対象：医療機関が使う予約・受付システム「@link（アットリンク）」のアプリやWEB予約で予約したことがある人、アットリンクを使う医療機関に通ったことがある人、アットリンクを導入している医療機関。本記事は株式会社メドレーの公式発表にもとづく解説で、攻撃の手順は扱いません。どの医療機関が対象かは公表されておらず、当サイトも推測しません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月24日時点まだ分かっていないこと
- 対象の医療機関の数と名称
- 対象の人数
- 不正アクセスの具体的な手法（同社は公表を控えるとしている）
- パスワードをどのような形式で保存していたか
- 患者向けアプリ・WEB予約の再開時期
- 偽の連絡や、他のサービスへの不正ログインなどの二次被害の有無
株式会社メドレーは、対象数などは正確を期すため外部の専門機関とともに調査を続けているとし、該当する人には医療機関と連携して順次通知するとしています。発表ページ「最新情報」は、調査状況とサービス再開の取り組みを随時知らせるとしており、10月24日に確認した最終更新は10月23日16時です。
患者が今日やること
同じパスワードを使い回したサービスのパスワードを変える
漏えいした項目には、アプリ・WEB予約のログインIDとパスワードが含まれます。同社は、アットリンクと同じパスワードを他のサービスでも使っている場合、そのサービスに不正にログインされるおそれがあるとして、変更を求めています。
ネット通販、メール、SNSなど、同じパスワード（少し変えただけのものも含む）を使っていたサービスから先に変えます。変えるときは使い回さず、パスワードマネージャー で長いものを作ると楽です。2段階認証が使えるサービスは、あわせて有効にします（2段階認証の始め方）。
アットリンクのパスワードは、再開時に新しく設定する
アットリンクのアプリ・WEB予約のパスワードは引き継がれず、サービス再開時に新たに設定する方式です。同社は、それまでの期間に変更する必要はないとしています。再開の案内が来たら、他のサービスと違うパスワードを設定してください。
受診先や来院に触れる連絡でも、リンクを開かない
漏れた項目には、受診した医療機関の名称と最終来院日が含まれます。そのため、「〇〇クリニックです。前回のご来院の件で」のように、実際の受診先や時期に触れる偽の連絡が作れてしまいます。
同社は、同社やアットリンク、医療機関、カード会社などを名乗る不審なメール・SMS・電話に注意するよう呼びかけ、同社からパスワードやクレジットカード情報を尋ねることはないとしています。医療機関への確認は、診察券や医療機関の公式サイトに載っている番号で行います（見分け方は フィッシングとは）。
カードは明細を見ておく（再発行を求める案内は出ていない）
アプリでオンライン決済を使っていた人は、決済日と金額の履歴が漏えいしました。カード番号などは同社で保有していないとしており、カードの再発行を求める案内は出ていません。カード会社を名乗る連絡で番号や認証コードを聞かれても答えず、心当たりのない請求がないかを明細で確かめておきます。
通知を待ち、問い合わせは専用窓口へ
該当する人には、同社がアットリンクを使う医療機関と連携して順次通知するとしています。患者向けの問い合わせ先は、同社の発表ページに載っている専用メールアドレス（at-link@medley.jp）です。新しい予約や予約の変更は、予約先の医療機関に直接連絡するよう案内されています。
アプリを使っていなくても対象になっている場合がある
同社の発表では、対象となった医療機関（どこかは調査中）を利用した人のうち、アプリ・WEB予約を使っていない人も漏えいの対象です。項目は氏名、フリガナ、誕生月日、医療機関の名称、利用登録日、最終来院日、ログインIDと初期パスワードです。本人が使い始める前に用意されていたログイン情報も、漏えいした項目に含まれています。
医療機関がやること
同社は、アットリンクを使う医療機関に向けて、停止中の運用と患者への案内を次のように求めています。
患者からの問い合わせは、同社の専用窓口へ案内する
同社は、患者から本件やアプリについて問い合わせがあった場合、同社の窓口を案内するよう求めています。患者向けの専用メールアドレスは at-link@medley.jp です。医療機関向けの電話窓口は、同社の発表ページに載っています。
新しい予約と予約の変更は、院内で受ける
患者向けのアプリとWEB予約サイトは停止中です。同社は、新規予約と予約の変更は引き続き各医療機関で対応するよう求めています。停止中の運用のため、運用マニュアルと医療機関ごとの予約一覧ファイルを案内しているとし、届いていなければ窓口に連絡するよう書いています。
院内の掲示や電話で、偽の連絡への注意を伝える
同社は、医療機関を名乗る不審な連絡にも注意を呼びかけています。医療機関側でも「当院からメールやSMSでパスワードやカード番号を尋ねることはない」と掲示や受付で伝えておくと、患者が偽の連絡に気づきやすくなります。これは当サイトの提案で、同社の案内ではありません。
何が起きたのか（株式会社メドレーの発表より）
以下は、同社の10月15日の発表（同じページを10月23日16時まで更新）と、10月23日の「調査状況について」にもとづきます。10月15日・19日・20日の版は、インターネットアーカイブに保存された版で確認しました。
2026年9月下旬〜10月中旬
第三者が、不正に設置したプログラムを通じて同社のデータベースにアクセスし、情報を取得していた（10月23日の発表で確認されたこと）。10月11日
外部の専門機関から不正アクセスの可能性について情報提供を受けて調査を開始（その後、第三者による不正アクセスを確認）。10月14日 深夜
被害の拡大防止と調査のため、アットリンク、患者向けのアットリンクアプリ、周辺サービスの提供を一時停止。10月15日
発表。漏えいの有無と範囲は調査中とし、個人情報保護委員会への報告と警察への相談を行っているとした。10月19日
医療機関向けの予約・患者情報・診察カレンダーの機能を、これまでとは別の環境で作った新サービス「@link クラウド β版」として10月22日朝から段階的に再開する予定と案内。停止期間中の利用料金は後日返金し、11月中を目処に指定口座への振込などを予定するとした。10月20日
調査結果の報告を予定していたが、追加の調査が必要な項目が生じたとして延期。10月23日
個人情報が外部に漏えいしたことを確認したと発表し、項目を公表。個人情報保護委員会と厚生労働省に報告済みとした。医療機関向け機能の再開は不具合で遅れ、目処は立っていないとした。
アプリ・WEB予約を使っていた人
氏名、フリガナ、誕生月日、メールアドレス（登録した人のみ）、ログインID、パスワード、医療機関の名称、利用登録日、最終来院日、カードの決済履歴（決済日・金額のみ。オンライン決済を使った人のみ）
やること：使い回したパスワードを変える、偽の連絡に注意
アプリ・WEB予約を使っていない人
氏名、フリガナ、誕生月日、医療機関の名称、利用登録日、最終来院日、ログインID、初期パスワード
やること：受診先や来院に触れる偽の連絡に注意、通知を待つ
どちらも：カード番号などは同社で保有していない（同社）
- 対象のサービス
- 医療機関業務支援システム「@link（アットリンク）」、患者向けの「アットリンクアプリ」と周辺サービス
- 発覚のきっかけ
- 10月11日、外部の専門機関からの情報提供
- 起きたこと
- 第三者が9月下旬〜10月中旬に、不正に設置したプログラムを通じて同社のデータベースにアクセスし、情報を取得した
- 漏えいの状態
- 漏えいを確認（10月23日）。対象数は調査中
- ログインID・パスワードを使った被害
- これらを使った不正なログインによる、今回公表した以外の情報漏えいは確認されていない
- 手法
- 同種の攻撃を誘発するおそれがあるとして公表を控える
- 対応
- 経路の遮断、関係する認証情報のすべての無効化、サービスの一時停止。個人情報保護委員会と厚生労働省へ報告。10月15日の時点で警察に相談
- 再発防止
- 長く運用してきたシステムのため、再開にあたって全機能を開発し直している。認証とアクセス制御の強化、パスワードの保管方法の見直し、監視体制の強化を挙げる。グループ全体のサービスのセキュリティ点検も行う
同社は10月19日の版で、アットリンクは長年提供してきたサービスで、オンプレミス型（医療機関内に置く型）とクラウド型のシステムが混在しているため、確認に想定以上の時間がかかっていると説明していました。
なお、同社は10月21日、別の件として、プログラミング言語PHPの深刻な脆弱性への予防措置で一部のプロダクトを一時停止し、対策を終えたものから再開していると発表しています。同社によれば、10月23日6時時点でこの脆弱性を悪用した不正アクセスや情報の流出は確認されておらず、アットリンクの件とは別のお知らせです。
分かっていること・分かっていないこと
2026年10月24日時点の状態です。続報が出たら、この表の状態欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 氏名・フリガナ・誕生月日 | アプリ・WEB予約を使っていた人、使っていない人の両方 | 漏えいを確認（同社） |
| 利用した医療機関の名称・利用登録日・最終来院日 | 両方 | 漏えいを確認（同社） |
| アプリ・WEB予約のログインIDとパスワード | 使っていた人はパスワード、使っていない人は初期パスワード | 漏えいを確認（同社） |
| メールアドレス | アプリ・WEB予約を使い、登録した人のみ | 漏えいを確認（同社） |
| クレジットカードの決済履歴 | 決済日と金額のみ。アプリでオンライン決済を使った人のみ | 漏えいを確認（同社） |
| クレジットカード番号など | 同社で保有していない | 含まれない（同社） |
| ログインIDとパスワードを使った不正ログインによる追加の漏えい | 確認されていない | 確認されていない（同社） |
| 誕生年・住所・電話番号・診療の内容 | 漏えいした項目の一覧にない | 記載なし |
| パスワードの保存形式 | 公表されていない（再発防止策に「保管方法の見直し」を挙げる） | 記載なし |
| 対象の医療機関の数・名称、対象の人数 | 外部の専門機関とともに調査を継続 | 調査中 |
| 不正アクセスの具体的な手法 | 同種の攻撃を誘発するおそれがあるとして公表を控える | 記載なし |
| 偽の連絡などの二次被害 | 発表に記載なし | 記載なし |
| 患者向けアプリ・WEB予約の再開 | 再開時にパスワードを新しく設定。時期は未定 | 調査中 |
| 停止期間中の利用料金 | 後日返金。11月中を目処に指定口座への振込などを予定 | 返金の方針（同社）・時期は予定 |
一覧にない項目を「漏れていない」と読まない
誕生年、住所、電話番号、診療の内容などは、発表の漏えい項目の一覧にありません。ただし同社は対象数を調査中としており、一覧にないことは「含まれない」と明言されたのとは違います。続報で項目が変わる可能性もあるので、通知や発表ページの更新を確かめてください。
漏れた項目で何が起きうるか
一般に、次の組み合わせがそろうと、次のような悪用が起きえます。今回それが起きたという意味ではありません。
- 氏名＋医療機関の名称＋最終来院日：受診先を名乗り「ご予約の確認」「前回のご来院の件で」とする、本物らしい偽のSMSや電話が作れる
- 氏名＋メールアドレス＋決済日・金額：「〇月〇日のお支払いに不備がありました」とカード情報の再入力を求める偽のメールが作れる
- ログインID＋パスワード：同じ組み合わせを使い回した他のサービスへの不正ログイン（パスワードリスト攻撃）
- 氏名＋誕生月日：他の窓口で本人確認を装う材料の一部になる（誕生年は一覧にない）
医療機関の名前が分かると、偽の連絡に「どこで受診したか」という本人しか知らないはずの情報を入れられる点が、通販サイトの漏えいとの違いです。店舗向けの予約・顧客管理システムから利用者の情報が漏れた例には、2026年の EPARKリラク＆エステ「PeakManager」の情報漏えい もあります。
当サイトの視点：使い始める前の「初期パスワード」も漏れる項目になった
今回の発表で目を引くのは、アプリ・WEB予約を使っていない人についても、ログインIDと初期パスワードが漏えい項目に入っている点です。本人が使い始める前から、ログインに使える情報がシステムの中に用意されていたことになります。
アットリンクの件の原因は公表されていないため、どう防げたかは言えません。アットリンクでの初期パスワードの運用方法も公表されていません。以下は一般的な点検項目です。ここでは、漏れた項目から言えることだけを、患者向けのサービスや会員登録の仕組みを運営する事業者向けに挙げます。
初期パスワードは、初回ログインで必ず変えさせ、期限を付ける
受付や紙の案内で初期パスワードを渡す場合、使われないまま残った初期パスワードは、漏れたときにそのまま使える状態になります。初回ログイン時の変更を必須にし、一定期間使われなければ無効にする設定があるかを確かめます。
長く使っているシステムの棚卸しをする
同社は、長く運用してきたシステムで、オンプレミス型とクラウド型が混在していたため調査に時間がかかったと説明し、再開にあたって全機能を開発し直しているとしています。どこに患者や顧客のデータがあり、どの経路で読めるかの一覧がないと、事故のときに範囲の確認が遅れます。
医療機関がシステムの停止に備える手順は、サイバー攻撃で診療が止まった病院の事例 にまとめています。
出典（公開記録）
本記事の事実関係は以下の公開情報にもとづきます。公表されていない不正アクセスの手口と、対象の医療機関は推測していません。
- 株式会社メドレー「アットリンクへの不正アクセスに関する調査状況について」（2026年10月23日） — at-link.net
- 株式会社メドレー「アットリンクへの不正アクセスおよびサービスの一時停止に関する最新情報」（2026年10月15日、10月23日16時更新） — at-link.net（10月15日・19日・20日の版はインターネットアーカイブで確認）
- 株式会社メドレー「アットリンクへの不正アクセスおよびサービスの一時停止に関する最新情報」（コーポレートサイト、2026年10月15日、10月23日16時更新） — medley.jp
- 株式会社メドレー「一部プロダクトの提供再開に関するお知らせ」（2026年10月21日、10月23日6時時点。本件とは別のお知らせ） — medley.jp
更新履歴
2026-10-24：初版。株式会社メドレーの10月15日の発表（10月23日16時までの更新を含む）と、10月23日の「調査状況について」にもとづく。対象の医療機関の数と人数、患者向けアプリの再開時期が公表され次第更新します。
次に読む
- 同じ型の事案：EPARKリラク＆エステ「PeakManager」の情報漏えい ／ サイバー攻撃で診療が止まった病院の事例
- パスワード：自分のパスワードが漏れていないか確かめる ／ パスワードマネージャーの選び方と使い方 ／ 2段階認証の始め方
- 偽の連絡：フィッシングとは
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）