東北大学病院は、2026年4月16日に同大学が管理するサーバーへの不正アクセスが確認され、調査の過程で同年4月23日には東北大学病院が治験業務に関する資料を保管していたNAS（ネットワーク接続ストレージ）にも不正アクセスがあり、患者等の個人情報が漏洩した可能性があることが判明した。
教員のPCが不正利用され、その端末を踏み台として当該NASへのアクセスが行われたとみられている。NASに保存されていた治験業務関連データには、2003年から2013年にかけて東北大学病院に入院した患者の個人情報（患者番号・氏名・性別・診療科・最終受診日）と、2001年以降に治験分担医師を務め2025年度末までに東北大学を退職した医師の個人情報（氏名・現在使用不可のメールアドレス）が含まれる。具体的な漏洩人数は調査継続中のため、記録時点では未公表となっている。
4月24日に一部業務システムのパスワードリセットおよび学内ネットワーク一部セグメントの切り離しを実施し、不正アクセスのあった当該NASはネットワークから遮断された。当該NASは現在すでに廃止されており、二次被害は確認されていない。
5月1日、東北大学は公式ウェブサイトで事案を公表し、個人情報保護委員会・文部科学省・厚生労働省への報告と、警察および外部専門機関との連携のうえで調査を継続していると説明した。6月17日には一部の対象者について連絡先が不明なため個別通知ができていないとして、専用窓口への申し出を呼びかける続報を発表し、連絡の取れていない元入院患者・元治験分担医師に周知を行った。