10月9日に周知、13日に厚労相が会見

合同会社ロケットボーイズの発表・報道によると、厚生労働省は2026年10月9日、情報漏えいを伴う不正アクセスが国内で相次いでいることを受け、所管の事業者や関係団体にサイバーセキュリティ対策の徹底を周知しました。上野賢一郎厚生労働大臣は10月13日の記者会見で、脆弱性（システムの弱点）への迅速な対策を呼びかけ、被害を受けた場合は報告を求めていると説明しました。ANNの報道では、周知対象に全国の医療機関、高齢者施設、人材サービス事業者などが挙げられています。

公開されている医療分野の事務連絡は、各都道府県の衛生主管部局宛てで、関係機関への周知を依頼する内容です。国家サイバー統括室が同日に出した注意喚起と、厚労省が5月27日に通知したAI悪用を踏まえた対策の再周知も求めています。

点検を求められた3分野

国家サイバー統括室の文書は、Webシステム・認証、委託先・サプライチェーン、保有データの管理の3分野を重点としています。具体的には、OSやCMS（サイト管理ソフト）の修正適用、サポート終了製品の見直し、多要素認証、再委託先を含む責任分界、データの所在や保存期間の把握、クラウド公開設定の点検などです。5月の通知は、システム資産の棚卸し、バックアップと復旧訓練、紙運用などの代替手段の確認を求めていました。

厚労省は医療機関に対し、攻撃の疑いや医療情報システムの障害でも速やかに連絡するよう既に案内しており、医政局の担当窓口を公表しています。ただし、この窓口が介護事業者や人材サービス事業者にも共通だと示されたわけではありません。

報告の種類と、バイトルの事例

今回の通知だけで、全事業者に共通の新しい法定報告期限ができたわけではありません。厚労省など所管省庁への連絡と、個人情報保護法に基づく個人情報保護委員会等への報告は別の手続きです。後者は、要配慮個人情報を含む場合や1,000人を超える場合などが対象で、速報は目安として3～5日以内、確報は原則30日以内（不正目的のおそれがある場合は60日以内）とされています。政府は2026年9月に報告共通様式を改定・追加しましたが、様式の利用と報告義務の有無は別問題です。

会見では、ディップの「バイトル」「バイトルNEXT」で最大388万5,771件のメールアドレスが漏えいした可能性がある事案が取り上げられました。これは上限件数で、全件流出が確定した数字ではありません。原因はWebサイトの一部機能の仕様不備の悪用と説明されています。厚労省は、同社の事案を除き10月に入ってからの新たな被害報告はないとしていますが、被害がないという意味ではありません。

【編集部の見立て】医療・介護の事業者は、所管部署への連絡ルートと個人情報保護法上の報告要否の判断を、別々の担当と手順で整理しておく必要があります。委託先との契約に事故報告の条項があるかも、情報システム部門と法務・個人情報保護担当で早めに確認したい点です。