米医療流通大手McKessonがサイバーインシデントを公表 — 8月25日に検知、SECに8-Kで報告し調査継続中

要点

• 何が起きたか: 米国の医療・医薬品流通大手McKessonは、2026年8月25日に同社の情報システムに影響するサイバーセキュリティインシデントを検知した。同社は2026年8月28日付で米国証券取引委員会（SEC）へForm 8-K（Current Report）を提出し、事実を公表した。
• 提出書類の位置づけ: Form 8-Kは、上場企業が投資家にとって重要な出来事を速やかに報告するための臨時報告書である。McKessonはItem 7.01（Regulation FD Disclosure）としてインシデントの発生を記載した。
• 現時点の評価: McKessonは提出書類の中で「調査は初期段階にある」「提出日時点で、当該インシデントが重大（material）である、または財務状況や経営成績に重大な影響を及ぼした／及ぼす合理的な可能性があるとは判断していない」と説明している。

McKessonが公表した内容

McKessonがSECへ提出したForm 8-K（提出日: 2026年8月28日、署名者: Executive Vice President and Chief Legal Officer Michele Lau氏）によると、同社は2026年8月25日にインシデントを発見した。書類には以下の点が記載されている。

• インシデントは同社の情報システムに影響した
• 調査は初期段階（early stages）にある
• インシデントに関する情報や更新は、同社のウェブサイト（www.mckesson.com/cybersecurity）で案内する
• 提出日時点で、財務状況や経営成績への重大な影響は確認されていない

McKessonは米国の医療・医薬品流通の中核を担い、病院や薬局、医療機関へ医薬品や医療用品、関連サービスを提供している。流通網が止まれば医療現場に直接影響が及ぶ可能性があるため、同社のインシデント対応と復旧状況は、取引先の医療機関やサプライチェーン全体にとって重要な関心事となる。

背景と文脈

SECは2023年12月から、上場企業に対して重大なサイバーセキュリティインシデントを原則4営業日以内にForm 8-K（Item 1.05）で開示することを義務づけている。McKessonが今回用いたItem 7.01（Regulation FD Disclosure）は、投資家への公平な情報提供を目的とした開示区分で、同社は「重大性の判断は現時点で未確定」としつつ、早期の事実開示に踏み切った形である。

同社の特設サイト「Customer Cybersecurity Information Center」では、顧客向けに調査状況や問い合わせ先の案内が更新される見込みである。医療分野では近年、第三者のアプリケーションやクラウドサービスを経由した不正アクセスが相次いでおり、サプライチェーン全体での点検が求められている。

企業・利用者が確認すべきこと

McKessonはForm 8-Kの中で、インシデントに関する最新の情報は同社のウェブサイトで確認するよう案内している。同社は「調査が初期段階にある」と説明しており、影響範囲やデータの種類、封じ込めの状況などは今後の更新で明らかになるとみられる。

取引先や医療機関においては、McKessonからの正式な連絡や特設サイトの更新を定期的に確認し、McKessonが案内する手続きに従うことが重要である。McKessonは提出日時点で重大な影響は確認されていないとしているが、調査の進展に応じて追加の開示が行われる可能性がある。

出典

• McKesson Corporation, Form 8-K Current Report (2026-08-28), Item 7.01 Regulation FD Disclosure — 米国証券取引委員会 EDGAR https://www.sec.gov/Archives/edgar/data/927653/000092765326000247/mck-20260825.htm
• McKesson Customer Cybersecurity Information Center https://www.mckesson.com/utility/cybersecurity/customer-cybersecurity-information-center/