メドレー「アットリンク」に不正アクセス｜患者の氏名やログインIDが流出

医療機関向けの業務支援システム「@link（アットリンク）」と患者向けの「アットリンクアプリ」を提供するメドレーは2026年10月23日、不正アクセスの調査の結果、患者の氏名・誕生月日・ログインIDとパスワードなどが外部に流出したことを確かめたと公表しました（メドレーの発表）。 10月15日の第1報では、10月14日深夜からサービスを止めて調べているとしていました。 アットリンクを使う医療機関（最大787件）とその患者、予約や問診をクラウドのサービスに任せている会社に関係します。

公表された内容

• 期間と手口：2026年9月下旬〜10月中旬、第三者が不正に置いたプログラムを通じてデータベースにアクセスし、情報を取っていたとしています（2026年10月23日の発表）。具体的な手法は、同じ攻撃を招くおそれがあるとして公表していません
• アプリ・WEB予約を使っていた患者の情報：氏名・フリガナ・誕生月日、メールアドレス（登録した人）、アプリ・WEB予約のログインIDとパスワード、使った医療機関の名前・登録日・最後に来院した日、アプリでオンライン決済をした人は決済の日と金額。カードの番号などは同社が持っていないとしています
• アプリ・WEB予約を使っていなかった患者の情報：氏名・フリガナ・誕生月日、使った医療機関の名前・登録日・最後に来院した日、ログインIDと初期パスワード
• 件数：調査中として公表されていません。対象になりうる医療機関は、最大でアットリンクなどを使う全787件としています（2026年10月15日の発表）
• ほかの漏えい：流出したログインの情報を使った不正なログインによる、ほかの情報の漏えいは確認されていないとしています
• きっかけ：10月11日に外部の専門機関から、不正アクセスのおそれがあると知らせを受けたとしています

経緯

• 2026年9月下旬〜10月中旬：不正に置かれたプログラムを通じてデータベースの情報が取られていた
• 2026年10月11日：外部の専門機関からの知らせで調査を始め、不正アクセスを確認
• 2026年10月14日深夜：医療機関への影響を抑える暫定の支援をしたうえで、アットリンクなどの提供を一時停止
• 2026年10月15日：不正アクセスとサービスの停止を公表（適時開示）。個人情報保護委員会へ報告し、警察に相談
• 2026年10月23日：調査の状況を公表し、患者の個人情報の流出を確かめたと発表。院内の業務に影響の大きい機能から順に再開するとしています

会社の対応

• 不正アクセスの経路を遮断し、関係する認証の情報をすべて無効にしたとしています
• 個人情報保護委員会と厚生労働省に報告
• 再開にあたって全機能を新たに作り直したとしています。認証とアクセスの制御の強化、パスワードの保管方法の見直し、監視の強化を行ったとしています
• アプリ・WEB予約のパスワードは引き継がず、再開のときに新しく設定してもらうとしています
• 対象の患者には、医療機関と連携して順に知らせるとしています。停止の期間の利用料は返金するとしています（11月ごろの振込の予定）

中小企業が今日からできること

• 予約・会員のサービスのパスワードの保管方法を確かめる：自社や委託先の予約システムで、パスワードが復元できない形（ソルト付きの強いハッシュ）で保管されているか、初期パスワードが生年月日など他人にも分かる決まりになっていないかを確かめる
• 外からの「侵入のおそれ」の知らせを受ける窓口を決める：今回は外部の専門機関からの知らせで分かった。セキュリティの連絡をだれが受け、何時間以内に調べ始めるかを決め、問い合わせ先をサイトに載せる
• 止めたときの代わりの手順を用意する：予約や受付をクラウドに任せているなら、止まったときに紙や表計算で受け付ける手順と、予約の一覧を手元に出しておく方法を決めておく
• データベースへの普段と違う読み出しを見張る：9月下旬から10月中旬まで情報が取られていた。データベースの読み出しの量や、知らないプログラムの動きを記録し、定期的に見る
• 社員に、医療機関・決済を名乗る連絡への注意を伝える：アットリンクを使う医療機関に通っていれば、氏名や来院日入りの連絡が来るおそれがある。同じパスワードをほかで使っていれば変える