アットリンクの情報漏えい、報告義務があるのは医院か事業者か

医療機関向けの予約・業務支援システム「アットリンク」を提供するメドレーは2026年10月23日、不正アクセスによって患者の氏名や最終来院日などが外部に漏えいしたと公表しました。10月15日の発表では、対象になりうる医療機関は最大で、このシステムを使う全787の医療機関とされています。10月20日の会見で厚生労働大臣は、国のガイドラインが漏えい時に厚労省への報告を求めている相手は医療機関で、システムの事業者には求めていないと説明しました。

9月下旬から、予約アプリの利用者の情報が取られていた

メドレーによると、第三者が9月下旬から10月中旬にかけて、不正に設置したプログラムを通じて同社のデータベースにアクセスし、情報を取得していました。10月11日に外部の専門機関から指摘を受けて調査を始め、14日の深夜にアットリンクと患者向けの「アットリンクアプリ」、周辺サービスの提供を止めています。不正アクセスの具体的な手口は公表されていません。

アットリンクは予約・受付を中心に、出産管理などの機能も備えたシステムです。漏えいが確認された項目は次のとおりで、人数や医療機関の数は調査が続いています。

患者の氏名、フリガナ、誕生月日
利用した医療機関の名称、利用登録日、最終来院日
アプリ・WEB予約のログインIDとパスワード（使っていない人は初期パスワード）
登録した人のメールアドレス、アプリで決済した人の決済日と金額（カード番号は含まれません）

公表された項目に、病名や診療の内容は入っていません。メドレーは11月12日の決算発表でも、影響範囲は調べている最中だとしています。予約機能などを作り直した新しい版は10月28日に一部の医療機関で試験利用が始まりましたが、電子カルテやレセコンとの連携、患者向けアプリ、WEB予約は止まったままです。同じ決算発表で、メドレーは別のサービスでも不正アクセスによる登録者情報の漏えいなどを確認したとしていますが、どのサービスかは示していません。

報告を求められているのは医療機関。事業者には「依頼」の段階

ガイドラインが事業者に報告を求めていない点について、上野厚生労働大臣は、サイバー攻撃による漏えいが相次いでいることから、関係する団体や事業者に、被害を受けた場合は報告するよう依頼したと述べました。メドレーについては「完全に当省の所管外であるとは認識していません」としています。

委託先を選ぶときの判断材料にも触れました。事業者が出す「医療情報セキュリティ開示書」は事業者による自己評価で、各製品がどれだけの項目に当てはまるかを厚労省は把握していないとし、選ぶ際は第三者の認証の取得状況を確かめることが望ましいと述べています。電子カルテの認証制度では、脆弱性診断などの実施状況や結果も審査するとしました。

アットリンクを使っている医院は、自院の報告が要るかを確かめる

個人情報保護法では、不正アクセスによる漏えいは人数にかかわらず、個人情報保護委員会への報告の対象です。法律は、業務の委託を受けた事業者が委託元に通知すれば、その事業者自身は報告しなくてよいと定めており、委託先から通知を受けた場合、報告の義務は委託元の側に残ります。厚労省のガイドラインも、サイバー攻撃を受けた、またはその疑いがあるときは、早急に厚労省や警察に報告するよう求めています。

メドレーは委員会と厚労省に報告したと公表していますが、利用する医療機関がそれぞれ報告する必要があるかは示していません。該当する患者にはメドレーが医療機関と連携して順次通知するとしています。利用中の医院は、次の点を確認しておきましょう。

自院としての報告が要るかメドレーから届く通知の内容とあわせて、委員会と厚労省への報告を自院でもするのかを窓口に確認します。
予約一覧と運用マニュアルが届いているかメドレーは医療機関ごとの予約一覧と運用マニュアルを送っています。新規予約と予約の変更は、引き続き各医院で受け付けます。
患者からの問い合わせの案内先アプリに関する問い合わせはメドレーの専用窓口が受けます。同じパスワードを他のサービスで使っている人への変更の呼びかけや、メドレーや医療機関を名乗る不審なメール・SMSへの注意も、同社が案内しています。

ほかの予約・問診システムも、ログインの設定を点検する

厚労省は10月28日、医療機関とシステム事業者に、ログインまわりの対策を強めるよう求める事務連絡を出しました。きっかけは別のオンライン診療システムで、他から流出したIDとパスワードを使ったとみられる不正ログインが起きたことです。事業者には、予約や問診など関連するシステム全般を確認するよう求めています。10月30日の会見で大臣は、予約システムなどへの不正アクセスで患者情報が漏えいした事案にも触れたうえで、この要請を説明しました。医療機関に求められているのは次の4点です。

多要素認証を有効にするシステムに機能があるのに使っていない場合は、すぐに有効にします。
パスワードを使い回していないか点検する私用のサービスや他のシステムと同じ、または似たパスワードを使っていないかを確かめます。
ログイン履歴を確認する深夜のアクセス、海外からの接続、短時間に続く認証の試みがないかを見ます。
事業者を名乗る連絡に注意するよう院内に伝える正規の事業者がパスワードやワンタイムコードを個別に尋ねることはありません。

委託先を選ぶときは、第三者認証と開示書の中身を見る

厚労省の安全管理ガイドライン（第7.0版）は、医療情報を扱う委託先を、プライバシーマークやISMS認証を取得している事業者から選ぶよう求めています。とくにプライバシーマークの取得が望ましいとしています。ISMS認証は管理が適正に行われていることを認証するもので、安全対策の効果までは認証しないため、ISMS認証だけの事業者には具体的な管理方法の説明を求めるよう勧めています。

予約や問診のように患者が直接ログインするシステムでは、IDとパスワードの守り方も選ぶときの確認点になります。ガイドラインは、二要素認証に対応したシステムを、原則として令和9年度の時点で選ぶとしています。

国家サイバー統括室が10月9日に出し、厚労省が都道府県などを通じて周知した依頼では、不正アクセスや漏えいが起きたときの委託先の報告義務を、委託契約に書いておくよう求めています。

プライバシーマークかISMS認証を取得しているかデータを外部に預ける委託先でどちらも無い場合、ガイドラインはISMAPなど別の認証で確かめるよう示しています。
医療情報セキュリティ開示書で、満たしていない項目は何か開示書は事業者の自己評価です。当てはまらない項目と、その理由を聞いておきます。
ログインの守り方と、事故が起きたときの分担二要素認証への対応、パスワードの保管方法、漏えいが起きたときに委託先が医院へ報告すること、原因究明の進め方を、契約の段階で決めておきます。

まとめ

アットリンクへの不正アクセスでは、患者の氏名や来院日などの漏えいが確認され、人数はまだ調査中です。国のガイドラインで漏えいの報告を求められているのは医療機関で、事業者への報告は依頼の段階にとどまっています。利用中の医院は自院の報告が要るかを確認し、どの医院も使っているシステムの多要素認証とパスワードを点検しておきましょう。これから予約や問診のシステムを選ぶ医院は、第三者認証の有無と開示書の中身、漏えい時の報告を契約に入れられるかを確かめておくと判断しやすくなります。

電子カルテ認証制度の要件と院長が確認すること、の記事をみる →

株式会社メドレー「当社サービス「アットリンク」への不正アクセス及びサービスの一時停止に関するお知らせ」（2026年10月15日・適時開示）。787は「漏えいの対象となる可能性のある医療機関は、最大で、アットリンク等を利用している全医療機関（787 件）」の記述によります
株式会社メドレー「アットリンクへの不正アクセスに関する調査状況について」（2026年10月23日）／「アットリンクへの不正アクセスおよびサービスの一時停止に関する最新情報」（最終更新 2026年10月28日）
株式会社メドレー「2026年12月期第3四半期決算短信」（2026年11月12日）。「当社サービスへの不正アクセスについて」の記述
厚生労働省「上野大臣会見概要」（2026年10月20日／10月30日）
厚生労働省事務連絡「オンライン診療システムにおける不正ログイン事案の発生に伴うセキュリティ対策強化のお願い」（2026年10月28日・福島県の掲載ページより）
厚生労働省事務連絡「不正アクセスによる漏えい等の事案を踏まえた対応について（内閣官房国家サイバー統括室からの依頼事項）」（2026年10月9日・日本病院会の掲載ページより）
厚生労働省「医療情報システムの安全管理に関するガイドライン第7.0版」経営管理編 3.4.3（情報セキュリティインシデントへの対応体制）・5.1（事業者選定）
e-Gov法令検索「個人情報の保護に関する法律」第26条／「同法施行規則」第7条
※漏えいした人数と医療機関の数、不正アクセスの手口は公表されていません。アットリンクの公式情報は2026年10月28日の更新が最新です（最終確認：2026年11月14日）