エムスリー「MR君」に不正アクセス、医師会員らの氏名や勤務先が漏えい

エムスリー「MR君」で医師会員らの個人情報が漏えい

エムスリーが運営する「MR君」のシステムが不正アクセスを受け、医師会員と製薬企業の担当者が登録していた個人情報が漏えいしました。エムスリーは10月15日、公式サイトで不正アクセスについて謝罪し、経緯を公表しました。

ただし、漏えいした情報が誰でも見られる状態になったり、悪用されたりした事実は、公表の時点では見つかっていないとしています。 エムスリーは状況の調査を継続中で、新たな事実が判明すれば公表する方針です。

不正アクセスの概要（エムスリーの発表より）

事柄	内容
不正アクセスに気づいた日	2026年10月14日（水）
公表した日	2026年10月15日
対象のサービス	製薬企業向けサービス「MR君」
対象になった人	一部の医師会員（全体の1割未満）と製薬企業の担当者（数百名規模）

国内では、他の企業でも不正アクセスによる情報漏えいの公表が相次いでいます。国内企業がこれまでに公表した漏えい事案は、情報漏えいの事例を時系列で一覧、国内企業が公表した件数と原因にまとめています。

10月14日に不正アクセスと漏えいが判明

エムスリーがMR君のシステムへの不正アクセスに気づいたのは、10月14日（水）です。 その日の調査で、一部の医師会員と製薬企業の担当者に関する情報が漏えいしたこともわかりました。エムスリーは翌日の10月15日に公表しています。

MR君はどのようなサービスか

MR君は、エムスリーが製薬企業向けに運営している医薬品プロモーションのサービスです。サービス名にあるMRは、製薬会社で医師に薬の情報を届ける担当者（医薬情報担当者）を指す言葉です。

また、エムスリーは医療従事者専用の会員制サイト「m3.com」も運営しています。 今回の件で会員からの問い合わせを受け付ける窓口も、m3.comのカスタマーサポートです。

氏名や勤務先などが漏えい、パスワードとm3ポイントは対象外

漏えいした情報は氏名と勤務先、一部の人のメールアドレスなどで、ログインパスワードとm3ポイントは含まれていません。 情報の種類を分けると、次のとおりです。

漏えいした情報と含まれていない情報（エムスリーの発表より）

種類	情報
漏えいした情報	氏名・勤務先・一部の人のメールアドレスなど
含まれていない情報	ログインパスワード・会員が持っているm3ポイントなど
もともと持っていない情報	クレジットカード番号など

クレジットカード番号などの情報は、エムスリーがもともと保持していないとしています。メールアドレスは全員分ではなく、一部の人だけが対象です。

対象者の人数はどれくらいか

今回の対象になったのは、医師会員のうち全体の1割に満たない人数と、製薬企業の担当者数百名規模です。どちらも公表時点の目安で、正確な人数はまだ出ていません。

（追記）エムスリーは2026年10月23日の第2報で、m3.com会員等25,775名と製薬企業担当者2,260名の個人情報漏えいを確認したと公表しました。 メールアドレスが含まれていたのは会員等のうち6名、製薬企業担当者のうち264名です（エムスリー第2報による）。

また、エムスリーは対象になる人数と不正アクセスを受けた情報の詳細を精査していて、判明し次第、追ってお知らせするとしています。 対象かどうかは、記事や報道からは判断できません。

エムスリーは侵入経路を遮断、原因はまだわかっていない

エムスリーは不正アクセスに気づいたあと、今わかっている侵入経路をふさぎ、監視を継続しています。 影響の範囲を見極める作業と並行して、防御策も強めました。今後は自社の各サービスで、セキュリティ対策を強化するとしています。

なぜ不正アクセスができたのかは、まだわかっていません。エムスリーは原因を詳しく調査していて、今の時点で公表したのは第三者による不正アクセスだったことだけです。攻撃の手口や侵入経路も、まだ明らかにしていません。

対象者と製薬企業へ、エムスリーが順次個別に連絡

対象になった人には、エムスリーから順次連絡が届きます。 製薬企業の担当者のうち対象になった人には、エムスリーの担当者が順に連絡を入れます。

監督官庁への報告など、必要な手続きも進めているとしています。対象かどうかを知りたい人は、まずエムスリーからの連絡を待つことになります。

医師と製薬企業の担当者はエムスリーを装う連絡に注意

エムスリーは会員と取引先に、エムスリーを装った不審なメールやSMS、電話に気をつけるよう呼びかけています。 名前や勤務先を知っている相手からの連絡でも、本物とは限りません。

次のようなときは、エムスリーの問い合わせ窓口へ連絡するよう呼びかけられています。窓口の連絡先はこのあとの「立場ごとの問い合わせ先と連絡方法」にまとめました。

• エムスリーを装った不審なメールやSMS、電話が届いたとき
• 身に覚えのない利用に気づいたとき

会員の問い合わせ先はどこか

会員からの問い合わせは、m3.comのカスタマーサポートで受け付けています。窓口はm3.comのお問い合わせページです。一方、取引先・株主・投資家・報道関係者の窓口はそれぞれ別で、次のとおりです。

立場ごとの問い合わせ先と連絡方法（エムスリーの発表より）

立場	窓口
会員	m3.comカスタマーサポート
取引先（製薬企業）	エムスリーの担当者から順次連絡
株主・投資家	IR担当（info-ir@m3.com）
報道関係者	広報担当（pr@m3.com）

この漏えいから会社と社員が見直すこと

会員や取引先の情報を預かる会社はセキュリティ対策の体制を、社員はなりすましメールへの備えを見直しておきましょう。 経済産業省は10月9日、国内の企業や組織で不正アクセスによる情報漏えいの被害が相次いでいるとして、事業者に注意を呼びかけました。

会社側：脆弱性情報の把握と経営層の関与を点検

顧客や取引先の情報を持つ会社は、経済産業省が求める対策を自社で実行できているかを点検しましょう。 経済産業省は事業者に、次の3点を呼びかけています。

• 組織のトップによる主導
• 脆弱性情報の早期把握と対応
• 「ゼロトラスト」への移行

経済産業省はあわせて、個人情報保護委員会も個人データの漏えいを防ぐ対策を促していると紹介しています。エムスリーの件は原因がまだわかっていないので、特定の手口に限定せず、この3つの基本から見直しておきましょう。

社員側：漏えいに便乗したメール内のリンクにアクセスしない

社員一人ひとりは、「個人情報の漏えい」などを口実にしたメールやSMS内のリンクにアクセスしないようにしましょう。警察庁によると、フィッシングのメールには「個人情報の漏えい」や「不正アクセス検知」など、読む人を焦らせる言葉を使ったものが少なくありません。

実在する企業のメールアドレスになりすましたメールもあり、送信元の表示を見ただけでは本物かどうか判断できません。そのため、警察庁は公式サイトをブックマークに登録しておくか、公式アプリを使って正しいサイトに入るよう勧めています。