医療機関の予約システム「アットリンク」に不正アクセス。患者のログインIDやパスワードの漏えいを確認

01発表されている事実

1. 2026年9月下旬〜10月中旬

   第三者が不正に設置したプログラムを通じてデータベースにアクセスし、情報を取得していた（10月23日の発表）

2. 10月11日

   外部の専門機関から不正アクセスの可能性について情報提供を受け、調査を開始

3. 10月14日 深夜

   アットリンク等の提供を一時停止

4. 10月15日

   適時開示で公表。個人情報保護委員会に報告し、警察に相談

5. 10月23日

   個人情報の外部漏えいを確認したと公表。厚生労働省にも報告済み

10月23日の発表によると、アプリやWeb予約を使っていた患者は、氏名、フリガナ、誕生月日、メールアドレス（登録者のみ）、ログインID、パスワード、利用医療機関名、利用登録日、最終来院日、オンライン決済の決済日・金額が漏えいしました。アプリやWeb予約を使っていない患者も、氏名、フリガナ、誕生月日、利用医療機関名、利用登録日、最終来院日、ログインID、初期パスワードが対象です。クレジットカード番号はメドレーが保有していないため含まれません。漏えいした認証情報による不正ログインは確認されていないとしています。対象の人数と医療機関は調査中です。

02読者への影響

通っている医療機関から「アットリンクの停止」の案内を受けた人は、対象かもしれません。どの医療機関に通っているかは、本人にとって知られたくない情報になり得ます。それを知っている相手からの連絡は信じてしまいやすいので、偽のメールやSMS、電話に特に注意が必要です。メドレーは、同社がメール・SMS・電話でパスワードやカード情報を尋ねることはないとしています。

03今すぐやること

1. アットリンクと同じパスワードをほかのサービスで使っている場合は、そちらを変える（アットリンクのパスワードは引き継がず、再開時に新しく設定する仕組みです）
2. メドレー、アットリンク、医療機関、カード会社を名乗る連絡で、パスワードやカード番号を求めるものには応じない
3. 問い合わせは専用メール（at-link@medley.jp）へ。医療機関向けには電話窓口もあります

04医療機関がすること

予約や受付を外部のクラウドサービスに任せている医療機関は、止まったときの受付の代わりの手段（電話・紙）と、患者への連絡文の雛形を用意しておくと混乱を抑えられます。委託先の事故は自院の事故として患者から問い合わせが来ます。図鑑の「取引先から対策を求められた」では委託先の確認項目を、「事故対応・フォレンジック」では事故のときに頼める会社を探せます。

05今後の発表

メドレーは、対象者への通知を利用医療機関と連携して順次行い、対象数の確定に向けた調査を続けるとしています。再開にあたって全機能を新たに作り直したと説明しています。