旭化成セラピューティクスは2026年7月24日、関節リウマチ治療薬「ケブザラ」の患者サポートプログラム「RAコネクト」において、患者、医療従事者および同社従業員に関する個人情報の一部が漏えいしたと公表した。医薬通信社など複数メディアが報じている。同日、同プログラムの運営および個人情報の管理委託先であるシミックヘルスケア・インスティテュート株式会社（CHI）も、同事案について調査結果とお詫びを公表している。
事案の詳細
報道およびCHIの公表によると、漏えいが確認されたのは、旭化成セラピューティクスが提供する関節リウマチ治療薬「ケブザラ」の患者サポートプログラム「RAコネクト」に関連する個人情報であり、患者、医療従事者、委託元企業関係者（旭化成セラピューティクス従業員等）の情報が含まれる。
問題が発生したのは、同プログラムの運営を受託していたCHIのシステムである。当該システムのWeb公開領域に、個人情報を含む一部ファイルが配置されていたところ、第三者による不正アクセスを受け、当該ファイルの一部が閲覧または取得されたことが判明した。CHIによる調査では、データの取り扱いおよびアクセス制御に関する運用上の不備と、確認・監督体制が十分に機能していなかったことが原因とされている。
不正アクセスが発生したのは2026年6月15日であり、その後CHIが調査を進め、2026年7月11日にWeb公開領域に配置されていた一部ファイルに含まれる個人情報が第三者に取得されていたことを確認した。7月13日にCHIから委託元である旭化成セラピューティクスへ報告が行われ、両社は7月24日に本件の公表に至っている。
公表された調査結果によれば、漏えいが確認された情報および対象人数は次の通りである。
・患者30人分の氏名、氏名（カナ）、年齢、性別、電話番号、居住都道府県、かかりつけ医療機関名
・患者216人分のメールアドレス（氏名や電話番号等その他の情報を含まないもの）
・医療従事者1,535人分の医師名、医療機関名
・委託元企業関係者113人分の氏名、営業所名
これらを合計すると、患者246人、医療従事者1,535人、委託元企業関係者113人の計1,894人分の情報について漏えいまたは流出のおそれがある状況となっている。報道では、旭化成セラピューティクス従業員を含む関係者について、氏名や営業所名などが対象となったことが示されている。
なお、現時点で情報の不正利用や二次被害は確認されておらず、対象となる患者や医療従事者等には個別に連絡が行われているとされる。当該プログラムが関節リウマチ患者支援を目的とするものであることから、患者や医療従事者の個人情報の取り扱いが前提となるサービス領域で起きた事案である点は、公表内容および報道から事実として確認できる。
影響と背景
患者サポートプログラムは、医療・製薬分野における支援施策の一環として運用されることが多く、利用者の属性や連絡先、医療機関情報など、個人情報を含むデータの取り扱いが避けられない。今回のように、関節リウマチ治療薬「ケブザラ」の患者を対象とした支援プログラム「RAコネクト」において「個人情報漏えい」が公表されたこと自体が、個人情報保護および委託先管理の観点から重要な出来事である。
本件では、患者の基本属性情報や連絡先、かかりつけ医療機関名、医師名と医療機関名、委託元企業関係者の氏名や営業所名など、医療・業務に関連する情報が含まれている。これらの情報は、医療現場や製薬企業の支援プログラム運営に必須である一方で、外部流出した場合には、なりすましや不審な連絡の材料となりかねない性質を持つ。
ただし、現時点で公表されている内容によれば、情報の不正利用や二次被害は確認されておらず、他システムへの影響も見られていないとされる。どのような情報がどの経路でどこまで悪用されているかといった点については、詳細は現時点で不明であり、具体的な被害の有無や影響範囲を断定できる状況にはない。
背景として、CHIによる調査では、データの取り扱いおよびアクセス制御に関する運用上の不備に加え、確認・監督体制が十分に機能していなかったことが原因とされている。Web公開領域に個人情報を含むファイルが配置されていたことが不正アクセスの端緒となっており、クラウドやWeb環境での公開設定・アクセス管理の誤りが情報漏えいにつながりうる典型事例の一つと位置付けられる。
対策・今後の展望
本件は「個人情報漏えい」の公表であり、関係者にとっては事実確認と情報整理が最優先となる。旭化成セラピューティクスおよびCHIは、原因となったデータの取扱いおよびアクセス制御上の不備について既に是正措置を講じており、同一の経路による追加の情報流出は確認されていないと説明している。また、システムへのアクセス遮断や認証情報の変更、外部のセキュリティ専門機関による調査などが実施されている。
- 同社およびCHIからの正式な追加発表の確認：対象者、漏えいした情報の範囲、相談窓口の案内、情報の不正利用状況の有無、再発防止策の詳細など、今後の公表内容を継続的に確認する。
- 案内があった場合の手続き対応：本人確認、連絡先更新、注意喚起への同意確認など、プログラム運用上の案内が示された場合は指示に従い、不審な連絡やメールへの注意を高める。
- 個人情報の管理状況の見直し：関係する組織や委託先がある場合、取り扱いルールやアクセス権限、Web公開領域への配置ルール、公開設定、監視体制、連絡体制などの確認を進め、委託先に対する管理・監督体制の強化を図る。
旭化成セラピューティクスは、委託先に対する管理・監督体制の強化ならびに個人情報保護に関する情報管理体制の見直しを進める方針を示している。今後、漏えいの原因、影響範囲、再発防止策といった具体情報がさらに整理されれば、利用者・医療関係者・関係企業にとって、取るべき対応がより明確になると考えられる。
現段階で確定的に述べられるのは、「関節リウマチ治療薬『ケブザラ』の患者サポートプログラム『RAコネクト』において、第三者による不正アクセスを起点とした個人情報漏えいが発生し、旭化成セラピューティクスおよび委託先のシミックヘルスケア・インスティテュートが公表した」という点であり、続報を待ちながら必要な確認と対策を進める局面といえる。