医療機関向けの業務支援システムを手がける株式会社メドレーは2026年10月23日、同社の医療機関業務支援システム「@link（アットリンク）」と「アットリンクアプリ」などへの第三者による不正アクセスについて、システムに登録された個人情報が外部に漏えいしたことを確認したと発表した。同社は10月15日に不正アクセスを公表しており、その後の調査で漏えいが確定した。対象の人数については調査を続けている。
9月下旬から10月中旬にデータベースへアクセス
発表によると、同社は2026年10月11日に外部の専門機関から不正アクセスの可能性について情報提供を受けて調査を始め、第三者がアットリンクなどのシステムに不正にアクセスしていたことを確認した。被害の拡大防止と調査のため、10月14日にサービスの提供を一時停止した。
その後の調査で、第三者が2026年9月下旬から10月中旬にかけて、不正に設置したプログラムを通じて同社のデータベースにアクセスし、情報を取得していたことがわかった。不正アクセスに使われた経路は遮断し、ログインなどに使う認証情報は、関係するものをすべて無効にしたという。手口については、同じ種類の攻撃を誘発するおそれがあるとして公表を控えている。個人情報保護委員会と厚生労働省には報告済みである。
受診先や最終来院日、決済の履歴も
漏えいの対象は、アットリンクを導入している医療機関の利用者の情報で、アプリやWeb予約を使っていたかどうかで項目が異なる。
アプリやWeb予約を利用していた人は、氏名、フリガナ、誕生月日、登録している場合はメールアドレス、アプリとWeb予約のログインIDとパスワード、利用した医療機関の名称、利用登録日、最終来院日が対象となる。アプリでオンライン決済を使っていた人は、クレジットカードの決済履歴（決済日と金額のみ）も含まれる。クレジットカード番号などは同社では保有していない。
アプリやWeb予約を利用していなかった人も、氏名、フリガナ、誕生月日、利用した医療機関の名称、利用登録日、最終来院日、ログインIDと初期パスワードが対象となる。
同社は、漏えいしたログインIDやパスワードを使った不正なログインによって、今回公表した以外の情報が漏えいしたことは確認されていないとしている。対象者には、アットリンクを導入している医療機関と連携して順次通知する。
サービスは全機能を作り直して再開
アットリンクのパスワードは引き継がず、サービスの再開時に新しく設定してもらう。同社は、同じパスワードをほかのサービスでも使っている場合は、そちらのパスワードを変更するよう呼びかけている。また、メドレーやアットリンク、医療機関、カード会社を名乗る不審なメール、SMS（携帯電話番号あてに届くショートメッセージ）、電話に注意するよう求めている。
同社は、アットリンクが長期にわたって運用してきたシステムであることから、再開にあたって全機能を開発し直しているという。その際、利用者の本人確認（認証）と、情報や機能を使える範囲の管理（アクセス制御）の強化、パスワードの保管方法の見直し、監視体制の強化を進めるとしている。
長く運用してきたシステムの監視体制を点検する
今回の事案では、9月下旬に始まったとされる不正アクセスに、同社は10月11日の外部からの情報提供をきっかけに気づいた。攻撃者は不正なプログラムを設置したうえで、およそ半月以上にわたってデータベースから情報を取得していたことになる。
どの医療機関に通っているかという情報は、本人にとって知られたくない内容を含むことがある。長年運用してきたシステムでは、設計や監視の仕組みが今の運用に合っているかを確かめ、不審なプログラムの設置や普段と違うデータベースへのアクセスを検知できるかを点検したい。サーバー上で見慣れないプログラムが動いていないか、データの持ち出しが起きていないかを日常的に監視し、外部からの指摘を待たずに自ら異常に気づける体制を持つことが求められる。
同じ手口に、自社は備えられていますか？