A quién va dirigido: personas que reservaron mediante la app o la reserva web de @link (at-link), un sistema de reservas y recepción usado por clínicas y hospitales de Japón; personas que han acudido a una clínica que usa at-link; y clínicas que lo usan. Este artículo se basa en los avisos oficiales de Medley, Inc. y no trata métodos de ataque. No se han nombrado las clínicas afectadas, y este sitio no especula sobre cuáles son.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
Al 24 de octubre de 2026Aún no se sabe
- El número y los nombres de las clínicas afectadas
- El número de personas afectadas
- El método de ataque concreto (la empresa dice que no lo revelará)
- Cómo se almacenaban las contraseñas
- Cuándo se reiniciarán la app para pacientes y la reserva web
- Si se ha producido un daño secundario, como mensajes falsos o inicios de sesión no autorizados en otros servicios
Medley, Inc. dice que sigue investigando las cifras con una organización especializada externa para asegurar su exactitud, y que notificará a los afectados de forma sucesiva, en colaboración con las clínicas. Su página de "información más reciente" dice que publicará actualizaciones sobre la investigación y el reinicio a medida que las haya; al consultarla el 24 de octubre, su última actualización era de las 16:00 del 23 de octubre.
Qué deben hacer hoy los pacientes
Cambie la contraseña en cada servicio donde la reutilizó
Entre los datos filtrados están el ID de acceso y la contraseña de la app y de la reserva web. La empresa pide a quienes usaron la misma contraseña en otros servicios que la cambien allí, porque alguien podría iniciar sesión en ellos.
Empiece por las cuentas de compras en línea, correo electrónico y redes sociales que usaban la misma contraseña (incluidas pequeñas variaciones). No reutilice la nueva; un gestor de contraseñas facilita crear contraseñas largas y únicas. Active la verificación en dos pasos donde esté disponible (cómo configurar la autenticación multifactor).
Establezca una nueva contraseña de at-link cuando se reinicie el servicio
Las contraseñas de la app at-link y de la reserva web no se trasladarán; los usuarios establecerán una nueva al reiniciarse el servicio. La empresa dice que no es necesario cambiarlas antes. Cuando llegue el aviso de reinicio, elija una contraseña que no use en ningún otro sitio.
No abra enlaces, ni siquiera en mensajes que mencionen su clínica o su visita
Entre los datos filtrados están el nombre de la clínica utilizada y la fecha de la última visita. Eso permite redactar mensajes falsos convincentes, como "Le escribe su clínica, sobre su última visita", que se refieren a dónde y cuándo le atendieron realmente.
La empresa advierte sobre correos, mensajes de texto y llamadas sospechosos que dicen provenir de la empresa, de at-link, de clínicas o de empresas de tarjetas, y dice que nunca pedirá contraseñas ni datos de tarjeta. Consulte con su clínica usando el número de su tarjeta de paciente o su sitio web oficial (vea qué es el phishing).
Revise el extracto de su tarjeta (no se ha pedido reemplazarla)
Para quienes pagaron en línea mediante la app, se filtraron las fechas y los montos de los pagos. La empresa dice que no conserva números de tarjeta y que no ha pedido a nadie reemplazar tarjetas. Si alguien que dice ser su empresa de tarjeta le pide su número o un código de verificación, no responda, y revise su extracto por si hay cargos que no reconoce.
Espere el aviso y envíe las consultas al contacto específico
La empresa dice que notificará a los afectados de forma sucesiva, en colaboración con las clínicas que usan at-link. El contacto para pacientes indicado en su página de avisos es la dirección de correo específica at-link@medley.jp. Para nuevas reservas o cambios, contacte directamente con la clínica.
Puede estar afectado aunque nunca haya usado la app
Según la empresa, las personas que usaron una clínica afectada (qué clínicas son está en investigación) pero no usaron la app ni la reserva web también están afectadas. Sus datos filtrados son: nombre, furigana, mes y día de nacimiento, nombre de la clínica, fecha de registro, fecha de la última visita, y un ID de acceso y una contraseña inicial. Los datos de acceso preparados antes de que el paciente empezara a usar el servicio figuran entre los datos filtrados.
Qué deben hacer las clínicas
La empresa ha dado a las clínicas que usan at-link las siguientes indicaciones sobre cómo operar durante la suspensión y qué decir a los pacientes.
Dirija las consultas de los pacientes al contacto específico de la empresa
La empresa pide a las clínicas que faciliten sus datos de contacto a los pacientes cuando pregunten por el incidente o por la app. La dirección de correo específica para pacientes es at-link@medley.jp. La línea telefónica para clínicas figura en la página de avisos de la empresa.
Gestione internamente las nuevas reservas y los cambios
La app para pacientes y el sitio de reserva web están suspendidos. La empresa pide a cada clínica que siga gestionando por sí misma las nuevas reservas y los cambios. Dice que ha enviado manuales de operación y un archivo con la lista de reservas de cada clínica, y pide a las clínicas que la contacten si no los han recibido.
Advierta a los pacientes sobre mensajes falsos en recepción y por teléfono
La empresa también advierte sobre mensajes sospechosos que dicen provenir de clínicas. Un aviso en recepción que diga "nunca pediremos contraseñas ni números de tarjeta por correo o mensaje de texto" ayuda a los pacientes a detectar falsificaciones. Esta es una sugerencia de este sitio, no una indicación de la empresa.
Qué ocurrió (según Medley, Inc.)
Lo siguiente se basa en el aviso de la empresa del 15 de octubre (la misma página, actualizada hasta las 16:00 del 23 de octubre) y en su aviso del 23 de octubre sobre la investigación. Las versiones del 15, 19 y 20 de octubre se comprobaron en copias guardadas por el Internet Archive.
Finales de septiembre a mediados de octubre de 2026
Un tercero accedió a la base de datos de la empresa mediante un programa que había instalado sin autorización y obtuvo información (confirmado en el aviso del 23 de octubre).11 de octubre
Tras ser alertada por una organización especializada externa de un posible acceso no autorizado, la empresa comenzó a investigar (y después confirmó el acceso no autorizado de un tercero).Noche del 14 de octubre
Para contener el daño e investigar, la empresa suspendió at-link, la app at-link para pacientes y servicios relacionados.15 de octubre
Anuncio. La empresa dijo que si hubo filtración de datos y su alcance estaban en investigación, y que había informado a la Comisión de Protección de Información Personal y consultado a la policía.19 de octubre
La empresa dijo que preveía reiniciar por etapas, desde la mañana del 22 de octubre, las funciones de reservas, historiales de pacientes y calendario de consultas del lado de las clínicas, como un nuevo servicio, "@link Cloud beta", construido en un entorno separado. Dijo que se reembolsarían las tarifas del periodo de suspensión, con transferencias bancarias o similares previstas para algún momento de noviembre.20 de octubre
La empresa aplazó su informe previsto sobre la investigación, diciendo que había que investigar elementos adicionales.23 de octubre
La empresa anunció que había confirmado la filtración de datos personales y publicó los datos afectados. Dijo que había informado a la Comisión de Protección de Información Personal y al Ministerio de Salud, Trabajo y Bienestar. El reinicio del lado de las clínicas se retrasó por defectos, sin fecha fijada.
Usó la app o la reserva web
Nombre, furigana, mes y día de nacimiento, correo electrónico (solo si lo registró), ID de acceso, contraseña, nombre de la clínica, fecha de registro, fecha de la última visita, historial de pagos con tarjeta (solo fecha y monto; solo pagos en línea mediante la app)
Qué hacer: cambiar las contraseñas reutilizadas, estar atento a mensajes falsos
No usó la app ni la reserva web
Nombre, furigana, mes y día de nacimiento, nombre de la clínica, fecha de registro, fecha de la última visita, ID de acceso, contraseña inicial
Qué hacer: estar atento a mensajes falsos que mencionen su clínica o su visita, esperar el aviso
En ambos casos: la empresa dice que no conserva números de tarjeta
- Servicios afectados
- El sistema de gestión de instituciones médicas @link (at-link), la app at-link para pacientes y servicios relacionados
- Cómo se detectó
- Una alerta de una organización especializada externa el 11 de octubre
- Qué ocurrió
- Desde finales de septiembre hasta mediados de octubre, un tercero accedió a la base de datos de la empresa mediante un programa que había instalado sin autorización y obtuvo información
- Estado de la filtración
- Filtración confirmada (23 de octubre). Cifras en investigación
- Uso de los datos de acceso filtrados
- No se ha confirmado ninguna filtración de información más allá de lo anunciado mediante inicios de sesión no autorizados con estas credenciales
- Método
- No revelado, porque hacerlo podría invitar a ataques similares
- Respuesta
- Vía cerrada, todas las credenciales relacionadas invalidadas, servicios suspendidos. Informado a la Comisión de Protección de Información Personal y al Ministerio de Salud, Trabajo y Bienestar. Policía consultada al 15 de octubre
- Prevención de nuevos casos
- Como at-link llevaba mucho tiempo en funcionamiento, se están reconstruyendo todas las funciones antes del reinicio, con autenticación y control de acceso más fuertes, una revisión de cómo se almacenan las contraseñas y mayor supervisión. Comprobaciones de seguridad en los servicios del grupo
En su versión del 19 de octubre, la empresa explicó que at-link se había ofrecido durante muchos años y combinaba sistemas locales (instalados en la clínica) con sistemas en la nube, por lo que comprobar el alcance estaba llevando más tiempo del previsto.
Por separado, el 21 de octubre la empresa dijo que había suspendido temporalmente algunos otros productos como precaución ante una vulnerabilidad grave en el lenguaje de programación PHP, y que los estaba reiniciando una vez corregida. Dijo que, al 23 de octubre a las 06:00, no se había confirmado ningún acceso no autorizado ni filtración de datos que aprovechara esa vulnerabilidad. Ese aviso no trata del incidente de at-link.
Qué sabemos y qué no
Situación al 24 de octubre de 2026. Actualizaremos la columna de estado cuando se publique más información.
| Elemento | Qué dice el aviso | Estado |
|---|---|---|
| Nombre, furigana, mes y día de nacimiento | Usuarios y no usuarios de la app | Filtración confirmada (empresa) |
| Nombre de la clínica, fecha de registro, fecha de la última visita | Ambos | Filtración confirmada (empresa) |
| ID de acceso y contraseña de la app y de la reserva web | Contraseña para usuarios; contraseña inicial para no usuarios | Filtración confirmada (empresa) |
| Correo electrónico | Solo usuarios de la app o de la reserva web que registraron uno | Filtración confirmada (empresa) |
| Historial de pagos con tarjeta de crédito | Solo fecha y monto; solo quienes pagaron en línea mediante la app | Filtración confirmada (empresa) |
| Números de tarjeta de crédito y similares | No los conserva la empresa | No incluidos (empresa) |
| Otras filtraciones mediante inicios de sesión no autorizados con las credenciales filtradas | No confirmadas | No confirmadas (empresa) |
| Año de nacimiento, dirección, número de teléfono, datos médicos | No figuran en la lista de datos filtrados | No indicado |
| Cómo se almacenaban las contraseñas | No revelado (una revisión del almacenamiento de contraseñas figura entre las medidas de prevención) | No indicado |
| Número y nombres de las clínicas, número de personas | La investigación continúa con una organización especializada externa | En investigación |
| Método de ataque concreto | Reservado, porque revelarlo podría invitar a ataques similares | No indicado |
| Daño secundario, como mensajes falsos | No se menciona en los avisos | No indicado |
| Reinicio de la app para pacientes y de la reserva web | Nueva contraseña al reiniciar; fecha no fijada | En investigación |
| Tarifas del periodo de suspensión | Se reembolsarán; transferencias bancarias o similares previstas para algún momento de noviembre | Política de reembolso (empresa); plazo previsto |
Que un dato no figure en la lista no es lo mismo que decir que no se filtró
El año de nacimiento, la dirección, el número de teléfono y los datos médicos no figuran en la lista de datos filtrados de la empresa. Pero la empresa aún investiga las cifras, y no figurar en la lista es distinto de que se indique que no están incluidos. Los datos podrían cambiar en una actualización posterior, así que esté atento al aviso y a las actualizaciones de la página de la empresa.
Para qué pueden usarse los datos filtrados
En general, las siguientes combinaciones pueden permitir los siguientes tipos de uso indebido. Esto no significa que haya ocurrido en este caso.
- Nombre + nombre de la clínica + fecha de la última visita: mensajes de texto o llamadas falsos y convincentes que se hacen pasar por su clínica, como "confirmación de su cita" o "sobre su última visita"
- Nombre + correo electrónico + fecha y monto del pago: correos falsos que dicen "hubo un problema con su pago del [fecha]" y piden volver a introducir los datos de la tarjeta
- ID de acceso + contraseña: inicios de sesión en otros servicios donde se reutilizó la misma combinación (credential stuffing)
- Nombre + mes y día de nacimiento: parte del material para hacerse pasar por usted en las verificaciones de identidad de otros servicios (el año de nacimiento no figura en la lista)
Conocer el nombre de la clínica permite que un mensaje falso incluya dónde le atendieron, algo que solo usted debería saber. Eso lo distingue de una filtración de una tienda en línea. Otro caso en que se filtraron datos de clientes de un sistema de reservas y gestión de clientes usado por negocios es la filtración de EPARK Relax & Esthe PeakManager de 2026.
Opinión de este sitio: entre los datos filtrados había "contraseñas iniciales" emitidas antes del primer uso
Lo que más destaca en el aviso es que se filtraron ID de acceso y contraseñas iniciales incluso de personas que no usaron la app ni la reserva web. Los datos de acceso existían en el sistema antes de que el paciente empezara a usar el servicio.
No se ha revelado la causa del incidente de at-link, por lo que no podemos decir cómo se podría haber evitado. Tampoco se ha revelado cómo gestionaba at-link las contraseñas iniciales; los puntos siguientes son comprobaciones generales. A continuación solo hay puntos que se derivan de los datos filtrados, para empresas que gestionan servicios para pacientes o registros de socios.
Obligue a cambiar la contraseña inicial en el primer inicio de sesión y haga que caduque
Cuando las contraseñas iniciales se entregan en recepción o en papel, las que nunca se usan siguen siendo válidas y, si se filtran, pueden usarse tal cual. Compruebe si puede exigir un cambio en el primer inicio de sesión e inhabilitar las contraseñas iniciales que no se usen durante un periodo determinado.
Haga un inventario de los sistemas antiguos
La empresa dijo que la investigación llevó tiempo porque at-link llevaba mucho tiempo en funcionamiento y combinaba sistemas locales y en la nube, y que está reconstruyendo todas las funciones antes del reinicio. Sin una lista de dónde están los datos de pacientes o clientes y de qué vías pueden leerlos, confirmar el alcance después de un incidente es lento.
Sobre cómo pueden prepararse las clínicas ante caídas de sistemas, vea hospitales cuya atención se vio interrumpida por ciberataques.
Fuentes (registro público)
Los hechos de este artículo se basan en la información pública siguiente (en japonés). No hemos especulado sobre métodos de ataque no revelados ni sobre qué clínicas están afectadas.
- Medley, Inc., "On the status of the investigation into unauthorized access to at-link" (23 de octubre de 2026) — at-link.net
- Medley, Inc., "Latest information on the unauthorized access to at-link and the temporary suspension of service" (15 de octubre de 2026; actualizado a las 16:00 del 23 de octubre) — at-link.net (versiones del 15, 19 y 20 de octubre comprobadas en el Internet Archive)
- Medley, Inc., el mismo aviso en su sitio corporativo (15 de octubre de 2026; actualizado a las 16:00 del 23 de octubre) — medley.jp
- Medley, Inc., "Notice on the restart of some products" (21 de octubre de 2026; situación a las 06:00 del 23 de octubre; asunto aparte) — medley.jp
Historial de actualizaciones
2026-10-24: Primera versión. Basada en el aviso de Medley, Inc. del 15 de octubre (incluidas las actualizaciones hasta las 16:00 del 23 de octubre) y en su aviso del 23 de octubre sobre la investigación. Se actualizará cuando se publiquen el número de clínicas y de personas afectadas y la fecha de reinicio de la app para pacientes.
Lea a continuación
- Casos similares: Filtración de EPARK Relax & Esthe PeakManager / Hospitales cuya atención se vio interrumpida por ciberataques
- Contraseñas: Compruebe si su contraseña se ha filtrado / Cómo elegir y usar un gestor de contraseñas / Configuración de la autenticación multifactor
- Mensajes falsos: Qué es el phishing
- Otros casos de 2026: Lista de filtraciones de datos y ciberataques