📡 Signal｜メドレーの医療機関向け @link に不正アクセス、最大 787 施設

医療 IT のメドレー (東証プライム・4480) は10月15日、医療機関の業務を支えるシステム「@link (アットリンク)」と患者向けの「アットリンクアプリ」などに第三者の不正アクセスがあったと発表した。患者の個人情報が外部に漏えいした可能性があり、対象になりうる医療機関は最大で、利用する全 787 施設にのぼる。

漏えいの有無も、漏れたかもしれない情報の項目も、まだ調査の途中だ。同社は14日深夜からサービスを止めており、新規の予約や予約の変更は、患者が医療機関へ直接問い合わせる形になっている。

外部からの通報で見つかった侵入

東京証券取引所の適時開示によると、メドレーは10月11日、外部の専門機関から第三者による不正アクセスの可能性があるとの情報提供を受け、調査で不正アクセスを確認した。暫定的な支援策を講じたうえで、14日深夜に「アットリンク等」の提供を一時停止した。侵入がいつ始まったか、どこから入られたかは開示していない。

開示は、登録された患者などの個人情報が外部に漏えいした「可能性があります」と書く。漏えいの有無と範囲、つまり漏れた可能性のある情報の項目と対象の医療機関は、外部の専門機関の協力を得て調べている。最大 787 施設という数字は、確定した被害の範囲ではなく、アットリンク等を使う医療機関の全数だ。

同社は個人情報保護委員会に報告し、警察にも相談している。2026年12月期の連結業績への影響は軽微と見込む。再開の見通しは、調査の結果を踏まえて改めて知らせるとした。

止まったのは予約から出産の記録まで

アットリンクのサービスサイトの告知 (15日16時更新) は、止まっている機能を並べている。医療機関向けでは、デジタル診察券によるチェックイン、診察順の表示と呼び出し、予約受付や手術・入院の患者管理、事前の問診、オンライン決済のほか、妊娠週数や最終月経日の表示、超音波診断の録画、出産記念のムービーまで含む。患者向けには、アプリと WEB 予約サイトの利用、最終月経日の登録、マタニティダイアリーの閲覧などが使えなくなっている。

並んだ機能には、妊娠と出産に関わる診療の記録が多く含まれる。だからこそ、項目の特定が終わるまで、患者の側は何が外に出た可能性があるのかを判断できない。

メドレーは医療機関に院内の運用マニュアルを配り、医療機関ごとの予約一覧を PDF にして、安全を確保した形で送っている。アプリについての問い合わせは、医療機関ではなく専用の窓口で受け付けている。

同じ日、JPCERT/CC は攻撃者の AI 利用を確認

同じ15日、JPCERT/CC は公式ブログで、9月前後から国内で相次ぐ不正アクセスについて、攻撃に使われたサーバーの調査結果を公表した。攻撃者が AI を使い、既知の脆弱性のスキャンや API を通じた攻撃を行っていたことを確認したという。JPCERT/CC の文書で攻撃者の AI 利用が示されたのは、10月8日の注意喚起から一歩進んだ点だ。注意喚起と手口の 4 類型は 10日の記事 にまとめている。

攻撃元のサーバーには、Android アプリの配布ファイルを解析して API を見つけ、外部の URL を取りに行かせる脆弱性 (SSRF) を調べた跡があった。Flutter で作られたアプリの解析ツールも置かれ、日本以外の地域向けのアプリや Web サービスも狙われていた。対策としては、API の秘密鍵や長く有効な認証情報をアプリに埋め込まないこと、認証と権限の確認をサーバー側で行うこと、正規のアプリ以外からのアクセスを前提に監視することを挙げた。アプリの解析から API へという流れは、情報通信研究機構 (NICT) が13日に注意を呼びかけた手口とも重なる (14日の記事)。

ただし、JPCERT/CC のブログは被害組織の名前を挙げておらず、メドレーも侵入の手口を明らかにしていない。アットリンクの事案が一連の攻撃と同じものかは、現時点では分からない。

次に見るもの

確認先は、アットリンクのサービスサイトの告知と、TDnet に出るメドレーの続報だ。漏れた可能性のある情報の項目と、対象の医療機関がどこまで絞り込まれるかが最初の確認点になる。侵入の経路が公表されれば、JPCERT/CC が示したアプリと API を狙う手口と同じかどうかも読める。サービスの再開時期も、調査の結果を受けて示される。

ことば

• SSRF — サーバーに外部の URL を取りに行かせる機能を悪用し、本来は外から届かない内部のシステムへ要求を送らせる攻撃。API を持つサービスが増えるほど、狙われる入口も増える。
• 適時開示 — 上場企業が、株価に影響しうる事実を東京証券取引所の TDnet で投資家に一斉に知らせる仕組み。事故の第一報も、業績への影響の見込みも、ここに出る。

🔗 一次ソース

• メドレー 適時開示「当社サービス『アットリンク』への不正アクセス及びサービスの一時停止に関するお知らせ」(2026年10月15日・PDF)release.tdnet.info
• アットリンク サービスサイトの告知 (2026年10月15日16時更新・停止中のサービスと患者への案内)医療機関業務支援システムはアットリンク @link／株式会社メドレー | 株式会社メドレーが提供する医療機関業務支援システム@link（アットリンク）は、「予約
• メドレー 公式サイトのお知らせ (2026年10月15日)株式会社メドレー
• JPCERT/CC Eyes「連続不正アクセス事案の攻撃手法に関する調査」(2026年10月15日)JPCERT/CC Eyes
• JPCERT/CC：直近で相次いでいる国内組織における不正アクセスに関する注意喚起 (JPCERT-AT-2026-0030)JPCERT/CC