MICIN：オンライン診療「クロンオンライン診療」にリスト型攻撃、医療機関と患者のアカウントに不正ログイン

1. 2026-10-23

   ほかで手に入れたIDとパスワードの組み合わせを使う、リスト型攻撃とみられる不正ログインが見つかった。同じ日に不正なアクセス元からの通信を遮断した。 [1]

2. 2026-10-27

   公表した。個人情報保護委員会に報告済み。 [1]

• 医療機関：5施設の6アカウントに不正ログインがあり、うち3施設で患者73人分の情報が見られた。氏名、連絡先、生年月日、住所、性別、カルテ番号、診察券番号、受診状況、医師のメモ。医療従事者の氏名とメールアドレスも見られた。 [1]
• 患者：14のアカウントに不正ログインがあり、氏名、連絡先、生年月日、住所、性別などが見られた。 [1]
• 一部の患者は処方箋の画像や診察の記録、利用履歴も対象。本人確認書類とパスワードは含まれず、カード情報は同社が持っていない。 [1]

サーバーやデータベースへの侵入の形跡はなく、不正な決済などの被害も確認されていない。サービスは止めていない。 [1]

不正ログインがあったアカウントと二要素認証を設定していないアカウントのパスワードを初期化し、医療機関のアカウントをすべてログアウトさせた。不審なログインの監視を強め、ログインの安全対策を強化する予定。対象の医療機関と患者には個別に連絡した。 [1]

医療機関は二要素認証を設定し、ほかのサービスと違うパスワードにする。患者はほかと違うパスワードにし、端末のパスキー（指紋や顔の認証）を使うよう勧められている。 [1]