メドレー「アットリンク」への不正アクセス(2026年10月公表)

概要

公表日

2026年10月15日

検知・発覚

2026年10月11日

最新の公表

2026年10月28日

組織・業種

メドレー「@link(アットリンク)」「アットリンクアプリ」(産婦人科などの医療機関が利用)(医療機関向けシステム / IT・SaaS・SI・BPO)

漏えいした情報・件数

2026-10-23に、アットリンク等に登録された個人情報が外部に漏えいしたことを確認したと公表(当初の10-15は漏えいの可能性)。アプリ・Web予約の利用者は、氏名、フリガナ、誕生月日、メールアドレス(登録者のみ)、アプリ・Web予約のログインIDとパスワード、利用した医療機関の名称・利用登録日・最終来院日、クレジットカードの決済履歴(決済日・金額のみ。オンライン決済の利用者のみ)。アプリ・Web予約を使っていない人は、氏名、フリガナ、誕生月日、医療機関の名称・利用登録日・最終来院日、ログインIDと初期パスワード。対象数は調査中。対象になりうる医療機関は最大で全787件。カード番号などは保有していない

業務への影響

2026年10月14日深夜から、@link、アットリンクアプリ、周辺サービスの提供を一時停止。Web予約、デジタル診察券、問診、診察の順番表示、オンライン決済などが使えない。10月22日朝7時以降に予定していた「@link クラウド β版」(別環境に作り直した新サービス)での予約・患者情報・診察カレンダーの再開は不具合で遅れ、10月28日から一部の医療機関でテスト利用を開始。患者向けアプリ・Web予約サイトなどは停止を継続(2026-10-28 12時30分時点)

業績への影響

2026年12月期の連結業績への影響は軽微と見込む(適時開示)

犯行グループ(企業・当局の認定)

なし(攻撃者は公表されていない)

行政の対応

個人情報保護委員会へ報告し、警察へ相談したと公表(10-15)。不正アクセスの詳細と調査状況を個人情報保護委員会と厚生労働省に報告(10-23)

手口

不正アクセス(経路未公表)

何から手を付けるか迷ったら、無料で初動相談ができます →

会社・サービス別の影響と復旧状況(2026年10月28日12時30分時点(10月30日に確認))

経緯

1. 2026年10月11日

   外部の専門機関から、第三者による不正アクセスの可能性があるとの情報提供を受け、調査を開始。調査の結果、不正アクセスを確認した(確認した日は公表されていない) [1]

2. 2026年10月11日

   この日からサービス停止までの間、調査を進めながら、停止による医療機関の運営と患者への影響を抑える暫定的な支援策を講じた [1]

3. 2026年10月14日

   深夜、被害の拡大防止とさらなる調査のため、@link、アットリンクアプリ、周辺サービスの提供を一時停止 [1]

4. 2026年10月15日

   適時開示とお知らせで公表。対象になりうる医療機関は最大787件とした。個人情報保護委員会へ報告し、警察へ相談 [1]

5. 2026年10月15日

   アットリンクのサービスサイトに最新情報のページを掲載(16時時点の版)。停止中のサービスの一覧と、医療機関・患者へのお願いを示した [3]

6. 2026年10月15日

   ITmedia NEWS、INTERNET Watch が報道 [4]

7. 2026年10月20日

   最新情報のページを23時時点で更新。10月22日朝7時以降、院内業務への影響が大きい機能から段階的に再開すると発表。従来のシステムは再稼働させず、別の環境に構築した「@link クラウド β版」に予約・患者データを移して提供する。同日に予定していた調査結果の報告は、追加の調査が必要になったとして翌日以降に延期した [7]

8. 2026年10月20日

   ITmedia NEWSが、停止中のサービスを作り直して再開へ、従来システムは再稼働させずと報道 [8]

9. 2026年10月22日

   「@link クラウド β版」の提供開始が遅れると案内(10月28日版の最新情報による。原因は不具合) [10]

10. 2026年10月23日

    「調査状況」を公表。登録された個人情報が外部に漏えいしたことを確認したとした。第三者が9月下旬から10月中旬に、不正に設置したプログラムを通じてデータベースから情報を取得していた。漏えいした項目を示し、対象者には医療機関と連携して順次通知するとした [9]

11. 2026年10月28日

    最新情報を12時30分時点で更新。この日から一部の医療機関で「@link クラウド β版」のテスト利用を始めたとした。テストが終わり次第、利用に同意した医療機関に案内する [10]

侵入経路と原因

メドレーによると、2026年10月11日に外部の専門機関から、第三者による不正アクセスの可能性があるとの情報提供を受けました。会社が調べた結果、第三者がアットリンク等のシステムに不正にアクセスしていたことを確認しました。

10月23日の「調査状況」で、会社は、第三者が2026年9月下旬から10月中旬にかけて、不正に設置したプログラムを通じてデータベースにアクセスし、情報を取得していたことを確認したと公表しました。不正アクセスに使われた経路は遮断し、関係する認証情報はすべて無効にしたとしています。

不正アクセスの具体的な手法は、同じ種類の攻撃を誘発するおそれがあるとして公表していません。プログラムがどこから設置されたのか、侵入の入り口は公表されていません(2026年10月30日時点)。

会社は、アットリンクを長く運用してきたシステムだと説明しています。再開にあたっては全機能を開発し直し、認証とアクセス制御の強化、パスワードの保管方法の見直し、監視体制の強化を行っているとしています。

影響

会社は10月23日、アットリンク等に登録された個人情報が外部に漏えいしたことを確認したと公表しました。10月15日の発表では、漏えいした可能性があるとしていました。対象になりうる医療機関は、最大でアットリンク等を使っている全787件です。787件すべてで漏えいが確認されたという意味ではありません。

漏えいした項目は、利用者の区分で分かれます。アットリンクアプリ・Web予約を使っている人は、氏名、フリガナ、誕生月日、メールアドレス(登録した人のみ)、アプリ・Web予約のログインIDとパスワード、利用した医療機関の名称・利用登録日・最終来院日です。アプリでオンライン決済をした人は、クレジットカードの決済履歴(決済日と金額のみ)も含みます。カード番号などは会社が保有していません。

アプリ・Web予約を使っていない人は、氏名、フリガナ、誕生月日、利用した医療機関の名称・利用登録日・最終来院日、アプリ・Web予約のログインIDと初期パスワードです。会社は、これらを使った不正なログインによる、公表した以外の情報の漏えいは確認されていないとしています。

対象の人数と医療機関は、正確を期すため外部の専門機関と調査を続けているとして、2026年10月30日時点で公表されていません。該当する人には、アットリンクを使う医療機関と連携して順次通知するとしています。

10月14日深夜から、アットリンク等の提供を止めています。医療機関側では、診察の順番表示・呼び出し、デジタル診察券や再来受付機による受付、予約・手術・入院の患者管理、事前問診、オンライン決済、メール送信などが使えません。

患者側では、アットリンクアプリとWeb予約サイト、デジタル診察券の表示、アプリでの問診の回答、オンライン決済、通知メッセージの閲覧が使えません。最終月経日の登録、マタニティダイアリー、エコー動画(Echo Diary)、出産記念ムービーなどの閲覧・ダウンロードもできません。

会社は10月22日から予約・患者情報・診察カレンダーの機能を医療機関向けに再開するとしていましたが、不具合で遅れています。10月28日に一部の医療機関でテスト利用を始めた段階です。それ以外の機能(Web問診、出産・月経・手術処置・入院の管理、電子カルテ・レセコンとの連携、患者向けアプリ・Web予約サイト、周辺サービス)は停止が続きます。

業績への影響について、会社は2026年12月期の連結業績への影響は軽微と見込んでいます。停止期間中の利用料金は、11月中をめどに返金するとしています。

会社の対応と再発防止策

会社は、情報提供を受けてから停止までの間に、医療機関と患者への影響を抑える暫定的な支援策を講じたうえで、10月14日深夜にサービスを止めました。

医療機関には、アットリンクを使わない院内運用のマニュアルを配り、カスタマーサポートが運用を支援しています。医療機関ごとの予約一覧と簡易マニュアルをPDFで取り出し、セキュリティを確保した状態で送っています。医療機関はこのファイルで予約を確認するよう案内されています。

患者には、アプリなどのお知らせ機能で状況を伝えています。新規予約と予約の変更は、予約先の医療機関に直接問い合わせるよう求めています。アプリについての問い合わせは、医療機関ではなく、専用メールアドレス(at-link@medley.jp)で受け付けています。医療機関向けには電話窓口(固定電話から0120-202-748、平日8時30分〜18時・土曜8時30分〜12時)もあります。

10月23日の「調査状況」で、会社は不正アクセスに使われた経路を遮断し、関係する認証情報をすべて無効にしたとしました。個人情報保護委員会と厚生労働省に報告しています。アプリ・Web予約のパスワードは引き継がず、再開のときに新しく設定してもらうため、それまでに変える必要はないとしています。同じパスワードを他のサービスで使っている場合は、そちらの変更を求めています。

会社やアットリンク、医療機関、カード会社を名乗る不審なメール・SMS・電話への注意も呼びかけています。会社がメールやSMS、電話でパスワードやカード情報を尋ねることはないとしています。

再開は、従来のシステムを再稼働させず、全機能を開発し直した新サービス「@link クラウド β版」を別の環境に作って行います。最初に再開するのは、予約の確認・受付・登録、患者情報の管理、診察カレンダーの3つです。10月22日朝7時以降の予定でしたが、不具合で遅れ、10月28日から一部の医療機関でテスト利用を始めました。テストが終わり次第、利用に同意した医療機関にサイトとメールで案内するとしています。ほかの機能は安全を確認できたものから順に再開する方針です。

停止期間中の利用料金は後日返金し、11月中をめどに指定の口座に振り込む予定です。会社は、グループ全体のサービスのセキュリティも点検し、必要な強化を進めるとしています。対象の人数と医療機関、再開の時期は、2026年10月30日時点で公表されていません。続報が出たら、このページを更新します。

この事案から学べること

• 不正アクセスは、自社の監視ではなく外部の専門機関からの情報提供で分かりました。外から知らされたときに、誰が受けて、どの順で確かめるかを決めておく必要があります。
• 会社は停止の前に、医療機関ごとの予約一覧を取り出して届けるなどの支援策を用意しました。クラウドのシステムが止まっても、予約や受付を紙や電話で回せる手順を、利用する側も持っておく必要があります。
• 1つの委託先の事故で、最大787の医療機関が同時に影響を受けうる状況になりました。医療機関は委託元として、患者への説明や個人情報保護委員会への報告を自院の問題として考える必要があります。報告の考え方は「個人情報の漏えい報告の義務と期限」の解説にまとめています。

自社で確認すること

1. 1 予約・受付・問診などに使っているクラウドのシステムが止まったとき、紙や電話で診療を回す手順と、予約の控えを持っていますか?
2. 2 委託先との契約に、事故が起きたときの通知の期限と連絡先、患者への説明の分担が書かれていますか?
3. 3 委託先から漏えいのおそれの通知を受けたとき、個人情報保護委員会への報告(速報は概ね3〜5日以内)を誰が判断するか決まっていますか?

経営者・情シスが今週確認する10項目を見る →

関連する事案

• 2026年10月15日 ・ エムスリー 製薬企業向けサービスに不正アクセス。医師会員の一部と製薬企業の担当者の氏名・勤務先などが漏えい
• 2024年5月20日 ・ 岡山県精神科医療センター 電子カルテが全停止。保守用VPNの脆弱性が6年放置されていた
• 2024年6月 ・ イセトー 通知書の印刷委託先が被害。307万人分が流出し、委託元に波及
• 2026年8月15日 ・ 両毛システムズ VPNアカウントを悪用され、委託元のガス会社・自治体に波及

よくあるご質問

アットリンクの不正アクセスで、何が漏れましたか?

メドレーは2026年10月23日、登録された個人情報が外部に漏えいしたことを確認したと公表しました。項目は、氏名、フリガナ、誕生月日、アプリ・Web予約のログインIDとパスワード(使っていない人は初期パスワード)、利用した医療機関の名称・利用登録日・最終来院日などです。登録した人はメールアドレス、オンライン決済をした人は決済日と金額も含みます。カード番号などは会社が保有していません。

自分の通っている産婦人科は対象ですか?

対象の医療機関は公表されていません。対象になりうるのは、最大でアットリンク等を使っている全787の医療機関です。787件すべてで漏えいが確認されたわけではありません。会社は、該当する人に医療機関と連携して順次通知するとしています(2026年10月30日時点)。

アプリが使えません。予約や診察はどうなりますか?

アットリンクアプリとWeb予約サイトは、2026年10月14日深夜から止まっています。最初に再開する予定なのは医療機関向けの予約・患者情報・診察カレンダーの機能で、患者向けアプリとWeb予約サイトは停止が続きます(10月28日12時30分時点の案内)。会社は、新規予約と予約の変更は予約先の医療機関に直接問い合わせるよう案内しています。

アプリについての問い合わせ先はどこですか?

アプリのことは、医療機関ではなく、専用メールアドレス(at-link@medley.jp)に問い合わせるよう案内されています。アットリンクの問い合わせフォーム(https://at-link.net/contact/)もあります。回答は医療機関と患者を優先しています。

サービスはいつ再開しますか?

時期は公表されていません。メドレーは、10月22日朝7時以降に予約・患者情報・診察カレンダーの機能を「@link クラウド β版」で再開するとしていましたが、不具合で遅れています。10月28日から一部の医療機関でテスト利用を始め、テストが終わり次第、利用に同意した医療機関に案内するとしています。従来のシステムは再稼働させず、全機能を開発し直しています。患者向けアプリやWeb予約サイト、Web問診などは停止が続きます。アプリ・Web予約のパスワードは、再開のときに新しく設定します。最新の情報は、アットリンクのサービスサイトの「アットリンクへの不正アクセスおよびサービスの一時停止に関する最新情報」で更新されます(2026年10月30日時点)。

アットリンクを使っている医療機関は、何をすればよいですか?

メドレーは、届けた予約一覧のPDFで予約を確認し、患者から問い合わせがあればアットリンクの窓口を案内するよう求めています。個人データの取り扱いを委託している場合、漏えい等の報告は原則として委託元と委託先の双方の義務で、委託先が委託元に通知すれば委託先の義務は免除されます。自院の対応は、メドレーからの通知の内容と、個人情報保護委員会のガイドラインに沿って確認してください。

出典

1. 当社サービス「アットリンク」への不正アクセス及びサービスの一時停止に関するお知らせ ↗ (株式会社メドレー、2026-10-15)
2. アットリンクへの不正アクセスおよびサービスの一時停止に関する最新情報 ↗ (株式会社メドレー、2026-10-15)
3. アットリンクへの不正アクセスおよびサービスの一時停止に関する最新情報(2026年10月15日16時更新) ↗ (株式会社メドレー(アットリンク)、2026-10-15)
4. メドレーの産婦人科向けシステムに不正アクセス、患者の個人情報漏えいか 最大787の医療機関が対象 ↗ (ITmedia NEWS、2026-10-15)
5. 産婦人科に特化した業務支援サービス/アプリ「アットリンク」、不正アクセスで個人情報漏えいの可能性 ↗ (INTERNET Watch、2026-10-15)
6. お問い合わせ(アットリンク) ↗ (株式会社メドレー(アットリンク))
7. アットリンクへの不正アクセスおよびサービスの一時停止に関する最新情報(2026年10月20日23時更新) ↗ (株式会社メドレー(アットリンク)、2026-10-20)
8. メドレー、不正アクセスで停止中のサービスを作り直して再開へ 従来システムは再稼働させず ↗ (ITmedia NEWS、2026-10-20)
9. アットリンクへの不正アクセスに関する調査状況について ↗ (株式会社メドレー(アットリンク)、2026-10-23)
10. アットリンクへの不正アクセスおよびサービスの一時停止に関する最新情報(2026年10月28日12時30分更新) ↗ (株式会社メドレー(アットリンク)、2026-10-28)
11. 医療機関業務支援システム「@link(アットリンク)」に不正アクセス、サービスの提供を一時停止 ↗ (ScanNetSecurity、2026-10-29)