Para quem é este artigo: pessoas que fizeram agendamentos pelo aplicativo ou pelo agendamento pela web do @link (at-link), um sistema de agendamento e recepção usado por clínicas e hospitais no Japão; pessoas que foram a uma clínica que usa o at-link; e clínicas que o utilizam. Este artigo se baseia nos comunicados oficiais da Medley, Inc. e não trata de métodos de ataque. As clínicas afetadas não foram nomeadas, e este site não tenta adivinhar quais são.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
Em 24 de outubro de 2026Ainda não se sabe
- O número e os nomes das clínicas afetadas
- O número de pessoas afetadas
- O método de ataque específico (a empresa diz que não o divulgará)
- Como as senhas eram armazenadas
- Quando o aplicativo para pacientes e o agendamento pela web serão reiniciados
- Se houve danos secundários, como mensagens falsas ou logins não autorizados em outros serviços
A Medley, Inc. diz que continua investigando os números com uma organização especializada externa para garantir a precisão e que notificará as pessoas afetadas aos poucos, em conjunto com as clínicas. Sua página de "informações mais recentes" diz que publicará atualizações sobre a investigação e o reinício conforme houver; quando consultada em 24 de outubro, a última atualização era das 16h00 de 23 de outubro.
O que os pacientes devem fazer hoje
Troque a senha em todos os serviços em que você a reutilizou
Os itens vazados incluem o ID de login e a senha do aplicativo e do agendamento pela web. A empresa pede que quem usou a mesma senha em outros serviços a troque neles, pois alguém poderia entrar nesses serviços.
Comece por compras online, e-mail e redes sociais que usavam a mesma senha (inclusive com pequenas variações). Não reutilize a nova; um gerenciador de senhas facilita criar senhas longas e únicas. Ative a verificação em duas etapas quando houver (como configurar a autenticação multifator).
Defina uma nova senha do at-link quando o serviço for reiniciado
As senhas do aplicativo at-link e do agendamento pela web não serão mantidas; os usuários definirão novas senhas quando o serviço for reiniciado. A empresa diz que não é necessário trocá-las antes. Quando chegar o aviso de reinício, escolha uma senha que você não use em nenhum outro lugar.
Não abra links, nem em mensagens que mencionem sua clínica ou consulta
Os itens vazados incluem o nome da clínica usada e a data da última consulta. Isso permite escrever mensagens falsas convincentes, como "Aqui é a sua clínica, sobre a sua última consulta", que citam onde e quando você realmente foi atendido.
A empresa alerta sobre e-mails, mensagens de texto e ligações suspeitas que dizem ser da empresa, do at-link, de clínicas ou de operadoras de cartão, e diz que nunca pedirá senhas ou dados de cartão. Confirme com a clínica pelo número do seu cartão de paciente ou pelo site oficial (veja o que é phishing).
Confira a fatura do cartão (não foi pedida reemissão)
Para quem pagou online pelo aplicativo, vazaram as datas e os valores dos pagamentos. A empresa diz que não guarda números de cartão e não pediu a ninguém que reemita cartões. Se alguém que diz ser da sua operadora de cartão pedir seu número ou um código de verificação, não responda e confira na fatura se há cobranças que você não reconhece.
Aguarde o aviso e envie dúvidas ao contato exclusivo
A empresa diz que notificará as pessoas afetadas aos poucos, em conjunto com as clínicas que usam o at-link. O contato para pacientes indicado na página do comunicado é o e-mail exclusivo at-link@medley.jp. Para novos agendamentos ou alterações, fale diretamente com a clínica.
Você pode ter sido afetado mesmo sem nunca ter usado o aplicativo
Segundo a empresa, pessoas que usaram uma clínica afetada (quais clínicas é algo sob investigação), mas não usaram o aplicativo nem o agendamento pela web, também são afetadas. Os itens vazados delas são nome, furigana, dia e mês de nascimento, nome da clínica, data de cadastro, data da última consulta, além de um ID de login e uma senha inicial. Dados de login preparados antes de o paciente começar a usar o serviço estão entre os itens vazados.
O que as clínicas devem fazer
A empresa deu às clínicas que usam o at-link as orientações a seguir sobre a operação durante a suspensão e sobre o que informar aos pacientes.
Encaminhe as dúvidas dos pacientes ao contato exclusivo da empresa
A empresa pede que as clínicas passem aos pacientes os seus dados de contato quando eles perguntarem sobre o incidente ou o aplicativo. O e-mail exclusivo para pacientes é at-link@medley.jp. O telefone para clínicas consta na página de comunicados da empresa.
Atenda novos agendamentos e alterações internamente
O aplicativo para pacientes e o site de agendamento pela web estão suspensos. A empresa pede que cada clínica continue cuidando por conta própria de novos agendamentos e alterações. Diz ter enviado manuais de operação e um arquivo com a lista de agendamentos de cada clínica, e pede que as clínicas a contatem caso não os tenham recebido.
Alerte os pacientes sobre mensagens falsas na recepção e por telefone
A empresa também alerta sobre mensagens suspeitas que dizem ser de clínicas. Um aviso na recepção dizendo "nunca pediremos senhas ou números de cartão por e-mail ou mensagem de texto" ajuda os pacientes a reconhecer falsificações. Esta é uma sugestão deste site, não uma orientação da empresa.
O que aconteceu (segundo a Medley, Inc.)
O texto a seguir se baseia no comunicado da empresa de 15 de outubro (a mesma página, atualizada até as 16h00 de 23 de outubro) e no comunicado de 23 de outubro sobre a investigação. As versões de 15, 19 e 20 de outubro foram verificadas em cópias salvas pelo Internet Archive.
Do fim de setembro a meados de outubro de 2026
Um terceiro acessou o banco de dados da empresa por meio de um programa instalado sem autorização e obteve informações (confirmado no comunicado de 23 de outubro).11 de outubro
Depois que uma organização especializada externa alertou sobre um possível acesso não autorizado, a empresa começou a investigar (e depois confirmou o acesso não autorizado por um terceiro).Madrugada de 14 de outubro
Para conter os danos e investigar, a empresa suspendeu o at-link, o aplicativo at-link voltado aos pacientes e serviços relacionados.15 de outubro
Anúncio. A empresa disse que estavam sob investigação se houve vazamento de dados e qual o alcance, e que havia comunicado a Comissão de Proteção de Informações Pessoais e consultado a polícia.19 de outubro
A empresa disse que planejava reiniciar em etapas, a partir da manhã de 22 de outubro, os recursos de agendamento, prontuário e calendário de consultas do lado das clínicas, como um novo serviço, o "@link Cloud beta", construído em um ambiente separado. Disse que as taxas do período de suspensão seriam reembolsadas, com transferências bancárias ou similares previstas para algum momento em novembro.20 de outubro
A empresa adiou o relatório previsto sobre a investigação, dizendo que itens adicionais precisavam ser investigados.23 de outubro
A empresa anunciou ter confirmado o vazamento de dados pessoais e publicou os itens. Disse ter comunicado a Comissão de Proteção de Informações Pessoais e o Ministério da Saúde, Trabalho e Bem-Estar. O reinício do lado das clínicas foi atrasado por defeitos, sem data definida.
Usou o aplicativo ou o agendamento pela web
Nome, furigana, dia e mês de nascimento, e-mail (somente se cadastrado), ID de login, senha, nome da clínica, data de cadastro, data da última consulta, histórico de pagamentos com cartão (somente data e valor; apenas pagamentos online pelo aplicativo)
O que fazer: trocar senhas reutilizadas, ficar atento a mensagens falsas
Não usou o aplicativo nem o agendamento pela web
Nome, furigana, dia e mês de nascimento, nome da clínica, data de cadastro, data da última consulta, ID de login, senha inicial
O que fazer: ficar atento a mensagens falsas que mencionem sua clínica ou consulta, aguardar o aviso
Em ambos os casos: a empresa diz que não guarda números de cartão
- Serviços afetados
- O sistema de gestão de instituições médicas @link (at-link), o aplicativo at-link voltado aos pacientes e serviços relacionados
- Como foi descoberto
- Um alerta de uma organização especializada externa em 11 de outubro
- O que aconteceu
- Do fim de setembro a meados de outubro, um terceiro acessou o banco de dados da empresa por meio de um programa instalado sem autorização e obteve informações
- Situação do vazamento
- Vazamento confirmado (23 de outubro). Números sob investigação
- Uso dos logins vazados
- Não foi confirmado vazamento de informações além das anunciadas por meio de logins não autorizados com essas credenciais
- Método
- Não divulgado, porque isso poderia atrair ataques semelhantes
- Resposta
- Via de acesso fechada, todas as credenciais relacionadas invalidadas, serviços suspensos. Comunicado à Comissão de Proteção de Informações Pessoais e ao Ministério da Saúde, Trabalho e Bem-Estar. Polícia consultada em 15 de outubro
- Prevenção de nova ocorrência
- Como o at-link estava em operação havia muito tempo, todos os recursos estão sendo reconstruídos antes do reinício, com autenticação e controle de acesso mais fortes, revisão de como as senhas são armazenadas e monitoramento reforçado. Verificações de segurança nos serviços do grupo
Na versão de 19 de outubro, a empresa explicou que o at-link era oferecido havia muitos anos e misturava sistemas locais (instalados na clínica) com sistemas em nuvem, de modo que verificar o alcance estava levando mais tempo do que o esperado.
Em separado, em 21 de outubro a empresa disse ter suspendido temporariamente alguns outros produtos, como precaução contra uma vulnerabilidade grave na linguagem de programação PHP, e que os estava reiniciando após a correção. Disse que, às 06h00 de 23 de outubro, não havia sido confirmado acesso não autorizado nem vazamento de dados explorando essa vulnerabilidade. Esse comunicado não trata do incidente do at-link.
O que sabemos e o que não sabemos
Situação em 24 de outubro de 2026. Atualizaremos a coluna de situação quando mais informações forem publicadas.
| Item | O que o comunicado diz | Situação |
|---|---|---|
| Nome, furigana, dia e mês de nascimento | Tanto usuários do aplicativo quanto não usuários | Vazamento confirmado (empresa) |
| Nome da clínica, data de cadastro, data da última consulta | Ambos | Vazamento confirmado (empresa) |
| ID de login e senha do aplicativo e do agendamento pela web | Senha para usuários; senha inicial para não usuários | Vazamento confirmado (empresa) |
| Somente usuários do aplicativo ou do agendamento pela web que cadastraram um | Vazamento confirmado (empresa) | |
| Histórico de pagamentos com cartão de crédito | Somente data e valor; apenas quem pagou online pelo aplicativo | Vazamento confirmado (empresa) |
| Números de cartão de crédito e similares | Não são guardados pela empresa | Não incluídos (empresa) |
| Novos vazamentos por logins não autorizados com as credenciais vazadas | Não confirmados | Não confirmado (empresa) |
| Ano de nascimento, endereço, telefone, dados médicos | Não constam na lista de itens vazados | Não informado |
| Como as senhas eram armazenadas | Não divulgado (a revisão do armazenamento de senhas está entre as medidas de prevenção) | Não informado |
| Número e nomes das clínicas, número de pessoas | Investigação em andamento com uma organização especializada externa | Sob investigação |
| Método de ataque específico | Mantido em sigilo, pois a divulgação poderia atrair ataques semelhantes | Não informado |
| Danos secundários, como mensagens falsas | Não mencionados nos comunicados | Não informado |
| Reinício do aplicativo para pacientes e do agendamento pela web | Nova senha no reinício; data não definida | Sob investigação |
| Taxas do período de suspensão | Serão reembolsadas; transferências bancárias ou similares previstas para algum momento em novembro | Política de reembolso (empresa); prazo previsto |
Itens que faltam na lista não são o mesmo que itens que não vazaram
Ano de nascimento, endereço, telefone e dados médicos não constam na lista de itens vazados da empresa. Mas a empresa ainda investiga os números, e não constar na lista é diferente de ser declarado como não incluído. Os itens podem mudar em uma atualização posterior, por isso acompanhe o aviso e as atualizações da página da empresa.
Para que os itens vazados podem ser usados
Em geral, as combinações a seguir podem permitir os seguintes tipos de uso indevido. Isso não significa que tenha acontecido neste caso.
- Nome + nome da clínica + data da última consulta: mensagens ou ligações falsas convincentes, passando-se pela sua clínica, como "confirmando seu agendamento" ou "sobre a sua última consulta"
- Nome + e-mail + data e valor do pagamento: e-mails falsos dizendo "houve um problema com seu pagamento em [data]" e pedindo que você digite de novo os dados do cartão
- ID de login + senha: logins em outros serviços em que a mesma combinação foi reutilizada (credential stuffing)
- Nome + dia e mês de nascimento: parte do material para se passar por você em verificações de identidade de outros serviços (o ano de nascimento não consta na lista)
Saber o nome da clínica permite que uma mensagem falsa inclua onde você foi atendido, algo que só você deveria saber. Isso diferencia o caso de um vazamento em loja online. Outro caso em que dados de clientes vazaram de um sistema de agendamento e gestão de clientes usado por empresas é o vazamento do EPARK Relax & Esthe PeakManager de 2026.
Opinião deste site: "senhas iniciais" emitidas antes do primeiro uso estavam entre os itens vazados
O que chama a atenção no comunicado é que IDs de login e senhas iniciais vazaram até para pessoas que não usaram o aplicativo nem o agendamento pela web. Os dados de login já existiam no sistema antes de o paciente começar a usar o serviço.
A causa do incidente do at-link não foi divulgada, então não podemos dizer como ele poderia ter sido evitado. Como o at-link tratava as senhas iniciais também não foi divulgado; os pontos abaixo são verificações gerais. Abaixo estão apenas pontos que decorrem dos itens vazados, para empresas que operam serviços para pacientes ou cadastros de membros.
Exija a troca da senha inicial no primeiro login e faça-a expirar
Quando senhas iniciais são entregues na recepção ou em papel, as que nunca foram usadas continuam válidas e podem ser usadas como estão se vazarem. Verifique se é possível exigir a troca no primeiro login e desativar senhas iniciais não usadas após um período definido.
Faça um inventário dos sistemas de longa data
A empresa disse que a investigação levou tempo porque o at-link estava em operação havia muito tempo e misturava sistemas locais e em nuvem, e que está reconstruindo todos os recursos antes do reinício. Sem uma lista de onde ficam os dados de pacientes ou clientes e de quais vias podem lê-los, confirmar o alcance após um incidente é lento.
Para saber como as clínicas podem se preparar para interrupções de sistemas, veja hospitais cujo atendimento foi interrompido por ciberataques.
Fontes (registro público)
Os fatos deste artigo se baseiam nas informações públicas abaixo (em japonês). Não especulamos sobre métodos de ataque não divulgados nem sobre quais clínicas foram afetadas.
- Medley, Inc., "Sobre a situação da investigação do acesso não autorizado ao at-link" (23 de outubro de 2026) — at-link.net
- Medley, Inc., "Informações mais recentes sobre o acesso não autorizado ao at-link e a suspensão temporária do serviço" (15 de outubro de 2026; atualizado às 16h00 de 23 de outubro) — at-link.net (versões de 15, 19 e 20 de outubro verificadas no Internet Archive)
- Medley, Inc., o mesmo comunicado em seu site corporativo (15 de outubro de 2026; atualizado às 16h00 de 23 de outubro) — medley.jp
- Medley, Inc., "Aviso sobre o reinício de alguns produtos" (21 de outubro de 2026; situação às 06h00 de 23 de outubro; assunto separado) — medley.jp
Histórico de atualizações
2026-10-24: Primeira versão. Baseada no comunicado da Medley, Inc. de 15 de outubro (incluindo atualizações até as 16h00 de 23 de outubro) e no comunicado de 23 de outubro sobre a investigação. Será atualizada quando o número de clínicas e de pessoas afetadas e a data de reinício do aplicativo para pacientes forem divulgados.
Leia a seguir
- Casos semelhantes: Vazamento do EPARK Relax & Esthe PeakManager / Hospitais cujo atendimento foi interrompido por ciberataques
- Senhas: Verifique se sua senha vazou / Como escolher e usar um gerenciador de senhas / Como configurar a autenticação multifator
- Mensagens falsas: O que é phishing
- Outros casos de 2026: Lista de vazamentos de dados e ciberataques