何が発表されたか

株式会社ケアネットは2026年11月4日、同社が利用する外部クラウドサービスの提供事業者である株式会社IDCフロンティア（IDCF）から、同社クラウドサービスへの第三者による不正アクセスに関する一連の調査が完了し、データが外部へ流出した事実は確認されていないとの報告を受けたと発表した。ケアネットはこの発表を、一連の障害に関する最終報と位置づけている。

IDCFからの報告は、2026年10月27日（火）付で同社に伝えられたものだ。本件は、2026年10月7日（水）より発生していたIDCFのサービス基盤への第三者による不正アクセスに伴う、ケアネットのWebサービス障害に関する第1報・第2報の続報にあたる。

IDCFの調査結果──影響範囲、原因、再発防止策

ケアネットのリリースによれば、IDCFは10月27日（火）付の「【第7報】不正アクセスに関する調査結果および今後の対応について」において、外部のセキュリティ専門企業と連携した一連の調査が完了したとして、主に次の3点を報告している。

第一に、影響範囲とデータ流出の有無である。東日本リージョン1の一部（teslaゾーン／henryゾーン／pascalゾーン／jouleゾーン）を利用中の顧客について、「調査の結果、お客さまの仮想サーバー内のデータの外部への流出はありませんでした」としている。

第二に、原因である。「第三者による不正アクセスは、『IDCFクラウドポータル』で採用しているオープンソースソフトウェアの脆弱性が悪用されたことにより発生しました」と説明されている。侵入経路が、クラウド事業者が管理するポータル側で採用していたオープンソースソフトウェアの脆弱性であったという点が、調査によって特定された形だ。

第三に、再発防止策として「全社のセキュリティガバナンスの強化」「ソフトウェアの脆弱性に早期に対応するための仕組みの強化」の2点が挙げられている。

ケアネット側の対応と現在の状況

ケアネットは、自社システムの一部がIDCFのクラウドサービス障害の影響を受けたことから、10月14日付の第2報で示したとおり、障害発生前の最新のバックアップデータを用いて、主要なサービスをIDCFのクラウドサービスとは異なる別会社の環境でシステムを再構築した。主要サービスの再開は10月11日（日）からである。

一方で、一部のサービスについては、11月4日時点でも再開に向けた準備を進めている段階にあるという。ケアネットは、登録利用者に対して再開情報を順次知らせていくとしている。

同社はリリースの中で、登録利用者、取引先、関係者に対して多大な迷惑と心配をかけていることを陳謝したうえで、今後も登録利用者の情報の適切な管理に万全を期すとともに、関係各社と連携しながら再発防止および情報セキュリティ対策に取り組むとしている。

時系列で見る一連の経緯

公表されている資料を並べると、経緯は次のようになる。2026年10月7日（水）、IDCFのサービス基盤への第三者による不正アクセスが発生。翌10月8日付でケアネットが第1報「外部クラウドサービスへの不正アクセスに伴う弊社Webサービスの停止について」を公表した。10月11日（日）には、別会社の環境で再構築した主要サービスの提供を再開。10月14日付で第2報「【重要】弊社Webサービスの再開について（第2報）」を出している。そして10月27日（火）にIDCFの第7報が公表され、ケアネットはその内容を受けて11月4日に最終報を出した、という流れだ。

不正アクセスの発生からサービスの一部再開までが数日、調査完了の報告までがおよそ3週間という時間軸になる。

医療者向け情報サービスとクラウド依存

本件で起きたのは、ケアネット自身のシステムが直接攻撃を受けたという事象ではなく、利用していたクラウド事業者の基盤が不正アクセスを受け、その影響でケアネットのWebサービスが停止したという構図である。原因として特定されたのも、IDCFのクラウドポータルで採用されていたオープンソースソフトウェアの脆弱性だ。自社の対策だけでは制御しきれない領域に、サービス継続性のリスクが存在することを示す事例といえる。

ケアネットが取った対応のうち、実務的に注目されるのは、障害発生前の最新のバックアップデータを用い、同一事業者ではなく別会社の環境でシステムを再構築して10月11日に再開した点である。バックアップの保持と、移行先を確保できる体制が、サービス停止期間の長短を左右したことになる。

製薬企業にとって、医療者向けの情報提供サービスは医師とのコミュニケーション手段の一つである。その基盤が外部のクラウド事業者の障害で停止しうること、そして復旧の速さが委託先の状況だけでなく自社側のバックアップ運用にも依存することは、同種のサービスを利用する側にとっても確認すべき論点だろう。なお、IDCFの調査では仮想サーバー内のデータの外部流出は確認されなかったと報告されている。