事案の概要データ
| 初報 | 2026年10月14日 |
|---|---|
| 続報 | 2026年10月15日 |
| きっかけ | 2026年10月11日に外部機関から情報提供を受け、第三者による不正アクセスを確認 |
| 対象となる可能性 | 全利用医療機関のうち最大787件 |
| 患者人数・漏えい件数 | 非公表 |
| 原因 | 調査中 |
| 10月20日の続報 | 影響結果の報告を翌日以降に延期。10月22日7時以降、別環境で院内業務機能を段階再開する予定 |
図解：この事故の構造
何が起きたのか
メドレーは2026年10月14日に初報を出し、15日の続報で、医療機関向け予約システム「アットリンク」および「アットリンクアプリ」が第三者による不正アクセスを受け、最大787の医療機関が対象となる可能性があることを公表しました。
きっかけは、2026年10月11日に外部機関から情報提供を受けたことでした。自社の監視で気づいたのではありません。原因は調査中で、患者の人数や漏えい件数は公表されていません。
「外部からの指摘で気づく」という現実
この事案で注目すべきは、発覚のきっかけが外部機関からの情報提供だったことです。
情報漏えいの発覚経路には、(1)自社の監視で検知、(2)取引先や利用者からの指摘、(3)カード会社や公的機関からの連絡、(4)攻撃者のリークサイトで発見、といったパターンがあります。
このうち(1)が最も望ましく、被害を小さく抑えられます。しかし現実には、(2)以降のケースが少なくありません。2026年9月のセイコーマートは「1件の不審な退会処理」という自社の気づきが発端でしたが、本件は外部からの指摘でした。
自社で気づけるかどうかは、ログを取っているか、それを見る運用があるかで決まります。高価な製品がなくても、「サーバーのアクセスログを週1回見る」だけで気づけることがあります。
予約システムが扱う情報
医療機関の予約システムには、患者の氏名・連絡先に加えて、「いつ、どの診療科を予約したか」という情報が含まれます。
診療科が分かるということは、健康状態がある程度推測できるということです。精神科、産婦人科、泌尿器科——本人にとって知られたくない通院もあります。
個人情報保護法では、病歴は「要配慮個人情報」として通常より厳格な扱いが求められます。予約情報そのものが病歴とは限りませんが、それに近い機微性を持ちます。
2026年は医療関連の事案が続きました。5月の九州大学病院（患者43名分）、8月の大阪公立大学医学部附属病院（X線画像13件）、2025年12月の徳島大学病院（患者16,945名）などです。医療分野は、規模の大小を問わず標的になっています。
時系列で見る経過
- 2026年10月11日外部機関から情報提供を受け、第三者による不正アクセスを確認
- 2026年10月14日初報を公表
- 2026年10月15日最大787の医療機関が対象となる可能性があると公表。原因は調査中
- 2026年10月14日 深夜サービスを停止
- 2026年10月20日 23時続報。影響結果の報告を翌日以降に延期すると説明
- 2026年10月22日 7時以降別環境で院内業務機能を段階的に再開する予定
中小企業が学ぶべきポイント
- 自社で気づけるかどうかが被害の大きさを決める。ログを取り、定期的に見る。
- 外部からの指摘で気づく段階では、すでに情報が出回っている可能性が高い。
- 医療機関の予約情報は、診療科から健康状態が推測できる。機微性が高い。
- 医療分野は規模を問わず標的になっている。小規模な医院でも対策が必要。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。