志摩市民病院：不正アクセスに伴う情報漏洩の可能性について

志摩市民病院の件は、公式サイトの制作・運用に使っていたノーコードWeb制作サービス「Studio」のクラウド環境への不正アクセスに端を発する。志摩市が公表した内容では、問い合わせフォームから送信された一部の情報が外部へ漏えいした可能性がある [s4]。

Studio側の経緯は、piyologの整理によると次のとおり。Studioは2026年10月13日に社内調査で不正アクセスを確認し、13日から14日にかけて脆弱性を修正して、不正アクセスに使われた経路を塞いだ。現時点で確認されている不正アクセスの期間は9月30日から10月1日（日本時間）である。Studioは10月16日に第一報を公表した [s3]。Studioは、実際に第三者に取得された事実は確認できていないが、取得されたものとみなして対応しているとしている [s3]。

志摩市の公表によれば、漏えいの可能性がある情報は、問い合わせフォームで送信された氏名、メールアドレス、問い合わせ内容で、件数は8件である [s4]。中日新聞によれば、対象は7月23日から10月11日までにフォームで送信された情報である [s7]。診療業務や電子カルテ上の個人情報への影響はないと市は説明している [s4]。中日新聞によれば、現時点で二次被害は確認されていない [s7]。

影響範囲について、Studioは、Studioに登録しているすべての顧客について、アカウント情報やフォームの送信内容などが外部に流出した可能性があるとしている [s3]。フォームの送信内容は暗号化して保存していたが、復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性があるという [s3]。フォームの送信内容は各サイト運営者が管理するもので、Studioは運営者の委託を受けて保管などを行っていると説明している [s3]。つまり本件は、委託先であるサービス事業者の側で起きた事案が、その利用者である自治体や医療機関に波及した例である。

攻撃者について、Studioは、第三者がStudioの一部機能の脆弱性を悪用してクラウド環境に不正にアクセスしたと公表している。機能名、脆弱性の種類、侵入経路の詳細、第三者の素性は示されていない [s3]。

同じ事案の影響は他にも広がっている。piyologの10月20日時点の集計では、Studioで作ったサイトへの影響の可能性や調査を公表した組織は98組織で、自治体が17、上場企業が5、その他の企業・団体が57、個人事業主・小規模事業者が19であった。志摩市（志摩市民病院）もこの中に挙げられている [s3]。中日新聞は10月15日付で、三重県内の自治体への影響も報じている [s6]。

対応について、志摩市の公表によれば、不正アクセスに使われた脆弱性とアクセス経路は、Studio株式会社が修正と遮断を完了している。病院サイトは通常どおり利用できるが、問い合わせフォームは一時的に閉鎖されている [s4]。市は対象者に個別に周知と注意喚起を行うとしている [s4]。あわせて、本件に便乗して病院や運営会社を装った不審なメールやフィッシングサイトへの誘導が起こるおそれがあるとして、心当たりのない連絡には応じず、氏名、住所、パスワード、口座番号などを伝えたり入力したりしないよう呼びかけている [s4]。

Studioは、鍵や認証情報を切り替えても、不正アクセスの時点で取得された可能性のある情報は守れないとしている。原因の詳しい調査は外部の専門機関に依頼すべく調整中で、調査結果と再発防止策がまとまる時期は未定である [s3]。