適用對象：透過 @link（at-link）的 App 或網路預約進行預約的人（at-link 是日本診所與醫院使用的預約與櫃檯系統）、曾到使用 at-link 的診所就診的人，以及使用該系統的診所。本文依據 Medley, Inc. 的官方公告撰寫，不涉及攻擊手法。受影響的診所尚未公布，本站不臆測是哪些診所。
持續更新中：隨該機構發布更多資訊，本文將隨之更新
截至2026年10月24日尚不清楚
- 受影響診所的數量與名稱
- 受影響的人數
- 具體攻擊手法（該公司表示不會公開）
- 密碼的保存方式
- 患者 App 與網路預約何時重啟
- 是否已發生偽造訊息或被用於登入其他服務等二次傷害
Medley, Inc. 表示，正與外部專業機構持續調查數量以確保正確，並將與診所合作，依序通知受影響者。其「最新資訊」頁面表示，調查與重啟的進展將隨時公布；10月24日查看時，最後更新時間為10月23日16:00。
患者今天該做的事
在重複使用密碼的每個服務上更改密碼
外洩項目包含 App 與網路預約的登入 ID 與密碼。該公司請在其他服務使用過相同密碼的人到那些服務更改，因為他人可能登入那些服務。
請先從使用相同密碼（包括稍加變化的密碼）的網路購物、電子郵件與社群媒體帳號開始。新密碼不要重複使用；密碼管理工具能讓您輕鬆建立長且各不相同的密碼。可使用時請開啟兩步驟驗證（如何設定多重要素驗證）。
服務重啟時設定新的 at-link 密碼
at-link App 與網路預約的密碼不會沿用，服務重啟時使用者需設定新密碼。該公司表示在此之前無需更改。收到重啟通知時，請選擇一個沒有在其他地方用過的密碼。
即使訊息提到您的診所或就診，也不要點開連結
外洩項目包含就診診所名稱與最後就診日。這使得他人能寫出以假亂真的訊息，例如「這裡是您的診所，關於您上次的就診」，提到您實際就診的地點與時間。
該公司提醒留意冒充該公司、at-link、診所或信用卡公司的可疑電子郵件、簡訊與電話，並表示絕不會索取密碼或信用卡資料。請用就診卡上的電話或診所官方網站向診所確認（參見什麼是網路釣魚）。
檢查信用卡帳單（目前未要求換發）
對於透過 App 線上付款的人，付款日與金額已外洩。該公司表示未持有卡號，也未要求任何人換發信用卡。如果有人自稱信用卡公司，向您索取卡號或驗證碼，請不要回應，並檢查帳單上是否有不認得的扣款。
等候通知，有疑問請聯絡專用窗口
該公司表示，將與使用 at-link 的診所合作，依序通知受影響者。其公告頁面所列的患者窗口是專用信箱 at-link@medley.jp。新預約或變更請直接聯絡診所。
即使從沒用過 App，您也可能受影響
據該公司表示，曾就診於受影響診所（哪些診所仍在調查中）但未使用 App 或網路預約的人同樣受影響。其外洩項目為姓名、furigana、出生月日、診所名稱、登錄日、最後就診日，以及登入 ID 與初始密碼。在患者開始使用服務之前就已準備好的登入資料，也在外洩項目之中。
診所該做的事
該公司已向使用 at-link 的診所說明暫停期間的運作方式，以及該向患者說明的內容。
將患者詢問引導至該公司的專用窗口
該公司請診所在患者詢問事件或 App 時，提供該公司的聯絡方式。患者專用信箱為 at-link@medley.jp。診所專用的電話已列在該公司的公告頁面上。
由診所自行受理新預約與變更
患者 App 與網路預約網站已暫停。該公司請各診所繼續自行處理新預約與變更。該公司表示已寄出各診所的運作手冊與預約清單檔案，如果尚未收到，請聯絡該公司。
在櫃檯與電話中提醒患者留意偽造訊息
該公司也提醒留意冒充診所的可疑訊息。在櫃檯張貼「我們絕不會透過電子郵件或簡訊索取密碼或卡號」的告示，有助於患者識破偽造訊息。這是本站的建議，並非該公司的指引。
事件經過（依 Medley, Inc. 的說明）
以下依據該公司10月15日的公告（同一頁面，更新至10月23日16:00）及其10月23日關於調查的公告。10月15日、19日與20日的版本，是在 Internet Archive 保存的副本中查看的。
2026年9月下旬至10月中旬
第三方透過擅自植入的程式存取該公司的資料庫並取得資訊（10月23日公告確認）。10月11日
外部專業機構通報可能有未經授權存取後，該公司展開調查（後來確認有第三方未經授權存取）。10月14日深夜
為控制損害並進行調查，該公司暫停 at-link、面向患者的 at-link App 及相關服務。10月15日
公告。該公司表示是否有資料外洩及其範圍仍在調查中，並已向個人情報保護委員會報告、向警方諮詢。10月19日
該公司表示，預定從10月22日上午起，以在獨立環境中建置的新服務「@link Cloud beta」，分階段重啟診所端的預約、病歷與診療行事曆功能。並表示暫停期間的費用將予退還，預定11月某時以銀行轉帳等方式辦理。10月20日
該公司以需要調查的項目增加為由，延後原定的調查報告。10月23日
該公司公布已確認個人資料外洩，並公布外洩項目。表示已向個人情報保護委員會與厚生勞動省報告。診所端的重啟因故障而延後，尚未決定日期。
使用過 App 或網路預約
姓名、furigana、出生月日、電子郵件地址（僅限有登錄者）、登入 ID、密碼、診所名稱、登錄日、最後就診日、信用卡付款紀錄（僅日期與金額；僅限 App 線上付款）
該做的事：更改重複使用的密碼，留意偽造訊息
未使用 App 或網路預約
姓名、furigana、出生月日、診所名稱、登錄日、最後就診日、登入 ID、初始密碼
該做的事：留意提及診所或就診的偽造訊息，等候通知
兩者皆適用：該公司表示未持有卡號
- 受影響的服務
- 醫療機構管理系統 @link（at-link）、面向患者的 at-link App 及相關服務
- 發現經過
- 10月11日收到外部專業機構的通報
- 發生了什麼
- 從9月下旬至10月中旬，第三方透過擅自植入的程式存取該公司資料庫並取得資訊
- 外洩狀況
- 已確認外洩（10月23日）。數量調查中
- 外洩登入資料的使用
- 尚未確認有人利用這些認證資訊進行未經授權登入，而導致已公布項目以外的資訊外洩
- 手法
- 未公開，因公開可能招致同類攻擊
- 因應
- 封堵路徑、使所有相關認證資訊失效、暫停服務。已向個人情報保護委員會與厚生勞動省報告。10月15日時已向警方諮詢
- 防止再發
- 由於 at-link 已長期運作，在重啟前將重建所有功能，強化驗證與存取控制、檢討密碼的保存方式，並加強監控。對集團旗下服務進行安全檢查
該公司在10月19日的版本中說明，at-link 已提供多年，混合了內部部署（安裝在診所內）與雲端系統，因此確認範圍所需時間比預期更長。
另外，10月21日該公司表示，為預防 PHP 程式語言的重大漏洞，已暫時停止部分其他產品，並在修復後陸續重啟。該公司表示，截至10月23日06:00，尚未確認有利用該漏洞的未經授權存取或資料外洩。該公告與 at-link 事件無關。
已知與未知
截至2026年10月24日的狀況。有更多資訊公布時，我們會更新狀態欄。
| 項目 | 公告內容 | 狀態 |
|---|---|---|
| 姓名、furigana、出生月日 | App 使用者與非使用者皆有 | 已確認外洩（該公司） |
| 診所名稱、登錄日、最後就診日 | 兩者皆有 | 已確認外洩（該公司） |
| App 與網路預約的登入 ID 與密碼 | 使用者為密碼；非使用者為初始密碼 | 已確認外洩（該公司） |
| 電子郵件地址 | 僅限有登錄的 App 或網路預約使用者 | 已確認外洩（該公司） |
| 信用卡付款紀錄 | 僅日期與金額；僅限透過 App 線上付款者 | 已確認外洩（該公司） |
| 信用卡號等 | 該公司未持有 | 不包含（該公司） |
| 利用外洩認證資訊未經授權登入而造成的進一步外洩 | 未確認 | 未確認（該公司） |
| 出生年、地址、電話號碼、醫療內容 | 不在外洩項目清單中 | 未說明 |
| 密碼的保存方式 | 未公開（檢討密碼保存方式是防止再發措施之一） | 未說明 |
| 診所的數量與名稱、人數 | 與外部專業機構持續調查中 | 調查中 |
| 具體攻擊手法 | 因公開可能招致同類攻擊而不公開 | 未說明 |
| 偽造訊息等二次傷害 | 公告中未提及 | 未說明 |
| 患者 App 與網路預約的重啟 | 重啟時設定新密碼；日期未定 | 調查中 |
| 暫停期間的費用 | 將退還；預定11月某時以銀行轉帳等方式辦理 | 退費方針（該公司）；時間為預定 |
清單中沒有的項目，不等於沒有外洩的項目
出生年、地址、電話號碼與醫療內容不在該公司公布的外洩項目清單中。但該公司仍在調查數量，沒有列出與明確說明不包含是不同的。項目可能在日後更新時改變，請留意通知與該公司頁面的更新。
外洩項目可能被用來做什麼
一般而言，以下組合可能被用於以下類型的濫用。這並不表示本案已經發生。
- 姓名＋診所名稱＋最後就診日：以假亂真的偽造簡訊或電話，冒充您的診所，例如「確認您的預約」或「關於您上次的就診」
- 姓名＋電子郵件地址＋付款日與金額：偽造電子郵件，聲稱「[日期]的付款有問題」，要求您重新輸入信用卡資料
- 登入 ID＋密碼：登入重複使用相同組合的其他服務（撞庫攻擊）
- 姓名＋出生月日：冒充您通過其他服務身分驗證時所用的部分資料（清單中沒有出生年）
知道診所名稱，就能讓偽造訊息提到您就診的地點，而這原本只有您自己知道。這是它與網路商店外洩不同之處。另一起由企業使用的預約與顧客管理系統外洩顧客資料的案例，是2026年的 EPARK Relax & Esthe PeakManager 外洩事件。
本站看法：事前發給的「初始密碼」也在外洩項目之中
公告中引人注意的是，即使是未使用 App 或網路預約的人，登入 ID 與初始密碼也外洩了。在患者開始使用服務之前，系統中就已有登入資料。
at-link 事件的原因尚未公開，因此我們無法說明本可如何預防。at-link 如何處理初始密碼也未公開；以下是一般性的檢查要點。以下僅是依外洩項目得出的要點，供經營面向患者的服務或會員註冊的業者參考。
首次登入時強制更改初始密碼，並設定期限
當初始密碼在櫃檯或以紙本發放時，從未使用的密碼仍然有效，一旦外洩就能直接使用。請檢查是否能要求首次登入時更改，並在一定期間未使用後停用初始密碼。
盤點長期運作的系統
該公司表示，由於 at-link 長期運作且混合了內部部署與雲端系統，調查耗費時間，並在重啟前重建所有功能。如果沒有清單列出患者或顧客資料存放在哪裡、哪些路徑能讀取，事件發生後確認範圍會很慢。
關於診所如何為系統中斷做準備，請參見診療因網路攻擊而受阻的醫院。
資料來源（公開紀錄）
本文的事實依據以下公開資訊（日文）。我們未臆測未公開的攻擊手法或受影響的診所。
- Medley, Inc.，「關於 at-link 未經授權存取的調查狀況」（2026年10月23日）— at-link.net
- Medley, Inc.，「at-link 未經授權存取與服務暫時停止的最新資訊」（2026年10月15日；10月23日16:00更新）— at-link.net（10月15日、19日與20日的版本已在 Internet Archive 查看）
- Medley, Inc.，企業網站上的同一則公告（2026年10月15日；10月23日16:00更新）— medley.jp
- Medley, Inc.，「關於部分產品重啟的公告」（2026年10月21日；截至10月23日06:00；另一事項）— medley.jp
更新紀錄
2026-10-24：第一版。依據 Medley, Inc. 10月15日的公告（包含至10月23日16:00的更新）及其10月23日關於調查的公告。待受影響的診所數與人數，以及患者 App 的重啟日期公布後將更新。
延伸閱讀
- 類似案例：EPARK Relax & Esthe PeakManager 外洩事件 / 診療因網路攻擊而受阻的醫院
- 密碼：檢查您的密碼是否外洩 / 密碼管理工具的選擇與使用 / 設定多重要素驗證
- 偽造訊息：什麼是網路釣魚
- 2026年的其他案例：資料外洩與網路攻擊一覽