대상 독자: 일본의 클리닉과 병원이 사용하는 예약·접수 시스템 @link(at-link)의 앱이나 웹 예약으로 예약한 사람, at-link를 쓰는 클리닉에서 진료받은 사람, 그리고 이를 사용하는 클리닉입니다. 이 글은 Medley, Inc.의 공식 공지를 바탕으로 하며 공격 수법은 다루지 않습니다. 피해 클리닉은 공개되지 않았으며, 이 사이트는 어느 클리닉인지 추측하지 않습니다.
진행 중: 해당 기관이 새 정보를 공개하는 대로 이 글을 갱신합니다
2026년 10월 24일 기준아직 알 수 없음
- 피해 클리닉의 수와 이름
- 피해 인원
- 구체적인 공격 수법(회사는 공개하지 않겠다고 밝힘)
- 비밀번호가 저장된 방식
- 환자용 앱과 웹 예약의 재개 시기
- 가짜 메시지나 다른 서비스 부정 로그인 같은 2차 피해 발생 여부
Medley, Inc.는 정확성을 위해 외부 전문 기관과 함께 인원 등을 계속 조사 중이며, 클리닉과 협력해 해당자에게 순차적으로 알리겠다고 밝혔습니다. 회사의 "최신 정보" 페이지는 조사와 재개 상황을 확인되는 대로 게시하겠다고 안내하며, 10월 24일에 확인했을 때 마지막 갱신은 10월 23일 16:00이었습니다.
환자가 오늘 해야 할 일
같은 비밀번호를 쓴 모든 서비스의 비밀번호를 바꾸세요
유출 항목에는 앱·웹 예약 로그인 ID와 비밀번호가 포함됩니다. 회사는 다른 서비스에 같은 비밀번호를 썼다면 그 서비스에 로그인될 수 있으므로 그쪽 비밀번호를 바꿔 달라고 요청했습니다.
같은 비밀번호(조금 바꾼 것 포함)를 쓴 온라인 쇼핑, 이메일, SNS 계정부터 바꾸세요. 새 비밀번호는 돌려쓰지 마세요. 비밀번호 관리자를 쓰면 길고 고유한 비밀번호를 쉽게 만들 수 있습니다. 가능하면 2단계 인증도 켜세요(다중 인증 설정 방법).
서비스가 재개되면 at-link 비밀번호를 새로 설정하세요
at-link 앱과 웹 예약 비밀번호는 이전되지 않으며, 서비스 재개 시 새로 설정해야 합니다. 회사는 그 전에 바꿀 필요는 없다고 밝혔습니다. 재개 안내가 오면 다른 곳에서 쓰지 않는 비밀번호를 고르세요.
클리닉이나 진료를 언급하는 메시지라도 링크를 열지 마세요
유출 항목에는 이용한 클리닉 이름과 마지막 내원일이 포함됩니다. 그래서 "클리닉입니다, 지난 진료 건으로 연락드립니다"처럼 실제로 진료받은 곳과 시기를 언급하는 그럴듯한 가짜 메시지를 만들 수 있습니다.
회사는 회사, at-link, 클리닉, 카드 회사를 사칭한 수상한 이메일, 문자 메시지, 전화에 주의하라고 경고하며, 비밀번호나 카드 정보를 묻는 일은 절대 없다고 밝혔습니다. 진찰권에 적힌 번호나 공식 웹사이트로 클리닉에 확인하세요(피싱이란 참고).
카드 명세서를 확인하세요(재발급 요청은 없음)
앱에서 온라인 결제를 한 사람은 결제일과 금액이 유출되었습니다. 회사는 카드 번호를 보유하고 있지 않다고 밝혔고, 카드 재발급을 요청하지도 않았습니다. 카드 회사를 자처하며 번호나 인증 코드를 묻는 사람에게는 응답하지 말고, 명세서에 모르는 청구가 없는지 확인하세요.
안내를 기다리고, 문의는 전용 연락처로 보내세요
회사는 at-link를 쓰는 클리닉과 협력해 해당자에게 순차적으로 알리겠다고 밝혔습니다. 공지 페이지에 적힌 환자용 연락처는 전용 이메일 주소 at-link@medley.jp입니다. 새 예약이나 변경은 클리닉에 직접 연락하세요.
앱을 쓴 적이 없어도 해당될 수 있습니다
회사에 따르면 대상 클리닉(어느 클리닉인지는 조사 중)을 이용했지만 앱이나 웹 예약을 이용하지 않은 사람도 해당됩니다. 이들의 유출 항목은 이름, 후리가나, 생월일, 클리닉 이름, 등록일, 마지막 내원일, 로그인 ID와 초기 비밀번호입니다. 환자가 서비스를 쓰기 시작하기도 전에 준비된 로그인 정보가 유출 항목에 들어 있습니다.
의료기관이 해야 할 일
회사는 at-link를 쓰는 클리닉에 서비스 중지 중 운영 방법과 환자에게 안내할 내용을 다음과 같이 알렸습니다.
환자 문의는 회사의 전용 연락처로 안내하세요
회사는 환자가 사고나 앱에 대해 물으면 회사 연락처를 알려 달라고 클리닉에 요청합니다. 환자용 전용 이메일 주소는 at-link@medley.jp입니다. 클리닉용 전화번호는 회사의 공지 페이지에 있습니다.
새 예약과 변경은 자체적으로 받으세요
환자용 앱과 웹 예약 사이트는 중지된 상태입니다. 회사는 각 클리닉이 새 예약과 변경을 계속 직접 처리해 달라고 요청합니다. 클리닉별 운영 매뉴얼과 예약 목록 파일을 보냈으며, 도착하지 않았다면 연락해 달라고 합니다.
접수 창구와 전화로 가짜 메시지를 주의시키세요
회사는 클리닉을 사칭한 수상한 메시지에 대해서도 경고합니다. 접수 창구에 "이메일이나 문자로 비밀번호나 카드 번호를 묻는 일은 절대 없습니다"라고 게시하면 환자가 가짜를 알아보는 데 도움이 됩니다. 이는 회사의 안내가 아니라 이 사이트의 제안입니다.
무슨 일이 있었나(Medley, Inc.에 따르면)
아래 내용은 회사의 10월 15일 공지(같은 페이지, 10월 23일 16:00까지 갱신)와 조사 상황에 관한 10월 23일 공지를 바탕으로 합니다. 10월 15일, 19일, 20일 판은 Internet Archive에 저장된 사본으로 확인했습니다.
2026년 9월 하순~10월 중순
제3자가 무단으로 심어 둔 프로그램을 통해 회사 데이터베이스에 접속해 정보를 취득했습니다(10월 23일 공지에서 확인).10월 11일
외부 전문 기관으로부터 부정 접속 가능성을 통보받고 회사가 조사를 시작했습니다(이후 제3자의 부정 접속을 확인).10월 14일 늦은 밤
피해 확대 방지와 조사를 위해 회사는 at-link와 환자용 at-link 앱 및 관련 서비스를 중지했습니다.10월 15일
발표. 회사는 정보 유출 여부와 범위는 조사 중이며, 개인정보보호위원회에 보고하고 경찰에 상담했다고 밝혔습니다.10월 19일
회사는 별도 환경에 구축한 새 서비스 "@link Cloud beta"로 클리닉 측 예약, 환자 기록, 진료 캘린더 기능을 10월 22일 아침부터 단계적으로 재개할 예정이라고 밝혔습니다. 중지 기간의 요금은 환불하며, 은행 이체 등은 11월 중 진행할 예정이라고 했습니다.10월 20일
회사는 추가 조사 항목이 필요하다며 조사 결과 보고 예정을 연기했습니다.10월 23일
회사는 개인정보 유출을 확인했다고 발표하고 항목을 공개했습니다. 개인정보보호위원회와 후생노동성에 보고했다고 밝혔습니다. 클리닉 측 재개는 결함으로 지연되어 일정이 정해지지 않았습니다.
앱 또는 웹 예약을 이용함
이름, 후리가나, 생월일, 이메일 주소(등록한 경우에 한함), 로그인 ID, 비밀번호, 클리닉 이름, 등록일, 마지막 내원일, 카드 결제 이력(결제일과 금액만, 앱 온라인 결제에 한함)
할 일: 돌려쓴 비밀번호 변경, 가짜 메시지 주의
앱 또는 웹 예약을 이용하지 않음
이름, 후리가나, 생월일, 클리닉 이름, 등록일, 마지막 내원일, 로그인 ID, 초기 비밀번호
할 일: 클리닉이나 진료를 언급하는 가짜 메시지 주의, 안내 기다리기
공통: 회사는 카드 번호를 보유하고 있지 않다고 밝혔습니다
- 영향받은 서비스
- 의료기관 관리 시스템 @link(at-link), 환자용 at-link 앱 및 관련 서비스
- 발견 경위
- 10월 11일 외부 전문 기관의 통보
- 발생한 일
- 9월 하순부터 10월 중순까지 제3자가 무단으로 심어 둔 프로그램을 통해 회사 데이터베이스에 접속해 정보를 취득
- 유출 상황
- 유출 확인(10월 23일). 인원 등은 조사 중
- 유출된 로그인 정보의 사용
- 이 인증 정보를 이용한 부정 로그인으로 발표된 항목 외의 정보가 유출되었다는 사실은 확인되지 않음
- 수법
- 같은 공격을 부를 우려가 있어 공개하지 않음
- 대응
- 경로 차단, 관련 인증 정보 전부 무효화, 서비스 중지. 개인정보보호위원회와 후생노동성에 보고. 10월 15일 시점에 경찰에 상담
- 재발 방지
- at-link가 오랜 기간 운영되어 왔기 때문에 재개 전에 모든 기능을 재구축하고, 인증과 접근 제어 강화, 비밀번호 저장 방식 재검토, 감시 강화를 진행 중. 그룹 서비스 전반의 보안 점검
회사는 10월 19일 판에서, at-link가 오랜 세월 제공되어 왔고 온프레미스(클리닉에 설치) 시스템과 클라우드 시스템이 섞여 있어 범위 확인에 예상보다 시간이 걸리고 있다고 설명했습니다.
별도로 10월 21일 회사는 PHP 프로그래밍 언어의 심각한 취약점에 대한 예방 조치로 다른 일부 제품을 일시 중지했으며, 수정되는 대로 재개하고 있다고 밝혔습니다. 10월 23일 06:00 기준으로 그 취약점을 악용한 부정 접속이나 정보 유출은 확인되지 않았다고 했습니다. 이 공지는 at-link 사고와는 관련이 없습니다.
알려진 것과 알려지지 않은 것
2026년 10월 24일 기준입니다. 추가 정보가 공개되면 상태 열을 갱신하겠습니다.
| 항목 | 공지 내용 | 상태 |
|---|---|---|
| 이름, 후리가나, 생월일 | 앱 이용자와 비이용자 모두 | 유출 확인(회사) |
| 클리닉 이름, 등록일, 마지막 내원일 | 모두 | 유출 확인(회사) |
| 앱·웹 예약 로그인 ID와 비밀번호 | 이용자는 비밀번호, 비이용자는 초기 비밀번호 | 유출 확인(회사) |
| 이메일 주소 | 이메일을 등록한 앱·웹 예약 이용자만 | 유출 확인(회사) |
| 신용카드 결제 이력 | 결제일과 금액만, 앱에서 온라인 결제를 한 사람만 | 유출 확인(회사) |
| 신용카드 번호 등 | 회사가 보유하지 않음 | 포함되지 않음(회사) |
| 유출된 인증 정보를 이용한 부정 로그인으로 인한 추가 유출 | 확인되지 않음 | 미확인(회사) |
| 출생 연도, 주소, 전화번호, 진료 내용 | 유출 항목 목록에 없음 | 언급 없음 |
| 비밀번호가 저장된 방식 | 공개되지 않음(비밀번호 저장 방식 재검토가 재발 방지책에 포함) | 언급 없음 |
| 클리닉 수와 이름, 인원 | 외부 전문 기관과 조사 계속 중 | 조사 중 |
| 구체적인 공격 수법 | 같은 공격을 부를 우려가 있어 공개하지 않음 | 언급 없음 |
| 가짜 메시지 등 2차 피해 | 공지에 언급 없음 | 언급 없음 |
| 환자용 앱과 웹 예약 재개 | 재개 시 새 비밀번호 설정, 일정 미정 | 조사 중 |
| 중지 기간의 요금 | 환불 예정, 은행 이체 등은 11월 중 예정 | 환불 방침(회사), 시기는 예정 |
목록에 없는 항목이 유출되지 않았다는 뜻은 아닙니다
출생 연도, 주소, 전화번호, 진료 내용은 회사의 유출 항목 목록에 없습니다. 하지만 회사는 아직 인원 등을 조사 중이며, 목록에 없다는 것과 포함되지 않았다고 밝힌 것은 다릅니다. 이후 갱신에서 항목이 바뀔 수 있으므로 안내와 회사 페이지의 갱신을 확인하세요.
유출된 항목은 어디에 악용될 수 있나
일반적으로 다음 조합은 다음과 같은 악용을 가능하게 할 수 있습니다. 이번 사건에서 실제로 일어났다는 뜻은 아닙니다.
- 이름 + 클리닉 이름 + 마지막 내원일: "예약 확인", "지난 진료 건" 등 클리닉을 사칭한 그럴듯한 가짜 문자나 전화
- 이름 + 이메일 주소 + 결제일과 금액: "[날짜] 결제에 문제가 있었습니다"라며 카드 정보를 다시 입력하게 하는 가짜 이메일
- 로그인 ID + 비밀번호: 같은 조합을 돌려쓴 다른 서비스에 대한 로그인(크리덴셜 스터핑)
- 이름 + 생월일: 다른 서비스의 본인 확인에서 본인을 사칭하는 데 쓰일 수 있는 재료의 일부(출생 연도는 목록에 없음)
클리닉 이름을 알면 가짜 메시지에 진료받은 곳을 넣을 수 있는데, 이는 본인만 알아야 할 정보입니다. 이 점이 온라인 쇼핑몰 유출과 다릅니다. 사업자가 쓰는 예약·고객 관리 시스템에서 고객 데이터가 유출된 다른 사례로는 2026년 EPARK Relax & Esthe PeakManager 유출이 있습니다.
이 사이트의 견해: 첫 사용 전에 발급된 "초기 비밀번호"도 유출 항목에 포함
공지에서 눈에 띄는 점은 앱이나 웹 예약을 이용하지 않은 사람의 로그인 ID와 초기 비밀번호도 유출되었다는 것입니다. 환자가 서비스를 쓰기 시작하기도 전에 시스템에 로그인 정보가 있었습니다.
at-link 사고의 원인은 공개되지 않았으므로 어떻게 막을 수 있었는지는 말할 수 없습니다. at-link가 초기 비밀번호를 어떻게 다뤘는지도 공개되지 않았으며, 아래는 일반적인 점검 사항입니다. 환자용 서비스나 회원 가입을 운영하는 사업자를 위해 유출 항목에서 도출되는 점만 정리했습니다.
첫 로그인 때 초기 비밀번호 변경을 강제하고, 유효 기간을 두세요
초기 비밀번호를 접수 창구나 종이로 나눠 주면, 쓰지 않은 것은 계속 유효하여 유출되면 그대로 쓰일 수 있습니다. 첫 로그인 때 변경을 요구할 수 있는지, 일정 기간 쓰이지 않은 초기 비밀번호를 무효화할 수 있는지 확인하세요.
오래 운영된 시스템을 점검 목록으로 만드세요
회사는 at-link가 오래 운영되어 왔고 온프레미스와 클라우드 시스템이 섞여 있어 조사에 시간이 걸렸으며, 재개 전에 모든 기능을 재구축하고 있다고 밝혔습니다. 환자나 고객 데이터가 어디에 있고 어떤 경로로 읽을 수 있는지 목록이 없으면 사고 후 범위 확인이 느려집니다.
클리닉이 시스템 장애에 대비하는 방법은 사이버 공격으로 진료에 차질이 생긴 병원들을 참고하세요.
출처(공개 자료)
이 글의 사실관계는 아래 공개 정보(일본어)를 바탕으로 합니다. 공개되지 않은 공격 수법이나 피해 클리닉은 추측하지 않았습니다.
- Medley, Inc., "at-link에 대한 부정 접속 조사 상황에 대하여"(2026년 10월 23일) — at-link.net
- Medley, Inc., "at-link에 대한 부정 접속 및 서비스 일시 중지에 관한 최신 정보"(2026년 10월 15일, 10월 23일 16:00 갱신) — at-link.net(10월 15일, 19일, 20일 판은 Internet Archive에서 확인)
- Medley, Inc., 자사 사이트의 같은 공지(2026년 10월 15일, 10월 23일 16:00 갱신) — medley.jp
- Medley, Inc., "일부 제품 재개에 관한 공지"(2026년 10월 21일, 10월 23일 06:00 기준, 별도 사안) — medley.jp
갱신 이력
2026-10-24: 초판. Medley, Inc.의 10월 15일 공지(10월 23일 16:00까지의 갱신 포함)와 조사 상황에 관한 10월 23일 공지를 바탕으로 작성했습니다. 피해 클리닉 수와 인원, 환자용 앱 재개 일정이 공개되면 갱신하겠습니다.
다음에 읽을 글
- 유사 사례: EPARK Relax & Esthe PeakManager 유출 / 사이버 공격으로 진료에 차질이 생긴 병원들
- 비밀번호: 내 비밀번호가 유출되었는지 확인하기 / 비밀번호 관리자 고르기와 사용법 / 다중 인증 설정하기
- 가짜 메시지: 피싱이란
- 2026년의 다른 사례: 개인정보 유출·사이버 공격 목록