美容クリニックにランサムウェア攻撃、患者369人分の個人情報が不正取得―リゾナスフェイスクリニック東京

東京都内で美容医療を提供するリゾナスフェイスクリニック東京の運営法人、一般社団法人日本美容医療研究機構は2026年4月6日、同法人が管理するクラウドサーバーがランサムウェアを用いたサイバー攻撃を受け、患者369人分の個人情報が外部に不正取得されたと発表した。攻撃の検知は2026年3月11日で、個人情報保護委員会への報告は同月18日付で完了している。

3行要約

見出し

1 3行要約
2 わかっていること／わかっていないこと
- 2.1 わかっていること
- 2.2 わかっていないこと／否定できないこと
3 発生から発表まで――約4週間の経緯
4 患者369人に個別通知、漏えい項目はウェブ非公開
5 再発防止策――第三者機関によるセキュリティ診断へ
6 問い合わせ窓口
7 背景――医療機関を狙ったランサムウェア攻撃の増加
8 タイムライン

何が起きた：クラウドサーバーへのランサムウェア攻撃により、患者369人の個人情報が不正取得された。

影響：対象患者に対して個別通知を実施中。漏えい項目の詳細は被害者保護の観点からウェブ上では非公開。

対応：サーバー隔離・通信遮断を即時実施。警察・厚生労働省・個人情報保護委員会へ報告済み。第三者機関によるセキュリティ診断を予定。

わかっていること／わかっていないこと

わかっていること

・不正アクセスはランサムウェアを使ったサイバー攻撃であることが確認されている。

・個人情報の不正取得が確認された患者は369人。

・2026年3月11日午前11時ごろにシステム障害を検知し、不正アクセスの疑いが判明後ただちに外部通信を遮断した。

・同日午後4時30分時点でシステムの技術的な復旧は完了しているが、安全確認のため当該システムの稼働は停止継続中。

・所轄警察署への被害申告、厚生労働省・個人情報保護委員会への報告はすでに完了している。

・対象患者369人への個別通知・説明が進行中。

わかっていないこと／否定できないこと

・不正取得された個人情報の具体的な項目（診療情報・氏名・連絡先など）は公表されていない。

・初期侵入経路（脆弱性の種類、フィッシングか外部公開サービスの悪用かなど）は現時点で明らかにされていない。

・取得された情報が外部で実際に利用・流通しているかどうかは確認されていない（否定もされていない）。

・ランサムウェアによる暗号化被害の有無・範囲は未公表。

発生から発表まで――約4週間の経緯

同法人によると、2026年3月11日午前11時ごろにシステム障害を検知した。調査で外部からの不正アクセスの疑いが強まり、被害拡大を防ぐため不正アクセス疑い判明後ただちに当該サーバーの外部通信を完全に遮断した。同日午後4時30分までに技術的な復旧作業は完了したが、安全確認を優先してシステムの稼働停止を継続している。

その後、法人内での事実確認と対象患者への個別案内の準備を経て、4月6日に公式発表に至った。個人情報保護委員会には3月18日付で法的義務に基づく報告を済ませている。検知から公表まで約4週間を要したのは、対象者の特定と個別通知の準備を優先したためとしている。

患者369人に個別通知、漏えい項目はウェブ非公開

不正取得が確認された患者は369人。同法人は二次被害の防止とプライバシー保護を理由に、漏えい対象の具体的な情報項目についてウェブサイトでの公表を控えると説明した。対象患者には一人ひとり個別に書面等で報告と謝罪を行っており、通知を受け取った患者は内容を確認するよう求めている。

再発防止策――第三者機関によるセキュリティ診断へ

同法人はすでに該当サーバーの隔離と周辺システムのセキュリティ強化を実施したとしている。今後は外部の第三者専門機関によるセキュリティ診断を実施し、その結果を踏まえた対策を順次講じる方針だ。

問い合わせ窓口

本件に関する問い合わせは以下の個人情報窓口で受け付けている。

メール：soudan@resonusfc.com

フリーダイヤル：0800-111-4300（音声ガイダンス5番）

受付時間：月〜金曜日（祝日除く）午前9時〜午後5時

背景――医療機関を狙ったランサムウェア攻撃の増加

医療機関を標的としたランサムウェア攻撃は国内外で増加傾向にある。電子カルテや予約管理システムなど、クラウドに移行した医療情報基盤は利便性と引き換えに攻撃対象となりやすい側面を持つ。診療情報や個人識別情報は闇市場での取引価値が高く、二次的な詐欺や標的型攻撃への悪用が懸念される。厚生労働省は医療機関向けのセキュリティガイドラインを整備しているが、中小規模の医療法人では専任のセキュリティ担当者を置くことが難しい実情もある。

タイムライン

2026年3月11日午前11時ごろ　システム障害を検知、外部からの不正アクセスの疑いを確認

2026年3月11日不正アクセス疑い判明後ただちに　外部通信を完全遮断

2026年3月11日午後4時30分ごろ　技術的な復旧完了（システム稼働は停止継続）

時期不明　所轄警察署へ被害申告・相談

2026年3月18日　個人情報保護委員会へ報告（個人情報保護法に基づく）

時期不明　厚生労働省への事案報告完了

2026年4月6日　公式ウェブサイトにて一般公表、対象患者369人への個別通知開始