何が起きたか

エムスリー株式会社は2026年10月21日、同社が運営する「M3PSP」サービスサイトおよび「1人1円ファンド」ウェブサイトの運営に利用しているクラウドサービス「Studio」で第三者による不正アクセスが発生し、両サイトのお問い合わせフォーム等を通じて取得し同サービス上で管理していた個人情報が漏えいした可能性があることを確認したと発表した。

発端は2026年10月16日である。同社の発表によれば、この日、Studioのサービス提供事業者であるStudio株式会社から、同社が利用するクラウド環境への第三者による不正アクセスおよび情報流出の可能性について公表があった。これを受けてエムスリーが確認を進めた結果、対象サイトのフォーム経由で取得した個人情報についても漏えいの可能性があると判明した。

漏えいした可能性のある情報は、現時点で以下のとおりとされている。

「M3PSP」サービスサイト（https://service.m3psp.jp/）では、お問い合わせ・資料請求等のフォームに入力された情報が対象で、氏名、会社名、電話番号、メールアドレス、お問い合わせ内容等が含まれる。対象人数は271名。

「1人1円ファンド」ウェブサイト（https://m3-1p1y.com/）では、お問い合わせフォームに入力された情報が対象で、氏名、会社名、電話番号、メールアドレス、ご相談内容等が含まれる。添付ファイルについてはファイル名のみが対象で、ファイルの中身は含まれていないとしている。対象人数は127名。

自社システムへの侵入は確認されず

エムスリーは、現時点で第三者が実際にデータを取得した事実は確認されていないとしている。ただし、Studio社は情報が取得されたものとみなして対応を進めているという。

また同社は、本件が利用する外部のクラウドサービスに対する不正アクセスによるものであり、これに関連してエムスリー自身のシステムへの不正アクセスは確認されていないと明記した。漏えい等の対象は対象サイトのフォームを通じて取得した情報に限られ、同社が提供するその他のサービスは本件の対象ではないとしている。

今後の対応として、同社は対象となる情報および影響範囲の確認を進めるとともに、対象となる方への連絡を含め必要な対応を進めるとした。あわせて、本件に便乗した不審なメール、SMS、電話などが届く可能性があるとして、不審な連絡を受けた場合は記載されたURLへのアクセスやパスワード等の入力を控えるよう呼びかけている。

問い合わせ先は、対象サイト利用者向けがカスタマーサポート（info@m3.com）、株主・投資家向けがIR担当（info-ir@m3.com）、報道関係者向けが広報担当（pr@m3.com）と、用途別に3つが示された。

サプライチェーンとしてのクラウド

今回の件で注目されるのは、漏えいの可能性が生じた経路である。エムスリーは、自社システムへの侵入は確認されていないと説明している。つまり、守るべき情報が置かれていたのは、自社が運用する環境ではなく、サイト構築に用いていた外部のクラウドサービス上だった。

医療・製薬関連の事業者にとって、問い合わせフォームや資料請求フォームは、医師や企業担当者との最初の接点である。そこに入力されるのは氏名、会社名、電話番号、メールアドレス、問い合わせ内容といった、本人と所属を特定しうる情報の組み合わせだ。今回対象となった合計398名分の情報も、そうした性質を持つ。

また、エムスリーが確認を開始したのは、クラウド事業者側の公表があった2026年10月16日である。外部サービスを利用する事業者は、侵害の事実を自力で最初に検知できるとは限らず、委託先・利用先の公表を起点に自社の影響範囲を洗い出すという順序をたどる。今回の発表は、その手順が実際にどう進むかを示す一例といえる。

加えて、実際のデータ取得が確認されていない段階でも、Studio社が「情報が取得されたものとみなして」対応を進めているという点は、不確実な状況下での保守的な前提の置き方を示している。エムスリーが本件に便乗した不審な連絡への注意喚起を同時に行っているのも、漏えいの有無が確定する前から利用者側のリスクが生じうるという認識に立ったものだろう。

ウェブサイトの構築・運営を外部サービスに委ねる形は、製薬・医療関連の情報提供サイトでも広く用いられている。自社システムの堅牢性だけでは完結しない領域が存在することを、今回の発表はあらためて示した。