医療機関向け@linkで患者の情報が流出、ログイン情報も含む

何が起きたのか

メドレーは2026年10月23日、医療機関向けの業務支援システム「@link（アットリンク）」で個人情報が外部に漏れたと公表しました。患者向けの「アットリンクアプリ」や周辺のサービスも対象です。

10月11日に外部の専門機関から不正アクセスの可能性について情報が寄せられ、調査で侵入が確認されました。同社は14日の深夜にサービスを止め、15日に不正アクセスを公表しています。

攻撃者は、不正に置いたプログラムを通じてデータベースに接続し、9月下旬から10月中旬にかけて情報を取得していました。手口の詳細は、同じ攻撃を招く恐れがあるとして公表していません。侵入に使われた経路は遮断し、関係する認証情報はすべて無効にしたとしています。

漏れた情報

対象は、アプリやWEB予約を使っている人と、使っていない人の2つに分かれます。

• アプリやWEB予約を使っている人：氏名、フリガナ、誕生月日、メールアドレス（登録した人のみ）、ログインIDとパスワード、利用した医療機関の名称、利用登録日、最終来院日。オンライン決済を使った人は、決済の日付と金額も含みます
• 使っていない人：氏名、フリガナ、誕生月日、利用した医療機関の名称、利用登録日、最終来院日と、ログインIDと初期パスワード

カード番号は保有していないとしています。人数は調査中です。ログインIDとパスワードを使った不正ログインなど、公表した範囲以外の情報漏えいは、確認されていないとしています。

会社の対応

同社は侵入の経路を遮断し、関係する認証情報を無効にしました。個人情報保護委員会と厚生労働省に報告しています。再開に向けて全機能を開発し直し、認証とアクセス制御の強化、パスワードの保管方法の見直し、監視体制の強化を進めています。グループ全体のサービスについても、点検と必要な強化をするとしています。

10月22日には「@link クラウド β版」の提供開始が遅れると案内し、10月28日に一部の医療機関でテスト利用を始めました。予約の確認や受付、患者情報の登録、診察カレンダーの設定から再開しています。患者向けのアプリとWEB予約サイト、電子カルテなど他社システムとの連携、オンライン決済などは、10月28日の時点で停止が続いています。停止した期間の利用料金は、11月中を目途に返金する予定です。

停止中の医療機関は、配られる運用マニュアルと予約の一覧ファイルで院内の運用を続けます。患者は、新規の予約や変更を、予約先の医療機関に直接問い合わせます。対象者への通知は、利用する医療機関と連携して進めます。

利用者には、サービスの再開時に新しいパスワードを設定するよう案内しています。それまでに変更する必要はありません。同じパスワードを別のサービスでも使っていれば、そちらを変えるよう呼びかけています。メドレーや医療機関、カード会社などを名乗る不審なメール、SMS、電話に注意するよう案内しています。同社がメール、SMS、電話でパスワードやカード情報を尋ねることはありません。問い合わせ先は、患者は専用のメールアドレス、医療機関は専用の電話とメールアドレスです。

中小企業が学べること

予約や受付を外部のサービスに任せている事業者は、止まった日にどう受け付けるかを決めておくと、業務への影響を抑えられます。この件では、サービスが止まった間、医療機関が予約の一覧ファイルと運用マニュアルで受付を続けました。紙や電話で受けるときの手順と、予約の控えをどこに持つかを、止まる前に決めておきます。

もうひとつは、パスワードの使い回しです。この件では、ログインIDとパスワードが漏れた対象に含まれています。顧客や職員に、同じパスワードを別のサービスで使わないよう案内しておくと、漏れたときに被害が広がるのを防げます。委託先やサービス提供会社で事故が起きたときに、利用者への通知を誰がするのかも、契約や手順で確かめておきます。この件では、対象者への通知を、利用する医療機関と連携して進めています。