PRAISE-NETの配信委託先で漏えいのおそれ｜行政通知はデータベースで確認

日本製薬団体連合会、日本製薬工業協会、東京医薬品工業協会、関西医薬品協会は2026年10月30日、PRAISE-NETのメール配信委託先への不正アクセスに伴い、登録メールアドレス30,750件が外部へ漏えいした可能性があると公表しました。利用者は厚生労働省などの通知を装うメールに注意し、行政通知を正規の掲載先で確認してください。

PRAISE-NET本体への不正アクセスではなく、ユミルリンクが提供するCuenote FCのメール配信環境が対象です。一斉配信メールを停止していますが、行政通知データベースは利用できると案内されています。通知が届かないことを、行政通知そのものが発出されていないという意味に受け取らないことが重要です。

当初の対象外説明から追加調査で判断が変わった

4団体は10月19日、ユミルリンクからCuenote FCの一部サーバーへの不正アクセスについて報告を受けました。当初は、PRAISE-NETが利用するメール配信環境は対象に含まれていないとの説明でした。その後、10月26日の追加調査報告で、この配信環境のメールアドレスも漏えいした可能性があると伝えられたとしています。

10月19日と26日は委託先からの報告を受けた日、10月30日は4団体の公表日です。この経緯だけで攻撃の開始日やメールアドレスが持ち出された日時を確定することはできません。また、初期説明が変わったことと、PRAISE-NET本体が侵害されたことも別です。資料が示す影響範囲を分けて扱う必要があります。

対象はメールアドレスでID情報は含まれない

30,750件は10月29日の確認時点の数字です。対象のメール配信サービスにはメールアドレス以外の情報を登録しておらず、PRAISE-NETのID情報である会社名、氏名、所属、住所、電話番号、パスワードは含まれないと説明しています。この件数を、氏名やパスワードを含む利用者情報が流出した件数と読み替えてはいけません。

現段階の発表は漏えいの可能性であり、30,750件の外部流出が確認されたと断定するものではありません。一方、メールアドレスのみでも、不審な連絡が届くおそれがあると4団体は注意を促しています。対象データの項目が限定されていることと、受信した連絡を無条件に信頼できることは別です。

一斉配信の停止中はデータベースで行政通知を確認

4団体は10月26日の報告を受け、ユミルリンク経由の一斉配信メールを速やかに停止しました。それ以外のPRAISE-NETからのメールはユミルリンクを通じていないため停止していないと説明しています。利用者が受け取るすべてのメールが停止したという案内ではありません。

定期配信の停止期間中も、PRAISE-NETの医薬品行政通知データベースにある「最新1週間」または「前日までの新着情報」から行政通知を確認できます。通知の受領を業務の開始条件にしている企業は、担当者と確認頻度を決め、メールだけに依存しない受領確認へ切り替えることを本サイトは提案します。

4団体は個人情報保護委員会と厚生労働省へ報告し、漏えいの可能性がある利用者に登録アドレス宛ての臨時のお知らせを配信しています。一斉配信の再開は安全性を確認したうえで改めて案内し、委託先管理を含む再発防止策を検討するとしています。現時点の資料には再開日が示されていません。

行政通知を装うメールへの対応

公式発表は、心当たりのない不審なメールのURLへアクセスせず、添付ファイルを開かず、記載された電話番号にも連絡せず削除するよう求めています。PRAISE-NETと運営4団体がメールでパスワードなどの入力を依頼することはありません。厚生労働省等の通知に見えても、同省ホームページなど正規の掲載先で内容を確認するよう案内しています。

ここからは本サイトの提案です。社内の行政通知担当と情報システム担当へ、停止した配信経路と代替確認先を共有してください。届いたメールの差出人名や件名だけで正規の通知と判断せず、通常利用している入口から原本を確認します。これは今回のアドレスを利用したフィッシングがすでに確認されたという説明ではなく、公式の注意を実務へ反映するための方法です。

委託サービスの影響判断は追加調査で変わることがあります。利用企業は最初の「対象外」という回答だけを最終結論とせず、続報を受け取る連絡先、更新日時、影響する配信環境を記録しておく必要があります。今回の発表では侵入経路などの技術的原因は示されておらず、本記事も特定の脆弱性や設定不備を推測しません。

出典：運営4団体：メール配信委託先の不正アクセスに伴うお知らせ（2026年10月30日）