YCC情報システム株式会社は山形県山形市に拠点を置く情報システム企業で、自治体向けの健康情報システム・高額医療費管理システム・住民情報システムのほか、医療機関向けの電子カルテシステム・医療会計システムなど医療・行政両面の業務システムを開発・受託運用している。
2026年4月2日早朝、同社のファイルサーバーへの不正アクセスが検知された。午前6時50分頃、ランサムウェアによるファイルの暗号化が確認され、同社は直ちに被害拡大防止措置を講じるとともに警察・専門機関に通報し調査を開始した。翌4月3日に第1報を公表した。
外部専門家による解析の結果、侵入経路はネットワーク機器の管理者アカウントの認証情報が推測・奪取されて内部ネットワークへのアクセスに利用された可能性が高いとされた。ランサムウェアの種類は4月7日の第3報時点で特定されたが、セキュリティ上の理由から非公表とされている。
4月14日の第4報で、委託先から受け取り保管していた個人情報の一部について漏洩の可能性を否定できないことが明らかにされた。主な被害規模として、山形市が委託していた健康情報システム等から約50万件（マイナンバーを含む人事給与情報約6,000件・児童相談情報2,520件を含む）、山形大学で8万件超の個人情報漏洩のおそれが公表された。山形交通・埼玉県幸手市・関東信越税理士国民健康保険組合等も被害を発表し、被害総数は70万件超に達すると報じられた。
医療機関向けの電子カルテ・医療会計システムにも影響が及んだ可能性があるが、個別医療機関における診療への直接影響については公表された情報の範囲では確認されていない。本事案は、地域の医療・行政インフラを支える受託事業者へのランサムウェア攻撃が広範なサプライチェーン被害をもたらした事例として注目された。