メドレー「アットリンク」、個人情報調査の結果公表を延期　10月22日から院内機能を段階再開へ、アプリ・Web予約は停止継続

株式会社メドレーが提供する医療機関向け業務支援システム「@link（アットリンク）」への不正アクセスを巡り、同社は2026年10月20日23時の案内で、患者などの個人情報に関する影響調査について追加調査が必要になったとして、予定していた結果の公表を10月21日以降に延期しました。患者情報が外部へ漏えいしたかどうかについて、調査結果はまだ確定していません。

一方、停止しているサービスの一部については、従来のシステムをそのまま再稼働させず、別の環境に新たに構築した「@link クラウド β版」にデータを移行し、10月22日午前7時以降に院内向けの主要機能から段階的に提供する予定です。患者向けアプリやWeb予約などは再開対象に含まれません。

不正アクセスに伴う医療機関ごとのサービス停止・診療への影響は、セキュリティ対策Labのアットリンク不正アクセスの影響先まとめに集約しています。今回の続報では、10月20日夜の調査状況と再開予定の機能を中心に整理します。

アットリンク10月20日23時の続報サマリー

• メドレーは10月20日23時、個人情報への影響調査に追加の確認が必要となり、調査結果の公表を10月21日以降へ延期すると案内しました。
• 患者情報の漏えいが確定したとする発表ではなく、漏えいがなかったと判断できる段階でもありません。
• 10月22日午前7時以降、医療機関内で使用する一部の業務機能を段階的に再開する予定です。
• 再開には、従来環境を再稼働させるのではなく、別環境に構築する「@link クラウド β版」を使用し、必要なデータを移行する方針です。
• 再開予定の範囲は、院内の予約確認・登録、患者情報管理、診察カレンダーなどです。
• 患者向けアットリンクアプリ、Web予約、電子カルテ連携、オンライン決済などは引き続き停止する予定です。
• サービス停止期間の利用料金は、後日返金する方針が案内されています。
• 10月22日は全機能の復旧日ではなく、医療機関ごとの利用環境や業務運用について個別確認が必要です。

個人情報の影響調査、10月21日以降へ公表を延期

アットリンクでは10月11日、外部専門機関から不正アクセスの可能性について情報提供を受け、メドレーが原因や影響範囲の調査を開始しました。10月15日の公表時点で第三者による不正アクセスが確認され、患者などの個人情報への影響も調査対象となりました。

10月16日19時時点の案内では、オンプレミス型とクラウド型が混在するシステム構成により、対象となる医療機関や情報項目の精査に時間がかかっていると説明されていました。今回の10月20日23時の案内では、さらに追加調査が必要になったことを受け、予定していた結果公表が延期されています。

これまでの発表で示されている最大787件の医療機関は、影響を受ける可能性がある施設の上限に関する数字であり、787施設で患者情報の漏えいが確定したことを示すものではありません。具体的な情報項目、対象患者数、施設ごとの影響については調査結果の公表を待つ必要があります。

10月16日時点の調査状況を扱った既報では、システム構成の違いによる影響範囲の特定の難しさを整理しています。

10月22日7時以降に再開予定の機能と、停止が続く機能

メドレーは医療機関で日常的に使う業務機能を優先し、一部を段階的に提供する計画です。再開予定の範囲と停止が続く範囲を混同しないよう、院内向け・患者向けで分けて整理します。

※上表は10月20日23時時点で示された再開計画を整理したもので、個々の医療機関での稼働開始を保証するものではありません。機能の提供時期・運用方法は、その後の公式案内を確認してください。

「@link クラウド β版」を新たな環境に構築、従来システムをそのまま再稼働せず

今回の復旧方針では、既存環境をそのまま使い続けるのではなく、別環境に新たなシステムを構築してデータを移行する点が特徴です。感染や不正アクセスが確認されたシステムでは、侵入経路を遮断しただけで安全性の確認が完了するとは限りません。一般に、アカウントや設定、アプリケーション、連携先に不正な変更が残っていないかを検証したうえで復旧手順を決めます。

ただし、「別環境への移行」は今回の公表された復旧方式であり、従来環境に特定のバックドアが存在したことや、移行先での安全性がすでに完全に証明されたことを意味するものではありません。

システム再構築時には、移行前後のデータ件数、更新日時、予約の重複や欠落、ユーザー権限、外部システムとの接続設定などを照合する運用が考えられます。特に今回は、電子カルテ連携が引き続き停止するため、院内で患者情報を確認できるようになっても、診療関連システム間の自動連携まで戻るわけではありません。

医療機関が確認する点――停止期間中の手動運用とデータ移行を突合

医療機関側では、サービス停止中に紙、電話、別システムなどで受け付けた予約や変更が、再開後のデータと食い違わないよう確認する必要があります。たとえば、同じ患者の二重予約、キャンセルの反映漏れ、診察枠の重複、患者の取り違えが起こらないよう、停止期間中の記録と移行先の情報を照合する運用が想定されます。

また、院内で一部機能が使えるようになっても、アプリ・Web予約・オンライン決済など患者側の操作は停止が続く予定です。医療機関は、受付方法、診療当日の呼び出し方法、予約変更の連絡先、会計の案内を患者向けサイトなどで更新し、職員間でも運用手順を統一しておくことが考えられます。

医療情報に関する調査結果が公表された場合には、対象情報と該当する患者・医療機関の確認が別途必要になります。今回の部分再開をもって、個人情報への影響調査まで終了したと扱わないことがポイントです。

患者向けアプリとWeb予約は停止継続、受診先の案内を確認

患者にとっては、10月22日午前7時以降に一部の院内業務機能が再開しても、アットリンクアプリやWeb予約から予約・変更ができるようになるとは限りません。通院先の医療機関が案内している電話・窓口などの手段を引き続き利用してください。

不正アクセス後のサービス再開を口実にした偽のメールやSMSへの注意も必要です。ログイン情報の再入力や決済情報の登録を求められた場合は、受信メッセージ内のリンクから進まず、メドレーや通院先の公式サイト・正規の連絡窓口から確認することができます。これは一般的な予防策であり、今回の事案で特定のフィッシング被害が発生したとの発表ではありません。

サービス停止期間の利用料金は後日返金する方針

メドレーは今回のサービス停止期間について、利用料金を後日返金する方針も案内しました。返金対象期間、計算方法、手続きの詳細については利用契約ごとの案内を確認する必要があります。今回の方針を、患者の診療費や医療機関で支払った代金が一律に返金されるという意味に解釈しないよう注意が必要です。

今回の続報は、診療を支える機能の一部再開に向けた計画と、患者情報調査の継続が並行して進んでいることを示しています。個人情報の影響、医療機関ごとの停止・再開状況は引き続き別々に確認する必要があります。

出典

• 株式会社メドレー：アットリンクへの不正アクセスおよびサービスの一時停止に関する最新情報
• 医療機関業務支援システム「@link」公式サイト：サービスの運営・停止状況に関する案内