医療機関・薬局のメール詐欺対策｜ガイドライン第7.0版を踏まえた運用手順

2026年8月更新：根拠を確認できない被害事例を削除し、厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版」と令和8年度版チェックリストを踏まえた実務手順へ全面改訂しました。

医療機関や薬局には、請求、採用、取引先、システム保守などを装ったメールが届きます。見た目だけで真偽を判断するのは難しく、職員個人の注意力だけに頼る運用では見落としを防げません。

必要なのは、不審なメールを見分ける知識に加えて、偽の依頼が届いても重要な操作や支払いが成立しにくい手順を作ることです。

BEFORE CLICK / 開く前

メールだけで判断せず、別の方法で確認します

送金、口座変更、患者情報の送付など重要な依頼は、メールへ返信せず、登録済みの電話番号や院内の連絡手段で本人へ確認します。この一手順が、なりすましによる誤操作を防ぎます。

まず分けて考える3つのメール被害

認証情報を盗むフィッシング

「メールボックスの容量超過」「アカウント停止」「共有ファイルの確認」などを装い、偽サイトへ誘導してID・パスワードを入力させる手口です。認証情報を盗まれると、本人になりすましたメール送信や、クラウド上の情報へのアクセスにつながります。

添付ファイルやリンクから侵入する不正プログラム

請求書、検査結果、応募書類などに見せかけたファイルやリンクを開かせます。開いた端末だけでなく、院内ネットワークや共有フォルダへ影響する可能性があるため、疑いがあれば端末をネットワークから切り離し、保守先へ連絡する手順が必要です。

権限者になりすますビジネスメール詐欺

院長、取引先、会計担当者などを装い、振込先の変更、至急の送金、機密情報の送付を求めます。メール本文が自然でも、依頼内容を別の連絡手段で確認する仕組みがあれば、被害を防ぎやすくなります。

メールを受け取った職員が確認する4点

1. 表示名ではなく、送信元アドレス全体を見る

   表示名が知っている相手でも安心できません。ドメインのつづり、返信先アドレス、普段と違うフリーメールの使用などを確認します。

2. 急がせる指示ほど、いったん止める

   「至急」「本日中」「秘密にしてほしい」など、確認する時間を与えない表現は要注意です。リンクを開く前、添付ファイルを実行する前、送金や情報送付を行う前に、決められた相手へ報告します。

3. 依頼はメールに返信せず、別経路で確認する

   メールが乗っ取られている場合、そのまま返信しても攻撃者へ届きます。登録済みの電話番号、院内チャット、対面など、メールとは別の連絡手段で本人確認を行います。

4. 迷ったメールを削除する前に報告する

   同じメールが他の職員にも届いている可能性があります。件名、送信元、受信時刻をIT窓口へ共有し、組織として遮断・注意喚起できる状態にします。

組織として整えたい5つの仕組み

1．メールとクラウドのアカウントを個人ごとに分ける

共有アカウントは、誰が操作したか追いにくく、退職者のアクセスを止めにくくなります。個人IDを基本とし、職種・担当業務に合わせて権限を設定します。退職者や長期間使っていないアカウントは、速やかに削除または無効化してください。

2．二要素認証を有効にする

パスワードが盗まれた場合に備え、対応するメール・クラウドサービスでは二要素認証を有効にします。共有メールボックスが必要な場合も、共通パスワードを配るのではなく、各利用者の個人IDから権限を付与できる方式を優先します。

3．支払い・口座変更・機密情報の送付に承認手順を設ける

高額送金だけを対象にすると、少額を繰り返す手口を見逃します。「振込先の新規登録・変更」「通常と異なる支払い」「患者情報や職員情報の送付」は、金額にかかわらず複数人または別経路で確認するルールにします。

4．迷惑メール対策と送信ドメイン認証を設定する

迷惑メールフィルターに加え、自院ドメインを利用している場合はSPF・DKIM・DMARCの設定状況を管理事業者へ確認します。これらは第7.0版の個別チェック項目ではありませんが、自院を装ったメールを減らし、受信側が判定しやすくする実務上の対策です。

5．教育と報告訓練を定期的に行う

特定の頻度だけを形式的に守るのではなく、新入職時、担当変更時、注意すべきメールが届いた時などに短時間で確認します。「見抜けなかった人を責める」のではなく、「迷った時にすぐ報告できた行動」を評価する運用が重要です。

クリック・入力・送信をしてしまった時の初動

1. それ以上操作せず、院内の連絡先へ報告する

   メールを削除したり端末を初期化したりする前に、何を、いつ、どこまで操作したかを伝えます。画面やメッセージを撮影できる場合は記録します。

2. 不正プログラムの疑いがあれば端末をネットワークから切り離す

   LANケーブルやWi-Fiを切断し、電源を切るかどうかは保守先の指示に従います。むやみに操作を続けると、被害や調査への影響が広がる場合があります。

3. 認証情報を入力した場合は、管理者へ連絡して対処する

   正規の端末・URLからパスワード変更、セッションの無効化、不審な転送ルールやログイン履歴の確認を行います。使い回しているパスワードがあれば、影響範囲も確認します。

4. 送金・情報送付をした場合は、関係先へ速やかに連絡する

   金融機関、取引先、システム事業者、必要な外部関係機関への連絡順を、平時から体制図にしておきます。個人情報の漏えい等が疑われる場合は、組織の責任者のもとで報告義務も確認します。

AFTER CLICK / 操作した後

隠さず報告し、端末を広げない状態にします

リンクや添付を開いた場合は、削除や初期化を急がず、操作内容と時刻を伝えます。不正プログラムが疑われる端末はネットワークから切り離し、その後の電源操作は保守先の指示に従います。

メール対策を第7.0版対応につなげる

メールだけを強化しても、退職者アカウント、古い端末、未更新のネットワーク機器、連絡先不明の保守回線が残っていれば、組織全体のリスクは下がりません。令和8年度版チェックリストを使い、メール運用を次の項目と一緒に確認してください。

• 安全管理責任者と、事故時の連絡体制
• 端末・サーバ・ネットワーク機器の台帳
• 利用者権限と不要アカウントの削除
• セキュリティパッチと二要素認証
• バックアップ、復旧手順、サイバー攻撃を想定したBCP

当社が支援できる範囲

株式会社テクノリレーションズは、メール・アカウントの設定状況整理、二要素認証の導入支援、入退社時のアカウント管理、院内ルールの整理、IT事業者との連絡調整などを支援します。

メール詐欺を完全に防ぐことや、ガイドラインへの適合を保証するサービスではありません。利用中の製品、院内体制、契約中の保守範囲を確認し、当社が行うことと医療機関・各事業者が行うことを明確にして対応します。

関連して確認したい記事

• 医療情報システム安全管理ガイドライン第7.0版｜主な改定点と5つの対応
• クリニックのセキュリティ対策チェックリスト｜院長が確認したい5項目

参照した厚生労働省の一次資料

• 医療情報システムの安全管理に関するガイドライン 第7.0版
• 令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリスト
• 令和8年度版 チェックリストマニュアル

まとめ

メール詐欺対策は、職員に「気をつけて」と伝えるだけでは続きません。個人ID、二要素認証、別経路での確認、すぐ報告できる連絡先、事故時の初動を一つの運用として整えてください。メールで判断に迷う場面を想定し、誰でも同じ手順を取れる状態にすることが実効性につながります。