薬局の皆さまへ
サイバー攻撃への備え～日ごろの対策と、被害に遭ったときの対応について～
近年、医療機関や企業などを狙ったサイバー攻撃が発生しています。サイバー攻撃は、大きな病院や企業だけでなく、小規模な薬局も被害に遭うおそれがあります。
攻撃を受けると、レセコンや電子薬歴が使用できなくなったり、患者さんの大切な情報が流出したりする可能性があります。
対策が必要なのはレセコンや電子薬歴だけではありません。薬局のホームページ、Web問診・予約システム、業務用パソコン、外部委託先のサービス、患者さん向けフリーWi-Fiなども含めて確認しましょう。
患者さんの安全と薬局の業務を守るため、日ごろからの備えと、異常が発生した際の対応方法を確認しておきましょう。
本ページでは、薬局の現場で取り組む日ごろの対策と、被害が疑われるときの初動対応・相談先を紹介します。ガイドラインや運用管理規程・BCPの雛形等は、既存の「医療情報システムの安全管理について」のページをご活用ください（下記参照）。
目次
1. サイバー攻撃を受けたかもしれないと思ったら
2. 普段からできるサイバー攻撃対策
1.サイバー攻撃を受けたかもしれないと思ったら
次のような異常が起きていませんか？
パソコンに突然、身代金を要求する画面が表示された。
見覚えのない操作やログインの記録がある。
レセコンや電子薬歴などが突然使用できなくなった。
不審なメールの添付ファイルを開いたり、偽のサイトにパスワードを入力したりした。
薬局のホームページが改ざんされている、または不審なサイトへ転送される。
これらの異常があった場合、サイバー攻撃を受けている可能性があります。システムの故障や偽の警告画面など、別の原因である場合もありますが、自己判断で放置しないことが重要です。
まず行っていただきたい3つのこと
① 異常があるパソコンの使用を中止する
ウイルス感染などが疑われる場合は、そのパソコンの操作を中止してください。可能であればLANケーブルを抜く、Wi-Fi接続を切るなどして、ネットワークから切り離してください。
原因が分かるまでは、むやみに再起動したり、初期化したりしないでください。サーバーや複数の機器につながるシステムの場合は、保守業者に対応方法を確認してください。
② 薬局の管理者とシステムの保守業者に連絡する
薬局の管理者に報告するとともに、レセコン・電子薬歴などの保守業者に電話で相談してください。ホームページやWeb問診・予約システムなどに異常がある場合は、その管理業者にも連絡してください。
パソコンに表示された不審な警告文の電話番号には決して連絡しないでください。あらかじめ確認している正規の連絡先を使用してください。
③ 発生した状況を記録する
いつ、どのパソコンで、どのような異常が起きたのか、分かる範囲で記録してください。
専門知識は必要ありません。後から状況を確認できるようにしておくことが大切です。
画面表示や発生時刻などを安全に記録できる場合は保存し、記録やログを消去しないでください。
※サイバー攻撃が疑われる場合は、保守業者への相談だけでなく、厚生労働省への速やかな連絡も必要です。詳しくは下記の「相談・報告先」をご確認ください。
サイバー攻撃を受けた場合の相談・報告先
まず、下記の連絡先に以下の内容を伝えて相談してください。
伝えるべき内容
・薬局の情報（薬局名、担当者名、折り返し連絡先 等）
・いつ気づいたか
・何が起きているか（レセコンが使えなくなった、画面におかしな表示が出ている 等）
・既に行ったこと（ネットワークから切り離した、電源を切った 等）
分からないことについては「調査中」として連絡し、判明後に追加で報告してください。
保守業者への相談、厚生労働省への連絡、警察への通報・相談、個人情報保護委員会への法定報告は、それぞれ目的が異なります。一つの窓口への連絡だけで、他の必要な報告に代わるものではありません。
連絡には被害にあったパソコンは使わずに、被害の疑いがない別の機器か電話などを使用してください。
① レセコン・電子薬歴などの保守業者、Webサイト等の管理業者
まず、使用しているシステムの保守業者に相談してください。被害の拡大を防止するための対応や、システムの復旧について確認してください。
② 厚生労働省
医療機関・薬局がサイバー攻撃を受けた場合や、その疑いがある場合などには、厚生労働省への速やかな連絡が求められています。被害状況など、分かる範囲の情報伝えてください。報告様式の記入が完了していなくても、第一報を遅らせないでください。
厚生労働省 医政局 総務課
電話：03-3595-2189
メール：isei_soumu@mhlw.go.jp
報告様式：このエクセルファイルに記入し、上記の宛先に送付してください。
③ 警察
不正アクセスや情報の窃取、身代金要求などの被害を受けた場合は、警察にも相談してください。※緊急を要するものは110番に通報してください。
警察庁：サイバー事案に関する相談窓口
https://www.npa.go.jp/bureau/cyber/soudan.html
④ 個人情報保護委員会
患者さんの個人情報の漏えい、滅失・毀損（以下「漏えい等」といいます）が発生した場合、またはそのおそれがある場合は、個人情報保護委員会への報告が必要になります。
調剤情報などの「要配慮個人情報」を含む個人データの漏えい等（そのおそれを含みます）は、原則として個人情報保護委員会への報告対象となります。
報告が必要な場合は、報告対象の事態を知った後、速やかに速報を行い（目安は知った時点からおおむね3～5日以内）、知った日から原則30日以内（不正の目的をもって行われたおそれがある行為による漏えい等の場合は60日以内）に確報を行う必要があります。速報は、その時点で把握している内容を報告してください。また、報告対象の事態では、患者さんご本人にも状況に応じて速やかに通知する義務があります。本人への通知が困難で、本人の権利利益を保護するため必要な代替措置をとる場合は例外となります。
委託先で発生した事案も対象になり得ます。委託先と速やかに情報を共有し、薬局として必要な報告・本人通知を確認してください。
個人情報保護委員会：漏えい等の対応とお役立ち資料
https://www.ppc.go.jp/personalinfo/legal/leakAction/
2.普段からできるサイバー攻撃対策
運用規程の管理や事業継続計画の立案
下記の本会ページにて「医療情報システムの安全管理に関するガイドライン」や「医療情報システムの運用管理規程」の雛形、「サイバーインシデント発生時の事業継続計画（BCP）」の薬局向け雛形を掲載しております。 薬局内での運用規程やBCPを策定しておくことでいざというときも迷わずに行動することができます。
医療情報システムの安全管理について
https://www.nichiyaku.or.jp/yakuzaishi/pharmacy-info/cybersecurity
サイバーセキュリティ対策チェックリストの確認
また、厚生労働省では、薬局が取り組むべき事項をまとめた「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」を公表しています。
薬局の管理者は、このチェックリストを用いて、薬局の対応状況を確認しましょう。
また、レセコンや電子薬歴などの保守業者にも、事業者向けチェックリストへの対応状況を確認することが重要です。
厚生労働省の公式資料
令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリスト（PDF）
https://www.mhlw.go.jp/content/10808000/001716185.pdf
チェックリストマニュアル（PDF）
https://www.mhlw.go.jp/content/10808000/001716186.pdf
万一の被害に備えるサイバー保険
本会では、会員向け福利厚生制度としてサイバー保険をご案内しています。技術的な対策やBCPの整備と併せて、経済的な負担への備えとしてご検討ください。補償内容、対象となる事故、加入条件、補償対象外となる場合等は、最新のパンフレットや約款等をご確認ください。保険への加入は、日ごろのセキュリティ対策や法令に基づく報告・本人通知等に代わるものではありません。加入済みの場合は、事故発生時の保険会社等への連絡方法も確認しておきましょう。
日本薬剤師会「薬剤師賠償責任保険・サイバー保険等のご案内」
https://www.nichiyaku.or.jp/yakuzaishi/about/welfare/boshu
セキュリティ対策について何をしていいか、どこに頼んでいいかわからない場合
独立行政法人情報処理推進機構（IPA）が定める基準を満たした民間事業者の提供する中小企業向けのセキュリティ対策サービス「サイバーセキュリティお助け隊サービス」があります。「デジタル化・AI導入補助金」の対象になっており、費用の一部について補助金を利用できる場合もあります。セキュリティ対策をどこから始めればよいか分からない薬局では、導入をご検討ください。補助金の利用に当たっては、対象サービス、申請要件や募集期間などの最新情報をご確認ください。
「サイバーセキュリティお助け隊サービス」
https://www.ipa.go.jp/security/otasuketai-pr/
日ごろから取り組みたい7つの対策
難しい操作をすべて自分で行う必要はありません。対応が分からない場合は、システムの保守業者などに相談しましょう。
1. パソコンや機器を最新の状態に保つ
古いソフトウェアには、攻撃に悪用される弱点が残っていることがあります。
Windowsなどの更新や、レセコン・電子薬歴、インターネット接続機器のセキュリティ対策について、保守業者に確認しましょう。薬局のホームページ、Web問診・予約システムや業務用パソコンも対象に、更新状況やサポート期限を確認してください。
外部委託しているWebサイト等についても、更新や脆弱性対策、管理者アカウント、個人情報の取扱い、事故時の連絡体制と役割分担を管理業者と確認してください。
患者さん向けフリーWi-Fiは、レセコンや電子薬歴などの業務用ネットワークと分離し、業務用機器へアクセスできない設定になっているか、保守業者等に確認してください。
2. パスワードを適切に管理する
推測されやすいパスワードを避け、他のサービスとの使い回しをしないようにしましょう。
また、パスワードに加えて別の方法で本人確認をする「二要素認証」の利用についても、保守業者に確認しましょう。
3. 薬局内システムのバックアップを確認する
万が一システムが使えなくなったときに備えて、必要なデータのバックアップを確保しましょう。
バックアップについては、次のことを確認してください。
・誰が、どのような方法で保存しているか。
・バックアップもサイバー攻撃の被害を受けるおそれがないか。
・実際にデータを復旧できるか。
4. 不審なメールやメッセージ、偽サイトに注意する
取引先、配送業者、行政機関などを装ったメールから、偽のサイトへ誘導されることがあります。ID・パスワード等を盗み取る「フィッシング」に注意してください。
心当たりのない添付ファイルやリンクは開かず、不審に感じたときは、送信元の正規の連絡先に確認しましょう。ログインや手続きは、あらかじめ登録したブックマークなどから正規のサイトにアクセスして行いましょう。
偽サイトにID・パスワードを入力した場合は、管理者・保守業者に速やかに連絡し、安全な別の端末から正規のサービスでパスワードを変更するなど、被害拡大防止の対応を行ってください。
偽ショッピングサイトの利用による被害や、薬局の名称・住所等の無断使用にも注意してください。警察庁の以下のページでは、偽ショッピングサイト・詐欺サイトの手口や対処方法、Webサイト運営者向けの注意点を紹介しています。
警察庁「偽ショッピングサイト・詐欺サイト対策」
https://www.npa.go.jp/bureau/cyber/countermeasures/fake-shop.html
5. 不要なアカウントや機器をそのままにしない
退職した職員のアカウントや、使わなくなった機器が放置されていないか確認しましょう。
業務に必要な職員だけが、必要な情報にアクセスできるようにすることも重要です。
6. システムが使えない場合の対応を決めておく
レセコンや電子薬歴が使用できなくなった場合に、どのように患者さんへの対応を継続するか、薬局内で話し合っておきましょう。
例えば、処方内容や過去の服薬情報を確認できない場合の対応、処方元医療機関との連絡方法、調剤継続の可否の判断などを事前に整理しておく必要があります。
確認できない情報を推測して調剤することは避け、患者さんの安全を最優先にしてください。
7. いざというときの連絡先を確認する
緊急時にインターネットが使えなくなる可能性もあります。
薬局の管理者、システムの保守業者、関係機関などの連絡先を紙に書いて、職員が確認できる場所に保管しましょう。
「日ごろから備えること」「異常があったらすぐに報告すること」「患者さんの安全を最優先にすること」を心がけましょう。
※本ページは2026年10月時点の公的資料を基に作成した案内です。実際の対応は、被害の状況、利用しているシステム、関係法令等に応じて判断してください。連絡先、報告方法、制度の内容等は、リンク先の最新情報もご確認ください。
関連通知
・20261013情136_不正アクセスによる情報漏えい等の事案を踏まえたセキュリティ対策の徹底について
・20261019情142_大規模な漏えい等事案を踏まえた対応について（注意喚起）の周知について
・20261027情154_WEBサイト等への不正アクセス事案多発を踏まえたセキュリティ対策についての注意喚起