漏れたのは「誰が誰の担当か」。エムスリー「MR君」の2万8千人分、メールアドレスはごく一部だった

• エムスリーの製薬企業向けサービス「MR君」への不正アクセスで、m3.com会員等25,775人と製薬企業の担当者2,260人の情報が漏えい
• メールアドレスを含むのは会員側6人、担当者側264人だけ。中心は氏名・勤務先と「担当関係」
• 気をつけたいのはメールより、製薬会社の担当者を名乗る電話や連絡だ

医療従事者向けサイト「m3.com」を運営するエムスリーが10月23日、製薬企業向けサービス「MR君」への不正アクセスについて第2報を出した。漏えいした人数と中身が分かった。

MRは医薬情報担当者、つまり製薬会社の営業担当のことだ。MR君は、製薬企業が医師に薬の情報を届けるためのサービスになる。

数字だけ見ると「メールアドレスはほとんど漏れていない」と読める。だが、漏れた情報の組み合わせを見ると、気をつけるところは別にある。

公式が発表していること

漏えいした情報

• ログインパスワードと、m3ポイントは含まれない
• クレジットカード番号は、そもそも保持していない
• 会員だけでなく、製薬企業から預かっていた、m3.com会員ではない医師の情報も一部含まれる
• 公開されたり、不正に使われたりした事実は確認されていない
• 原因と侵入経路は、第2報でも明らかにしていない

メールアドレスより重いもの

会員側でメールアドレスを含むのは、2万5千人のうち6人だ。メールでの大量の詐欺は、この件だけではやりにくい。

代わりに漏れているのが「担当関係」だ。どの医師を、どの製薬会社の、どの担当者が受け持っているか。そこに氏名と勤務先がつく。

これは、なりすましにはとても使いやすい。

• 病院に電話して「○○製薬の△△です。□□先生の担当をしております」と名乗れる。担当者の名前は本物だ
• 逆に、製薬会社の担当者に医師や病院の名前で連絡することもできる
• 「担当が替わりました」「新しい資料のURLをお送りします」と言われると、疑う理由が見つからない

メールアドレスが無くても、電話、郵便、病院の代表アドレスなど、連絡の手段はほかにある。本物の関係を知っている相手ほど、信用されやすい。

ここまでは筆者の見方だが、エムスリーもメールだけでなくSMSや電話への注意を呼びかけている。

対象になりうる人がやること

医師・医療機関の人

• 担当者を名乗る連絡で、いつもと違うこと（担当の交代、連絡先の変更、URLを開いて資料を見てほしい、ログインしてほしい）を言われたら、その連絡に返さず、製薬会社の代表番号や前から知っている連絡先で確かめる
• パスワードや口座情報を聞かれたら、相手が誰でも答えない。エムスリーも、個別連絡でパスワード、クレジットカード情報、銀行口座情報などを求めることはないとしている
• 病院の窓口や事務の人にも、「担当者を名乗る電話が増えるかもしれない」と共有しておく

製薬企業の担当者

• 自分の名前を使ったなりすましが起きうると考えておく。担当先から「この前の連絡は本当にあなたか」と聞かれたら、それが手がかりになる
• エムスリーは対象の製薬企業に担当者から順次連絡している。自社の窓口と、対応を合わせておく

エムスリーからの連絡かどうか

会員への個別連絡は、10月22日以降、登録メールアドレスに届いている。届かない人は、第2報をもって連絡に代えるという。

この個別連絡を装う偽メールも考えられる。パスワードなどの入力を求めてきたら偽物だ。問い合わせはメールのリンクからではなく、m3.comを自分で開いて確かめるとよい。

同じ時期の、もう1つの件とは別物

エムスリーは10月21日にも、別の発表をしている。混同しないように整理しておく。

Studioの件は、このサイトでも暗号化していたデータも読まれた理由や、利用者が自分で鍵を替えるしかなかった件を書いてきた。同じ会社の名前が2回出てきたが、原因も確度も別だ。

発表の「確認」と「可能性」の違いについては、「漏えいしたおそれ」は何を意味しているのかにまとめている。

まとめ

• MR君への不正アクセスで、会員等25,775人と担当者2,260人の情報が漏えい
• メールアドレスを含むのは6人と264人。パスワードとm3ポイントは含まれない
• 重いのは氏名・勤務先と「誰が誰の担当か」の組み合わせ。担当者を名乗る電話や連絡に注意
• いつもと違う依頼は、前から知っている連絡先で確かめる
• 原因と侵入経路は未公表。10月21日のStudio経由の件とは別

出典

• エムスリー「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（第２報）」（2026年10月23日。人数、項目、個別連絡、注意喚起）
• エムスリー「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026年10月15日。第1報）
• エムスリー「当社が利用するクラウドサービス（Studio）への不正アクセスに伴う（略）個人情報漏えいの可能性に関するお詫びとお知らせ」（2026年10月21日）
• ビジネス＋IT「エムスリー『MR君』に不正アクセス、会員等25,775名と製薬担当者2,260名の情報漏えい」（2026年10月24日配信）

本記事は2026年10月24日時点の公式発表に基づく。「メールアドレスより重いもの」の節のうち、なりすましの例は筆者の見方である。原因や影響範囲は今後の発表で変わる可能性がある。