メドレー「アットリンク」等への不正アクセス（最大787医療機関の患者情報漏えいのおそれ・サービス停止）
公表日
医療機関向けシステム「アットリンク」などに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、最大787の医療機関の患者情報が漏れた可能性があります。サービスは停止中です。
対象者は？
アットリンク等を使う医療機関に登録された患者などの個人情報が対象となる可能性があります。対象は最大で利用する全787医療機関で、漏れたかどうか、範囲、項目はまだ調べている段階です。患者の人数は発表されていません。
通院先の医療機関やメドレーからの案内を確認してください。対象の医療機関と漏れた情報の項目は、まだ特定されていません。
いますぐできること
- メドレーやアットリンクを名乗る不審なメール、SMS、電話に注意する。メドレーからパスワードやクレジットカード情報などを尋ねることはないとされています。
- 予約やデジタル診察券が使えない間は、通院先の医療機関の案内を確認し、電話などで連絡する。
何が起きたのか
メドレーは10月11日に外部の専門機関から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の可能性について連絡を受け、調べて不正アクセスを確認しました。被害の拡大を防ぐため、10月14日深夜にアットリンクと関連サービスを一時停止しました。10月15日0時から、患者向けアプリやWEB予約サイトなどが使えなくなり、予約、デジタル診察券の表示、オンライン決済などが止まりました。メドレーは10月15日にこのことを発表し、個人情報保護委員会に報告し、警察にも相談しています。
なぜ起きたのか・なぜ広がったのか
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の手口、入られた経路、始まった時期は発表されていません。多くの医療機関が同じシステムを使っているため、停止の影響が各地の医療機関に及びました。
いまの状況2026-10-15 時点続報待ち
2026年10月15日時点で、サービスは停止が続いています。再開の見通しは、調査の結果を踏まえて改めて知らせるとされています。漏えいの有無や範囲は調査中で、原因や再発防止策はまだ発表されていません。メドレーは、2026年12月期の連結業績への影響は軽微と見込んでいます。
企業として考えたいこと
もし自社が使う共通のシステムが突然数日止まったら、予約や受付などの大事な業務を、どんな代わりの方法で続けますか。
技術的な要約
メドレーは2026年10月15日、医療機関業務支援システム「@link（アットリンク）」、患者向け「アットリンクアプリ」および周辺サービスのシステムに第三者による不正アクセスがあったと発表した。10月11日に外部の専門機関から情報提供を受けて調査を始め、不正アクセスを確認し、被害拡大防止のため10月14日深夜にサービスを一時停止した。登録された患者などの個人情報が漏えいした可能性があり、対象となり得るのは最大で利用する全787医療機関だが、漏えいの有無・範囲・項目は調査中である。手口、侵入経路、侵入開始時期は公表されていない。個人情報保護委員会に報告し、警察にも相談している。再開の見通しは調査結果を踏まえて改めて知らせるとしており、2026年12月期の連結業績への影響は軽微と見込んでいる。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明不正アクセスの手口や侵入の経路は公表されていない。
- 脆弱性
- CVE 非公表不明悪用された脆弱性の有無・製品・CVEは公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- あり 10月14日深夜にアットリンクと関連サービスを一時停止。10月15日0時からアットリンクアプリ、WEB予約サイト、周辺サービスが使えなくなり、予約、デジタル診察券表示、クレジットカード払いのオンライン決済、アットリンク問診の回答閲覧などが停止した。受付機でのチェックインと番号呼び出し、4Dエコー撮影の一時停止にも影響が及んだ医療機関がある。停止した機能には最終月経日の登録やマタニティダイアリーなど妊娠・出産に関わるものも含まれる。アットリンクは医療機関が機能を選んで使う仕組みで、影響は病院ごとに異なる。期間：2026-10-15時点で停止継続中。再開の見通しは立っていない。
- データ
- おそれ上限 787確定 —件氏名性別生年月日住所電話メール健康情報records_max の787は患者の件数ではなく、漏えい対象となり得る医療機関数（アットリンク等を利用する全医療機関）。患者数は公表されていない。漏えいの有無・範囲・項目は外部専門機関の協力のもと調査中で特定されていない。data_types はアットリンクアプリが扱うと報じられた項目（氏名、性別、生年月日、住所、電話番号、メールアドレス、問診の回答、ワクチン接種履歴など）で、漏えいが確認された項目ではない。
- 波及先
- 787 医療機関
- にしたんARTクリニック大阪院
- スズキ記念病院
- 東條ウィメンズホスピタル
- 四条烏丸レディースクリニック
- 東京フェリシアレディースクリニック
- 金銭影響
- 2026年12月期の連結業績への影響は軽微と見込んでいる。
- サプライチェーン
- 委託先経由や外部サービス経由での侵害との公表はない。提供元だったオフショアは2024年10月にメドレーグループに入り、2025年4月にメドレーが吸収合併したと報じられている。
時系列
技術解説
公表されている事実の範囲 事実
メドレーは2026年10月15日、医療機関業務支援システム「@link（アットリンク）」、患者向け「アットリンクアプリ」および周辺サービスのシステムに第三者による不正アクセスがあったと公表した。10月11日に外部の専門機関から不正アクセスの可能性について情報提供を受けて調査を始め、不正アクセスを確認した。被害拡大防止のため10月14日深夜にサービスを一時停止した。登録された患者等の個人情報が外部に漏えいした可能性があり、対象となり得るのは最大でアットリンク等を利用する全787医療機関とされる。漏えいの有無・範囲・項目、対象医療機関は外部専門機関の協力を得て調査中で、特定されていない。個人情報保護委員会に報告し、警察にも相談している。
未公表の事項と数値の読み方 事実
不正アクセスの手口、侵入経路、侵入が始まった時期は公表されていない。このため攻撃の構造や悪用された脆弱性の有無は、現時点の公開情報からは特定できない。数値の面では、787は患者の件数ではなく、漏えい対象となり得る医療機関数の上限である。流出が確定した件数は示されておらず、患者数も公表されていない。アットリンクアプリが氏名、性別、生年月日、住所、電話番号、メールアドレス、問診の回答、ワクチン接種履歴などを扱うと報じられているが、これは扱う情報の項目であり、漏えいが確認された項目ではない。2026年12月期の連結業績への影響は軽微と見込まれている。
業務への影響の広がり 事実
10月15日0時から、アットリンクアプリ、WEB予約サイト、周辺サービスが使えなくなった。医療機関の案内によれば、予約、デジタル診察券の表示、クレジットカード払いのオンライン決済、アットリンク問診の回答閲覧などが止まり、最終月経日の登録やマタニティダイアリーなど妊娠・出産に関わる機能も含まれる。スズキ記念病院では受付機でのチェックインと番号呼び出し、東條ウィメンズホスピタルでは4Dエコー撮影の一時停止にも影響が及んだ。アットリンクは医療機関が機能を選んで使う仕組みで、影響は病院ごとに異なる。メドレーは停止前に、医療機関の運営と患者への影響を抑える暫定的な支援策を講じたとしている。
単一の基盤に利用が集まる構造の影響（解釈） 解釈
今回の事案では、全787医療機関が同じ基盤を使っており、基盤側で停止すると各医療機関の予約や受付が同時に止まる構造が見える。これは公表された事実からの解釈であり、原因の評価ではない。停止の判断は、情報提供から約3日後の10月14日深夜で、調査と被害拡大防止を優先したものとみられる。一方、医療機関には10月14日夕方に連絡があったとの告知があり、院内での患者案内や代替手段の準備期間は短かった可能性がある。侵入経路が未公表のため、再発防止策の妥当性は現時点では評価できない。続報では、原因と漏えい範囲の特定が、再開の判断や患者への案内の前提になるとみられる。
対応
- 封じ込め
- 10月14日深夜にアットリンク、アットリンクアプリ、WEB予約サイトおよび周辺サービスの提供を一時停止した。停止前に医療機関の運営と患者への影響を抑える暫定的な支援策を講じた。外部の専門機関の協力を得て、漏えいの有無・範囲・項目を調査中。患者向けに、メドレーやアットリンクを名乗る不審なメール・SMS・電話への注意を呼びかけ、メドレーからパスワードやクレジットカード情報などを尋ねることはないとしている。
- 公表の仕方
- 2026年10月15日に公表。サービス再開の見通しは調査結果を踏まえて改めて知らせるとしている。漏えいした可能性のある情報の項目と対象医療機関は特定されておらず、手口・侵入経路・侵入開始時期も公表されていない。
- 当局対応
- 個人情報保護委員会に報告
- 警察に相談
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 外部機関からの通報が検知の契機になり得る | セキュリティ研究者や関係機関からの連絡を受ける窓口（security.txtや問い合わせ先）を整備し、受領から調査開始・封じ込め判断までの手順と担当者を決めておく。 |
| 共通基盤の停止は多数の利用先の業務に同時に波及する | 機能単位で停止できる設計にし、予約・決済・診察券表示などを個別に切り離せるようにする。利用先向けの代替運用手順（紙・電話）を事前に配布する。 |
| 漏えい範囲の特定には、利用先ごとのアクセス記録が必要 | テナントごとの認証・API・DBアクセスログを十分な期間保管し、侵害時に影響テナントを絞り込めるよう集中管理する。 |
| 患者情報は機微性が高く、問い合わせや詐欺メールへの備えも要る | 患者向け案内に、不審な連絡への注意と、事業者が尋ねない情報を明記した文面を事前に用意し、公式サイトと医療機関の双方で同時に告知できる経路を確保する。 |
| 利用先医療機関への情報提供のタイミングと内容がそろっていないと案内が分かれる | 利用先向けの共通告知テンプレートと連絡網を整え、事実と未確定事項を分けて同時に連絡する。続報の更新時刻を固定する。 |
自組織などでの確認項目
- 自組織が提供または利用する共通システムが止まったとき、現場は何時間、どの代替手段で業務を続けられますか。
- 外部の専門機関やリサーチャーから不正アクセスの可能性を知らされた場合、誰が受け、何時間以内に調査の開始と停止の判断をしますか。
- 利用先ごとのアクセスログを何日分保管していて、侵害時に影響を受けた利用先を特定できますか。
- 漏えいの有無が確定していない段階で、顧客や患者にどの項目まで、どの経路で案内しますか。
未解明点
- 不正アクセスの手口、侵入経路、侵入が始まった時期はどうだったのか。
- 実際に漏えいした情報の有無、項目、対象となる患者数と医療機関はどうなるのか。
- サービスはいつ、どのような安全確認を経て再開されるのか。
- 再発防止策や、利用医療機関・患者への対応はどうなるのか。
出典
- 1株式会社アクト2026-10-15報道本文確認済
- 2Cube ニュース（TBS NEWS DIG Powered by JNN）2026-10-15報道本文確認済
- 3ライブドアニュース（みんかぶ／MINKABU PRESS）2026-10-15報道本文確認済
- 4共同通信（Yahoo!ニュース配信）2026-10-15報道本文確認済
- 5ロイター（Yahoo!ニュース配信）2026-10-15報道本文確認済
- 6piyolog2026-10-15報道本文確認済
- 7デイリースポーツ online2026-10-15報道本文確認済
- 8ITmedia NEWS2026-10-15報道本文確認済