警惕！2260名药企人员、数万条医生信息遭泄露…
今晚，大咪和 MRCLUB 的小伙伴们聊下信息安全问题。
先说个医药行业外的事儿，一些朋友应该看到了。这两天，耐克、安克等品牌的企微账号发送疑似色情引流信息的消息，引发了不少的关注。10 月 24 日，企业微信安全团队发布公告，表示经排查，某第三方外挂软件服务被攻破，使用该服务的账号受到影响。平台已将相关账号强制下线，并封禁相关引流链接。
实际上，咱们医药行业这几天有两起更严重的信息安全事件，一家日本药企旗下信息公司约 8000 条医生信息可能已外泄，而另一家知名药企数字化平台也遭入侵，2260 名药企人员及 25775 名平台会员等信息遭到泄露。
在当下的数字时代，个人信息安全非常重要，下面大咪逐个给大伙儿分享一下这两件事儿的前因后果，也顺便给国内药企及医药小伙伴们在网络安全方面提个醒儿。
东邦约 8000 条医生信息或外泄
10 月 23 日，东邦控股（Toho Holdings）发布公告，披露旗下子公司 eHealthcare 所持有的约 8000 条个人信息，包括医生姓名等，可能发生外泄。
东邦控股是一家以医药批发为核心业务的日本医药集团，业务还包括调剂药局、医药品制造销售，以及面向医疗机构的业务支持系统等。其子公司东邦药品从事医药流通业务，此次涉及的 eHealthcare 则运营医疗机构搜索网站“医院导航”等服务。
eHealthcare 使用服务商 RAKUS Light Cloud 提供的外部邮件群发服务 blastmail，用来发送面向医生的问卷调查邮件，以及“医院导航”医疗机构宣传推广服务的申请致谢邮件，后者由东邦药品及其医药批发业务子公司的销售人员（MS）负责业务对接。
据公告，可能泄露的信息包括约 8000 条医生姓名及电子邮箱地址信息，其中约 1000 条与“医院导航”服务有关。此外，还有约 1000 条医疗机构名称、约 7000 条医生问卷管理页面网址，以及约 30 名医生的出生日期。不包括住址、电话号码和信用卡信息。
另外，服务商初步确认发生泄露的 288 份合约名单中，并没有 eHealthcare 的账户 ID，但东邦同时强调，这还不能确认其邮件收件人信息没有泄露。
接到报告后，eHealthcare 暂停了医生问卷调查服务，向日本个人信息保护委员会报告，并陆续通知相关客户。东邦表示，“医院导航”等服务主体及集团其他系统与该邮件系统独立，未受到本次事件影响。
今日（10 月 26 日），服务商又更新了调查结果。
下午五点 blastmail 发布的通报显示，确认发生“签约客户资料以外的信息泄露”的合约数，已增至 345 份，并已逐一对涉及机构做了安全通知，告知发生了信息泄露。
服务商另已确认，其销售管理系统中的全部签约客户资料被取走，包括公司名、联系人、联系方式、合约及付款历史等。攻击者侵入两台 API 服务器，随后连接相关系统和数据库获取数据，具体入侵途径仍在调查。
另外补充一下，本月 19 日，东邦控股还公告了旗下 enTouch 的泄露事件。这家子公司从事远程医药信息推广，10 月 13 日发现数据库信息外泄，公告称原因为实施勒索软件攻击的第三方非法访问。涉及的信息包括医务人员及平台用户资料、预约联系方式、预约涉及的产品和药企名称，以及面谈时间、状态等，具体数量仍在调查。
M3 平台 2260 名药企人员信息泄露
另一个信息泄露事件的公司是 M3，一家在日本医药数字化领域颇有影响力的企业。
M3 依托其医疗专业网站开展业务，据该司官网介绍，其平台在日本拥有超过 35 万名医生用户，覆盖日本90%以上的医生。“MR 君”则是连接医生与制药企业的数字沟通平台，帮助药企提供医药信息，并与医药代表的信息传递工作进行协同。
所以，此次出事的服务，就处在药企与医生沟通的业务链条中。
事情的经过是这样的，10 月 14 日，M3 发现“MR 君”系统遭第三方非法访问，并于次日首次发布公告，表示有部分医生会员及数百名药企人员的信息泄露。
上周五（10 月 23 日），M3 发布第二次通报，明确了影响范围，涉及人数急速扩大。
其中，25775 名 m3 网站会员等至少有一项信息确认已泄露，涉及姓名、工作单位、部分服务使用信息，以及药企在平台登记的业务负责关系等。
前面提到，m3 平台会员以医生、药剂师、护士为主，在此次事件的首次公告中，公司已明确提到，部分医生会员的信息遭到泄露。
值得注意的是，这个数字也包含部分由药企交给平台管理信息的非会员医生信息。
至于药企人员方面，目前确认受影响人数为 2260 人，涉及姓名、工作单位及部分人员的电子邮箱等信息。
不过，并非所有受影响者的邮箱都遭泄露。官方细分数据显示，前一组中涉及邮箱泄露的为 6 人，药企人员中则为 264 人。
M3 表示，泄露信息不涉及登录密码及 m3 网站积分，公司也不保存信用卡号码等资料。已查明的非法获取信息途径已封堵，未发现新的非法获取信息行为。另外，截至第二次通报，尚未发现泄露的信息被公开传播或遭到非法使用。公司已自 10 月 22 日起陆续向受影响会员发送通知。
可以看到，M3 的这个信息泄露有点儿严重，毕竟除了人员资料，还有业务关系等信息。
AI 时代，药企信息安全管理必须跟上
几起事件接连曝光，难免让人想到：是不是 AI 发展太快，让网络攻击变得更容易了？
从总体趋势看，这种担心有依据的。
Google 威胁情报团队在今年 2 月的报告中表示，已观察到攻击者利用 AI 提升目标信息搜集、社会工程和恶意软件开发的效率。新西兰国家网络安全中心今年 9 月的报告也指出，恶意行为者正在借助 AI 提高攻击的速度、规模和复杂程度。
过去需要花时间整理的企业资料、组织关系，或者反复修改的冒充邮件，现在可以更快完成。AI 降低了其中一些环节的时间成本和技能门槛，也让有经验的攻击者能够处理更多目标。
经常关注 MRCLUB 的小伙伴们也知道，药企的 IT 系统一直以来是网络非法攻击的目标，即便在 AI 应用爆发之前，已经有很多次安全及勒索事故了。
另外，在药企及药企员工 AI 应用方面，安全隐患也很多，对此大咪在个人朋友圈已经多次提到，包括之前的随意授权外部 MCP 访问企业数据，以及现在的给云端 Agent 乱开本地权限，都容易造成个人及企业、客户的信息泄露。
需要说明的是，目前上述事件的公开公告均未确认攻击者使用了 AI。而从以上两起事件及国内耐克等品牌企微账号的事件来看，第三方服务的安全问题，确实值得重视，一旦服务系统被入侵，会沿着业务链波及更多环节。
对医药行业来说，数字化推广不断深入，医生信息究竟流经哪些系统，又交给了哪些服务商？药企相关负责人需要清楚。
线上会议、问卷调查、邮件推送、客户管理，每增加一个工具，企业都需要弄明白，它拿到了什么数据，具有什么权限，项目结束后数据是否还留在那里。
因为，信息泄露并不仅仅是一次性的影响，有可能以后还会给相关人员带来网络欺诈等隐患。
特别是医生的工作单位、业务联系人、活动参与情况，一旦被组合起来，可能让意图实施欺诈的不法分子更熟悉真实的业务情境。假如一个假冒邮件或电话能够准确说出医生参与的项目和熟悉的联系人，就可能更容易被误认为正常工作往来，而陷入骗局。
在当前的环境下，药企选择数字工具时，除了看触达效率、使用体验和价格，也应把数据权限、异常监测和应急处置能力纳入评估。业务人员需要知道哪些工具可以使用，IT 与安全团队也需要了解真实业务需求，提供能满足工作需要的安全选择。
大咪觉得，对于一家药企来说，最大的财富就是医生的信任，这份信任来自专业、可靠的信息交流，也包含着一个朴素的期待，交给你的个人信息，能够被妥善保管。
2022 年之后，数字化工具在医药行业得到了更普遍的应用，也让药企与医生的联系更加便捷，而保护好积累的相关数据，也应成为药企及医药人维护医生信任的一项基础能力。
