适用对象：通过日本诊所和医院使用的预约与挂号系统 @link（at-link）的应用或网页预约进行过预约的人；去过使用 at-link 的诊所的人；以及使用该系统的诊所。本文依据 Medley, Inc. 的官方通知，不涉及攻击手法。受影响的诊所尚未公布名称，本站也不做猜测。
持续更新：机构发布更多信息后，本文将随之更新
截至2026年10月24日尚不清楚
- 受影响诊所的数量和名称
- 受影响的人数
- 具体的攻击手段（公司称不会公开）
- 密码的保存方式
- 面向患者的应用和网页预约何时重启
- 是否已发生假冒消息或其他服务被未授权登录等二次危害
Medley, Inc. 表示，为确保准确，正与外部专业机构继续调查人数等情况，并将与诊所合作依次通知受影响者。其“最新信息”页面称，调查和重启的进展将随时发布；10月24日查看时，最后更新时间为10月23日16:00。
患者今天该做什么
在重复使用过密码的每个服务中更改密码
泄露项目包括应用和网页预约的登录 ID 与密码。公司请在其他服务中使用了相同密码的人在那些服务中更改密码，因为他人可能登录这些服务。
请先从使用相同密码（包括稍有变化的密码）的网购、邮箱和社交媒体账号开始。新密码不要重复使用；密码管理器能让您轻松使用长且唯一的密码。有条件的话请开启两步验证（如何设置多重身份验证）。
服务重启时设置新的 at-link 密码
at-link 应用和网页预约的密码不会沿用；服务重启时用户将设置新密码。公司称在此之前无需更改。收到重启通知后，请选择一个您没有在其他任何地方使用过的密码。
即使消息提到了您的诊所或就诊情况，也不要打开链接
泄露项目包括所就诊诊所的名称和最近就诊日期。这使得有人可以编写令人信服的假消息，例如“这里是您的诊所，关于您上次的就诊”，并提到您实际就诊的地点和时间。
公司提醒注意冒充公司、at-link、诊所或信用卡公司的可疑邮件、短信和电话，并称绝不会索要密码或卡信息。请用就诊卡上的电话号码或诊所官网与诊所确认（参见什么是钓鱼）。
查看信用卡账单（公司未要求换卡）
对于通过应用在线支付的人，支付日期和金额已泄露。公司称其不持有卡号，也未要求任何人换卡。如果有自称是您信用卡公司的人索要您的卡号或验证码，请不要回应，并查看账单中是否有不认识的扣款。
等待通知，疑问请联系专用渠道
公司称将与使用 at-link 的诊所合作，依次通知受影响者。公司通知页面上列出的患者联系方式是专用邮箱 at-link@medley.jp。新预约或变更请直接联系诊所。
即使您从未使用过应用，也可能受到影响
据公司称，使用过受影响诊所（具体是哪些诊所仍在调查中）但未使用应用或网页预约的人同样受到影响。其泄露项目为姓名、furigana、出生月日、诊所名称、登记日期、最近就诊日期，以及登录 ID 和初始密码。在患者开始使用服务之前就已准备好的登录信息，也在泄露项目之列。
诊所该做什么
公司已向使用 at-link 的诊所提供了以下指引，涉及服务暂停期间的运营以及如何向患者说明。
将患者咨询引导至公司的专用联系渠道
公司请诊所在患者询问此次事件或应用时，向其提供公司的联系方式。患者专用邮箱为 at-link@medley.jp。诊所用的电话在公司通知页面上列出。
在院内受理新预约和变更
面向患者的应用和网页预约网站已暂停。公司请各诊所继续自行处理新预约和变更。公司称已向各诊所发送了运营手册和预约清单文件，若尚未收到，请诊所联系公司。
在前台和电话中提醒患者注意假消息
公司还提醒注意冒充诊所的可疑消息。在前台张贴“我们绝不会通过邮件或短信索要密码或卡号”的告示，有助于患者识别假消息。这是本站的建议，不是公司的指引。
事件经过（据 Medley, Inc.）
以下内容依据公司10月15日的通知（同一页面，更新至10月23日16:00）及其10月23日关于调查情况的通知。10月15日、19日和20日的版本，是在 Internet Archive 保存的副本中查看的。
2026年9月下旬至10月中旬
第三方通过未经授权植入的程序访问了公司数据库并获取了信息（10月23日的通知中确认）。10月11日
在外部专业机构提示可能存在未授权访问后，公司开始调查（之后确认了第三方的未授权访问）。10月14日深夜
为控制损害并展开调查，公司暂停了 at-link、面向患者的 at-link 应用及相关服务。10月15日
发布公告。公司称数据是否泄露及其范围仍在调查中，并称已向个人信息保护委员会报告，并已咨询警方。10月19日
公司称计划自10月22日上午起，分阶段重启诊所端的预约、病历和诊疗日历功能，作为在独立环境中构建的新服务“@link Cloud beta”。公司称暂停期间的费用将予以退还，银行转账等计划于11月某个时间进行。10月20日
公司称还有其他项目需要调查，推迟了原定的调查报告。10月23日
公司宣布已确认个人信息泄露，并公布了泄露项目。公司称已向个人信息保护委员会和厚生劳动省报告。诊所端的重启因缺陷而延期，尚未确定日期。
使用过应用或网页预约
姓名、furigana、出生月日、电子邮箱（仅限已登记者）、登录 ID、密码、诊所名称、登记日期、最近就诊日期、信用卡支付记录（仅日期和金额；仅限应用在线支付）
应做：更改重复使用的密码，警惕假消息
未使用应用或网页预约
姓名、furigana、出生月日、诊所名称、登记日期、最近就诊日期、登录 ID、初始密码
应做：警惕提及诊所或就诊情况的假消息，等待通知
两类人：公司称其不持有卡号
- 受影响的服务
- 医疗机构管理系统 @link（at-link）、面向患者的 at-link 应用及相关服务
- 发现经过
- 10月11日收到外部专业机构的提示
- 发生了什么
- 9月下旬至10月中旬，第三方通过未经授权植入的程序访问了公司数据库并获取了信息
- 泄露状况
- 已确认泄露（10月23日）。人数调查中
- 泄露登录信息的使用
- 尚未确认有人利用这些认证信息进行未授权登录，从而造成已公布范围之外的信息泄露
- 手段
- 未公开，因为公开可能招致同类攻击
- 应对
- 封堵路径，使所有相关认证信息失效，暂停服务。已向个人信息保护委员会和厚生劳动省报告。截至10月15日已咨询警方
- 防止再次发生
- 由于 at-link 已长期运营，在重启前将重建所有功能，加强认证和访问控制，重新审视密码的保存方式，并加强监控。对集团旗下服务进行安全检查
在10月19日的版本中，公司解释说，at-link 已提供多年，本地系统（安装在诊所内）与云系统混合存在，因此确认范围所需时间超出预期。
另外，10月21日公司称，为防范 PHP 编程语言中的一个严重漏洞，已临时暂停其他一些产品，并将在修复后重启。公司称截至10月23日06:00，尚未确认有利用该漏洞的未授权访问或数据泄露。该通知与 at-link 事件无关。
已知与未知
状态截至2026年10月24日。有更多信息发布后，我们将更新状态一栏。
| 项目 | 通知所述内容 | 状态 |
|---|---|---|
| 姓名、furigana、出生月日 | 应用使用者和非使用者均有 | 已确认泄露（公司） |
| 诊所名称、登记日期、最近就诊日期 | 两类人均有 | 已确认泄露（公司） |
| 应用和网页预约的登录 ID 与密码 | 使用者为密码；非使用者为初始密码 | 已确认泄露（公司） |
| 电子邮箱 | 仅限已登记邮箱的应用或网页预约使用者 | 已确认泄露（公司） |
| 信用卡支付记录 | 仅日期和金额；仅限通过应用在线支付者 | 已确认泄露（公司） |
| 信用卡号等 | 公司不持有 | 不包含（公司） |
| 利用泄露的认证信息进行未授权登录而造成的进一步泄露 | 未确认 | 未确认（公司） |
| 出生年份、住址、电话号码、诊疗详情 | 不在泄露项目清单中 | 未说明 |
| 密码的保存方式 | 未公开（重新审视密码保存方式是防范措施之一） | 未说明 |
| 诊所的数量和名称、人数 | 正与外部专业机构继续调查 | 调查中 |
| 具体的攻击手段 | 因公开可能招致同类攻击而不予公开 | 未说明 |
| 假消息等二次危害 | 通知中未提及 | 未说明 |
| 面向患者的应用和网页预约的重启 | 重启时设置新密码；日期未定 | 调查中 |
| 暂停期间的费用 | 将予以退还；银行转账等计划于11月某个时间进行 | 退款方针（公司）；时间为计划 |
清单中没有的项目，不等于没有泄露的项目
出生年份、住址、电话号码和诊疗详情不在公司的泄露项目清单中。但公司仍在调查人数等情况，未被列出与明确说明不包含是两回事。项目可能在之后的更新中发生变化，请留意通知以及公司页面的更新。
泄露的信息可能被如何利用
一般来说，以下组合可能被用于以下类型的滥用。这并不表示此次事件中已经发生。
- 姓名 + 诊所名称 + 最近就诊日期：冒充您的诊所，发送令人信服的假短信或打假电话，例如“确认您的预约”或“关于您上次的就诊”
- 姓名 + 电子邮箱 + 支付日期和金额：假邮件称“您在［日期］的付款出现问题”，并要求重新输入卡信息
- 登录 ID + 密码：登录重复使用了相同组合的其他服务（撞库攻击）
- 姓名 + 出生月日：冒充您通过其他服务身份验证所需的部分材料（出生年份不在清单中）
知道诊所的名称，假消息就能写上您就诊的地点，而这本应只有您自己知道。这正是它与网店泄露的不同之处。另一起企业使用的预约和客户管理系统中客户数据泄露的案例，是2026年的 EPARK Relax & Esthe PeakManager 泄露事件。
本站的看法：首次使用前就已发放的“初始密码”也在泄露项目之列
通知中引人注意的一点是，即使对未使用应用或网页预约的人，登录 ID 和初始密码也已泄露。在患者开始使用服务之前，系统中就已存在登录信息。
at-link 事件的原因尚未公开，因此我们无法说明本可如何防止。at-link 如何处理初始密码同样未公开；以下各点是一般性的检查事项。以下仅是根据泄露项目得出的、面向运营患者服务或会员注册的企业的几点。
首次登录时强制更改初始密码，并设置有效期
当初始密码在前台或以纸质方式发放时，从未使用的密码仍然有效，一旦泄露就可以直接使用。请检查是否可以要求首次登录时更改密码，并使在一定期限内未使用的初始密码自动失效。
盘点长期运行的系统
公司称，调查耗时是因为 at-link 长期运营，本地系统与云系统混合存在，并称在重启前正在重建所有功能。如果没有一份清单，列明患者或客户数据存放在哪里、哪些路径可以读取，事件发生后确认范围就会很慢。
关于诊所如何为系统故障做准备，请参阅诊疗因网络攻击受到影响的医院。
来源（公开记录）
本文中的事实依据以下公开信息（日文）。我们未对未公开的攻击手段或受影响的诊所做任何猜测。
- Medley, Inc.，“关于 at-link 未授权访问的调查情况”（2026年10月23日）— at-link.net
- Medley, Inc.，“关于 at-link 未授权访问及服务临时暂停的最新信息”（2026年10月15日；10月23日16:00更新）— at-link.net（10月15日、19日和20日的版本在 Internet Archive 中查看）
- Medley, Inc.，公司官网上的同一通知（2026年10月15日；10月23日16:00更新）— medley.jp
- Medley, Inc.，“关于部分产品重启的通知”（2026年10月21日；截至10月23日06:00；另一事项）— medley.jp
更新记录
2026-10-24：初版。依据 Medley, Inc. 10月15日的通知（包括至10月23日16:00的更新）及其10月23日关于调查情况的通知。待受影响诊所数量和人数以及面向患者应用的重启日期公布后，将予以更新。
延伸阅读
- 类似案例：EPARK Relax & Esthe PeakManager 泄露事件 / 诊疗因网络攻击受到影响的医院
- 密码：检查您的密码是否已泄露 / 如何选择和使用密码管理器 / 设置多重身份验证
- 假消息：什么是钓鱼
- 2026年的其他案例：数据泄露和网络攻击一览