からの受託分については東邦薬品が個人情報保護委員会へ報告を行っている点も、実務上は参考になる。卸が製薬企業から受託し、さらにグループ会社へ再委託するという多層構造では、事故時の報告義務が誰にかかるかが論点になる。今回は委託元・受託先の双方が自らの立場で報告する形をとった。

件数や影響範囲はなお調査中であり、フォレンジック調査の結果を待つ段階にある。続報が出た時点で、改めて範囲を確認する必要がある。