北海道大学病院は、2023年12月27日に職員のメールアカウントが第三者に不正使用される事案が発生したと公表した。リスト型攻撃（他所から流出した認証情報を使い回す攻撃）によりアカウントが乗っ取られたとみられ、そのアカウントから外部の約3万件のメールアドレス宛にフィッシングメールが送信された。
病院がフォレンジック調査を行った結果、当該アカウントはフィッシングメールの送信のみに悪用されており、メール本文の閲覧など第三者による個人情報の取得・漏えいの可能性はないことを確認したとしている。診療への影響もなかった。アカウント乗っ取りが「攻撃そのもの」ではなく踏み台（他者への攻撃の中継）として悪用された典型例で、患者データの被害は確認されていない。