メドレーの医療機関業務支援システム「アットリンク」への不正アクセス
- タグ
- 国内
メドレーの2026年10月23日の発表によると、医療機関業務支援システム「@link（アットリンク）」などへの第三者の不正アクセスで、登録された個人情報が外部に漏えいした［4］。10月15日の適時開示では、漏えいの対象となる可能性のある医療機関は最大でアットリンク等を利用する全医療機関（787件）〔注1〕とした［1］。10月28日には、一部の医療機関で「@link クラウド β版」のテスト利用を始めた［3］。
経緯
メドレーは調査状況のお知らせで、第三者が9月下旬から10月中旬にかけて、不正に設置したプログラムを通じて自社のデータベースにアクセスし、情報を取得していたことを確認したと説明した［4］。不正アクセスに使われた経路は遮断し、関係する認証情報はすべて無効にした［4］。不正アクセスの具体的な手法は、同種の攻撃を誘発するおそれがあるとして、公表を差し控えた［4］。
メドレーの適時開示では、情報提供を受けてから停止までのあいだ、調査を進めながら、停止に伴う医療機関の運営と患者への影響をできる限り抑える暫定的な支援策を講じた［1］。患者等の個人情報は外部に漏えいした可能性があるとし、漏えいの有無と範囲を外部の専門機関の協力を得て調べていた［1］。
セキュリティ対策Labによると、メドレーは10月16日19時の案内で、オンプレミス型とクラウド型が混在するシステム構成のため、対象となる医療機関や情報項目の精査に時間がかかっていると説明した［38］。運営会社の説明として、長年提供してきたサービスの構成が複雑なため、個人情報への影響の確認に当初の想定より時間がかかっていると、産婦人科クリニックさくらが告知した［22］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | メドレー | 外部の専門機関から不正アクセスの可能性の情報提供を受けて調査を始め、第三者による不正アクセスを確認した | ［1］ |
| 2026年 | メドレー | 利用医療機関に不正アクセスの可能性と停止を連絡し、深夜に被害の拡大防止と更なる調査のためアットリンク等の提供を止めた | ［1、8、10］ |
| 2026年 | メドレー | 不正アクセスの確認と提供の一時停止を適時開示で公表した | ［1］ |
| 2026年 | メドレー | 10月22日朝7時以降に、院内業務への影響が大きい機能から段階的に提供を再開する予定を発表した | ［33、37］ |
| 2026年 | メドレー | 個人情報の影響調査に追加調査が必要になったとして、予定していた結果の公表を10月21日以降に延ばした | ［38］ |
| 2026年 | メドレー | 不具合による一部機能の提供開始の延期を案内した | ［39］ |
| 2026年 | メドレー | 調査状況のお知らせを掲載し、16時にコーポレートサイトのお知らせと「最新情報」を更新した | ［2、3、4］ |
| 2026年 | メドレー | 12時30分に「最新情報」を更新した | ［3］ |
影響範囲
ITmedia NEWSによると、アットリンクは医療機関が予約・受付や入院・出産の管理などに使うシステムで、患者はWebサイトやアプリから診察を予約できる［32］。
メドレーは2024年9月30日の取締役会で、有床病院・診療所向けの予約システム「@link」と、患者向けサービス統合管理アプリ「アットリンクアプリ」などを展開するオフショアの子会社化を決議した［40］。同じ開示では、「@link」は産科婦人科の予約システム領域で「トップシェア」（オフショア社ホームページより引用）にあるとした［40］。アプリは全国妊産婦の約30%（オフショア社調べ）に利用されている［40］。メドレーは、オフショアを吸収合併消滅会社とし、効力発生日を2025年4月1日とする吸収合併を公告した［41］。
漏えいした個人情報の項目
| 項目 | アットリンクアプリ・WEB予約を利用の方 | 利用していない方 | 資料 |
|---|---|---|---|
| 氏名、フリガナ、誕生月日 | 含む | 含む | ［4］ |
| メールアドレス（登録された方のみ） | 含む | - | ［4］ |
| アットリンクアプリ・WEB予約のログインID | 含む | 含む | ［4］ |
| パスワード | パスワード | 初期パスワード | ［4］ |
| 利用した対象医療機関の名称、利用登録日、最終来院日 | 含む | 含む | ［4］ |
| クレジットカードの決済履歴（決済日・金額のみ） | 含む | - | ［4］ |
決済履歴の対象は、アプリを通じたオンライン決済を利用した人だけで、メドレーはクレジットカード番号等を保有していない［4］。メドレーは、これらのログインIDとパスワードを利用した不正なログインによる、公表した以外の情報漏えいは確認されていないと説明した〔注2〕［4］。
利用医療機関の告知
共同通信は、アットリンクは予約や入院管理などの機能から医療機関側が選んで使う仕組みで、停止の影響は病院ごとに異なると報じた［34］。
| 組織 | 影響 | 公表日 | 資料 |
|---|---|---|---|
| にしたんARTクリニック大阪院 | アットリンクアプリ・WEB予約サイトと関連サービスの停止。停止中の再診の予約・変更は直通電話で受付 | 2026年 | ［5］ |
| 愛育病院 | メドレーが病院の依頼で送った、患者向けの停止の案内を掲載 | 2026年 | ［7］ |
| 矢内原医院 | 10月14日深夜からのWEB予約サイトなど関連サービスの停止。予約は電話で対応 | 2026年 | ［8］ |
| 調布レディースクリニック | 10月15日からのアットリンクの利用停止。診察予約・予約変更・キャンセルは電話と窓口で受付 | 2026年 | ［9］ |
| 島田産婦人科 | インターネット予約、予約内容の確認・変更、患者向けアプリなどの停止。予約は外来診療時間内に電話で受付 | 2026年 | ［10］ |
| スズキ記念病院 | 予約サイトと診察予約、アプリ（デジタル診察券、プッシュ通知機能など）、自動メール配信機能の停止。受付機でのチェックインができず診察券を外来窓口へ提出し、番号の代わりに名前で呼び出し | 2026年 | ［11］ |
| 東條ウィメンズホスピタル | アプリ・Web予約サイト・周辺サービスの停止に伴い、4Ｄエコー撮影も一時停止。予約は電話で受付 | 2026年 | ［12、20、21］ |
| サンクリニック | アプリ・WEB予約サイトと関連サービスの停止。10月14日18時時点の予約は記録済みで、診療体制と分娩体制は変わらない | 2026年 | ［13］ |
| 松南病院 | 10月15日以降、ネットでの予約・日程の変更ができず電話で対応。10月14日22時時点の予約は記録済み | 2026年 | ［14］ |
| 岩宿クリニック | ネット予約・アプリ・診察券による受付の停止。エコーダイアリーの新規録画ができず、再開まで妊婦健診時の録画は不可 | 2026年 | ［15］ |
| 鎌ヶ谷レディースクリニック | Web予約サイトとスマートフォンアプリ等の停止 | 2026年 | ［16］ |
| 鎌ヶ谷バースクリニック | Web予約・アプリからの予約確認・変更と、エコーダイアリーの閲覧・ダウンロードの停止 | 2026年 | ［17］ |
| 東京HARTクリニック | アプリ・WEB予約サイトと関連サービスの停止。予約確認メール等は配信されず、チェックインカウンターも使えない。再開時期は未定 | 2026年 | ［18］ |
| やまなかレディースクリニック | アットリンクと関連サービスの当面の停止。予約は電話で受付、受付や診察までの案内に時間がかかる場合がある | 2026年 | ［19］ |
| 産婦人科クリニックさくら | 運営会社の一部再開の予定を告知。当院の電子カルテはメドレーのものではなく、アットリンクとは別のシステム | 2026年 | ［22］ |
| 神奈川レディースクリニック | 10月15日からのアプリ・Web予約サイトと関連サービスの停止 | 2026年 | ［24］ |
| まつしま病院 | メドレーが病院の依頼で送った、患者向けの案内を掲載（10月14日24時からアプリ・WEB予約サイト・周辺サービスを停止） | - | ［6］ |
広島県内でも、システムを導入する複数の医療機関がウェブ予約やアプリのサービスを止めているとRCC中国放送が報じ［35］、愛知県小牧市の産婦人科は予約を全て電話で受け、横浜市の産婦人科は手作業で予約を管理しているとFNNプライムオンラインが報じた［36］。
| 組織 | 件数・人数 | 含まれる情報 | 公表日 | 資料 |
|---|---|---|---|---|
| にしたんARTクリニック大阪院 | -（当院の患者が対象に含まれるかは、メドレーから報告を受けていない） | メドレーが公表した漏えい項目（確認）。オンライン決済機能は当院では利用していない | 2026年 | ［23］ |
| 四日市レディースクリニック | - | メドレーの調査状況のお知らせを転載（確認）。クレジットカードの決済履歴は当院では採用していない | 2026年 | ［25］ |
| 柿木産婦人科 | - | 登録されている患者の個人情報（確認） | 2026年 | ［26］ |
| 調布レディースクリニック | - | 個人情報（確認）。同じパスワードを他サイト・アプリで使う場合の変更を依頼 | 2026年 | ［9］ |
| 東京HARTクリニック | - | アットリンクの調査状況の公表を告知 | 2026年 | ［27］ |
| IVFなんばクリニック | -（当クリニックの患者が対象に含まれるかは、メドレーが確認中で報告を受けていない） | 診療情報とクレジットカード情報はアットリンクとは別のシステムで、対象に含まれない | 2026年 | ［28］ |
| 菊陽レディースクリニック | - | メドレーが公表した漏えい項目（確認）。当院ではアットリンク関係を用いたクレジット決済は行っていない | 2026年 | ［29］ |
| やました甲状腺病院 | - | メドレーが公表した漏えい項目（クレジットカードの決済履歴を除く。すべての項目が当院の患者に当たるものではないと注記）（確認） | - | ［30］ |
対応と現状
メドレーは適時開示で、個人情報保護委員会に報告し、警察に相談していると説明した［1］。2026年12月期の連結業績への影響は軽微と見込んだ［1］。10月23日の調査状況のお知らせでは、不正アクセスの詳細と調査状況を、個人情報保護委員会と厚生労働省に報告している［4］。
同じお知らせでは、該当する人には利用医療機関と連携して順次通知するとした［4］。アットリンクアプリ・WEB予約のパスワードは引き継がず、再開時に新たに設定してもらう［4］。それまでの期間に変える必要はない［4］。アットリンクと同じパスワードを他のサービスで使っている人には、そのサービスに不正にログインされるおそれがあるとして、そのサービスのパスワードの変更を求めた［4］。
メドレーは再発防止の取り組みとして、アットリンクが長期にわたって運用してきたシステムだったことから、再開にあたって全機能を新たに開発しなおしていると説明した［4］。その際に、認証とアクセス制御の強化、パスワードの保管方法の見直し、監視体制の強化などの対策を講じている［4］。AIによる不正アクセス等の脅威が高まる中、グループ全体のサービスのセキュリティを点検し、必要な強化を進めるとした［4］。
再開の計画と状況
産婦人科クリニックさくらは、運営会社からの連絡として、再開は従来のシステムの再稼働ではなく、別の環境で新たに構築したサービス「@link クラウド β版」として行われると告知した［22］。ITmedia NEWSは、新サービスの画面のデザインや操作方法は従来のものを踏襲すると報じた［33］。動作保証環境はWindows 11とMicrosoft Edgeで、利用前にブラウザの設定変更が必要になる［33］。
メドレーは「最新情報」の10月23日16時の版で、表4の1行目の機能について、不具合で提供開始が遅れ、目処は立っていないと説明した［3］。10月28日の版によると、遅延の原因となった不具合には開発体制を増強して取り組んでいる［3］。テスト利用では院内環境からの動作確認に協力してもらい、最終の確認を進めている［3］。テストが終わり次第、「@link クラウド β版」の利用に同意した医療機関へ、アットリンクサイトとメールで案内する［3］。
| 区分 | 機能 | 資料 |
|---|---|---|
| 提供開始に向けてテスト中の機能 | 予約の確認・受付・登録、患者情報の管理、診察カレンダー | ［3］ |
| 引き続き停止する、それ以外の標準機能 | Wovie、標準WEB問診機能、マーケティング機能等 | ［3］ |
| 引き続き停止する、パッケージに付随するオプション機能 | 出産管理、月経管理、手術処置管理、入院管理 | ［3］ |
| 引き続き停止する他社システム連携機能 | 電子カルテ・レセコン等との連携 | ［3］ |
| 引き続き停止する患者向けのサービス | アットリンクアプリ・WEB予約サイト | ［3］ |
| 引き続き停止する周辺サービス | アットリンク問診、Echo Diary、予防接種管理、DearBaby、アットリンクギフト、オンライン決済、デジタル診察券、デジタルサイネージ等 | ［3］ |
メドレーは増員して対応を進めており、停止する機能も安全性の確認ができたものから順次再開する方針だ［3］。停止中の院内運用と利用料金の扱いも示した［3］。
- 運用マニュアルと医療機関ごとの予約一覧ファイルの案内［3］
- 新規予約と予約の変更は、引き続き各医療機関で対応するよう依頼［3］
- 停止期間中の利用料金の返金（11月中を目処に指定の口座への振込等を予定）［3］
会見での説明
厚生労働大臣は10月20日の会見で、メドレーが厚生労働省の指導等の所管となるかを記者に問われた［31］。大臣は、所管の解釈や定義次第ではあるとしたうえで、メドレーは医療情報システムを取り扱う事業者なので、完全に所管外とは認識していないと述べた［31］。医療情報システムの安全管理ガイドラインでは、医療情報が漏えいしたときに、医療機関には厚生労働省への報告を求めているが、システムの事業者には求めていない［31］。サイバー攻撃による情報漏えいが相次いでいるため、厚生労働省は関係の団体や事業者等に、被害を受けた場合の報告を依頼した［31］。
記者は医療情報セキュリティ開示書の約200のチェック項目の非該当数も尋ね、大臣は、厚生労働省は各製品の該当項目数を把握していないと答えた［31］。安全管理ガイドラインでは、委託先の選定に際し、ISMS認証やプライバシーマークなどの第三者認証の取得状況などを確認することが望ましいとしている［31］。電子カルテの認証制度でもガイドラインへの対応を求め、脆弱性診断等のサイバーセキュリティ対策の実施状況や結果も審査するとした［31］。
未公表の事項
- 不正に設置されたプログラムの設置箇所と、第三者の侵入の起点
- 漏えいの対象となった人数と医療機関（メドレーは、正確性を期すため外部の専門機関とともに調査を続けているとした［4］）
- 不正アクセスの可能性を伝えた外部の専門機関の名称と、提供された情報の内容
- 「@link クラウド β版」のテスト利用を始めた医療機関の名称と数、その提供開始と、患者向けのアットリンクアプリ・WEB予約サイトの再開の時期
- 見直す前のパスワードの保管方法
注
出典
当事者
- ［1］株式会社メドレー『当社サービス「アットリンク」への不正アクセス及びサービスの一時停止に関するお知らせ』（2026年10月15日公開、PDF、適時開示、fs2.magicalir.net掲載の写し）
- ［2］株式会社メドレー『アットリンクへの不正アクセスおよびサービスの一時停止に関する最新情報』（2026年10月15日公開、2026年10月23日更新）
- ［3］株式会社メドレー『アットリンクへの不正アクセスおよびサービスの一時停止に関する最新情報』（2026年10月15日公開、2026年10月28日更新）
- ［4］株式会社メドレー『アットリンクへの不正アクセスに関する調査状況について』（2026年10月23日公開）
関係組織
- ［5］にしたんARTクリニック大阪院『【重要】外部予約システム「アットリンク」の一時停止について（10月15日0時〜）』（2026年10月14日公開）
- ［6］まつしま病院『アットリンクアプリ、WEB予約サイトおよび周辺サービスの一時停止に関するお詫び』（公開日不明、2026年10月26日閲覧）
- ［7］医療法人愛育会『アットリンクアプリ、WEB予約サイトおよび周辺サービスの一時停止に関するお知らせ』（2026年10月14日公開）
- ［8］矢内原医院『WEBでの予約受付一時停止：予約システムアットリンクWEBサイト等のサービスの一時停止のお知らせ』（2026年10月14日公開）
- ［9］調布レディースクリニック『重要 予約システムの停止に関して』（2026年10月14日公開、2026年10月24日更新）
- ［10］島田産婦人科『予約システム「アットリンク」のサービス一時停止について』（2026年10月14日公開）
- ［11］スズキ記念病院『【重要】システム障害に伴うWeb予約・アプリ一時停止および診療運用変更のお知らせ』（2026年10月14日公開）
- ［12］医療法人社団桐杏会『【重要】＠linkアプリの一時停止について』（2026年10月14日公開）
- ［13］医療法人サン・クリニック『予約システム「アットリンク」の一時停止について（第1報）』（2026年10月14日公開）
- ［14］恵愛会『【重要なお知らせ】当院の予約システム「アットリンク」の不正アクセスの可能性（第１報）』（2026年10月14日公開）
- ［15］岩宿クリニック『【重要】アットリンク（予約システム）に関連するサービスの一時停止について』（2026年10月14日公開）
- ［16］医療法人社団煌星会『【重要】予約システム「アットリンク（@link）」の一時停止について』（2026年10月14日公開）
- ［17］医療法人社団煌星会『【重要】予約システム「アットリンク（@link）」の一時停止について』（2026年10月14日公開）
- ［18］東京HARTクリニック『【緊急】【重要】アットリンクのサービス一時停止に関するお知らせとお詫び』（2026年10月15日公開）
- ［19］やまなかレディースクリニック『アットリンクアプリ、WEB予約サイトおよび周辺サービスの一時停止に関するお詫び』（2026年10月15日公開）
- ［20］医療法人社団桐杏会『診療予約につきまして』（2026年10月15日公開）
- ［21］医療法人社団桐杏会『【重要】＠linkアプリの一時停止について②』（2026年10月16日公開）
- ［22］産婦人科クリニックさくら『【重要】予約システム「アットリンク」および周辺サービスの「一部再開」について』（2026年10月21日公開）
- ［23］にしたんARTクリニック大阪院『【重要】外部予約システム「アットリンク」における個人情報漏えいについて（第2報）』（2026年10月23日公開）
- ［24］医療法人社団樹慶会『アットリンクの不正アクセスによるサービス停止に関するお知らせ(続報)』（2026年10月23日公開）
- ［25］四日市レディースクリニック『【重要】アットリンクへの不正アクセスに関する調査状況について』（2026年10月23日公開）
- ［26］柿木産婦人科『（お知らせ）予約システム「アットリンク」への不正アクセスについて』（2026年10月23日公開）
- ［27］東京HARTクリニック『【続報】アットリンクへの不正アクセスに関する調査状況について』（2026年10月24日公開）
- ［28］IVFなんばクリニック『【重要】外部予約システム「アットリンク」における個人情報漏えいについて』（2026年10月24日公開）
- ［29］菊陽レディースクリニック『予約システム「アットリンク」における情報漏えいについて』（2026年10月24日公開）
- ［30］やました甲状腺病院『予約システムの個人情報漏えいに関するお詫び』（公開日不明、2026年10月26日閲覧）
公的機関
- ［31］厚生労働省『上野大臣会見概要（令和8年10月20日（火）9:36～9:44 省内会見室）』（2026年10月20日公開）
報道機関
- ［32］アイティメディア株式会社『メドレーの産婦人科向けシステムに不正アクセス、患者の個人情報漏えいか 最大787の医療機関が対象』（2026年10月15日公開）
- ［33］アイティメディア株式会社『メドレー、不正アクセスで停止中のサービスを作り直して再開へ 従来システムは再稼働させず』（2026年10月20日公開）
- ［34］株式会社デイリースポーツ『不正アクセスで病院予約障害 医療系ＩＴ、サービス停止』（2026年10月15日公開、共同通信の配信）
- ［35］RCC中国放送『不正アクセス問題 「アットリンク」導入の産婦人科でWEB予約停止も 患者の個人情報など情報漏洩した可能性 「メドレー」のシステムが一時停止 広島県内の産婦人科も導入』（2026年10月15日公開）
- ［36］FNNプライムオンライン『不正アクセスで最大787医療機関で情報漏えいか 病院の予約システムダウン、すべて電話対応に 医療現場にも影響』（2026年10月16日公開）
- ［37］合同会社ロケットボーイズ『メドレー「アットリンク」10月22日朝7時以降に一部再開へ、不正アクセス受け新環境「@link クラウド β版」に移行』（2026年10月18日公開、2026年10月19日更新）
- ［38］合同会社ロケットボーイズ『メドレー「アットリンク」、個人情報調査の結果公表を延期 10月22日から院内機能を段階再開へ、アプリ・Web予約は停止継続』（2026年10月21日公開）
- ［39］合同会社ロケットボーイズ『メドレーの予約システム「アットリンク」に不正アクセスによるサイバー攻撃のまとめ-最大787件の医療機関に影響』（2026年10月14日公開、2026年10月26日更新）
背景資料
- ［40］株式会社メドレー『株式会社オフショアの株式の取得（子会社化）に関するお知らせ』（2024年9月30日公開、PDF、適時開示、fs2.magicalir.net掲載の写し）
- ［41］株式会社メドレー『合併公告』（2025年2月17日公開、PDF）
更新記録
- 2026年10月26日：公開した。
- 2026年11月4日：10月28日の「最新情報」の更新（「@link クラウド β版」のテスト利用の開始）を反映した。