2026年10月15日、医療ITの上場企業2社が同じ日に不正アクセスを公表しました。株式会社メドレーが提供する医療機関業務支援システム「@link（アットリンク）」、そしてエムスリー株式会社が提供する製薬企業向けサービス「MR君」です。
クリニックや病院の院長・事務長にとって重要なのは、自院の電子カルテが直接攻撃されたかどうかではありません。予約・患者アプリ・情報連携といった外部のSaaSが止まると、予約受付や患者案内が止まること、そして患者の氏名やログイン情報といった個人情報が、委託先経由で漏えいするおそれがあることです。本記事では、各社の公表と医療機関側の告知で確認できる事実だけを整理し、医療機関が受ける影響と、今すぐできるセキュリティ対策をまとめます。
本記事は2026年11月5日時点の公表情報にもとづく一般的な情報提供です。事案の内容は各社・各施設の発表時点のもので、今後の調査で変わる可能性があります。未公表の原因や被害規模は推測していません。個別の法的判断や報告の要否は、個人情報保護委員会の案内や専門家にご確認ください。
事案の概要
メドレー「@link」：最大787医療機関に影響、従来システムは再稼働せず
メドレーは2026年10月15日、@link・アットリンクアプリおよび周辺サービスで第三者による不正アクセスを確認し、10月14日深夜からサービスを一時停止したと発表しました（10月23日更新）。調査の結果、第三者が2026年9月下旬から10月中旬にかけて、不正に設置したプログラムを通じて同社のデータベースにアクセスし、情報を取得していたことが確認されています。
報道によれば、10月11日に外部の専門機関から情報提供を受けて調査を開始し、対象医療機関は最大787件とされています。侵入経路の技術詳細や漏えい件数は、同社の公表時点では示されていません。
| 項目 | 内容（公表ベース） |
|---|---|
| サービス | 「@link」、患者向け「アットリンクアプリ」等 |
| 把握のきっかけ | 2026年10月11日、外部専門機関からの情報提供（報道） |
| サービス停止／公表 | 10月14日深夜に停止、10月15日公表（10月23日更新） |
| 影響施設数 | 最大787医療機関（報道） |
| 何が起きたか | 9月下旬〜10月中旬、不正プログラム経由でDBから情報取得 |
| 再開方針 | 従来システムは再稼働せず、「@link クラウド β版」で10月22日以降に予約・患者情報・診察カレンダー等を段階再開（報道） |
| 利用料・業績 | 停止期間の利用料は11月中めど返金予定。連結業績への影響は「軽微」（報道） |
漏えいした可能性のある情報については、利用医療機関側の告知で具体化されています。山王病院の第2報（2026年10月24日）では、次の項目が挙げられています。
- 氏名、フリガナ、誕生月日
- 医療機関名、利用登録日、最終来院日
- Web予約のログインID・パスワード
- メールアドレス（登録者のみ）
同院は、カルテや検査結果などの診療内容は含まれていないこと、対象数等は調査継続中であること、今回公表以外の不正ログインによる追加漏えいは確認されていないことも併せて示しています。
エムスリー「MR君」：会員等2.5万人超、製薬企業担当者2,260名
エムスリーは2026年10月15日に第1報を公表し、10月23日の第2報で影響範囲を示しました。2026年10月14日、製薬企業向けサービス「MR君」のシステムで第三者による不正アクセスを確認し、同日中に判明した経路を遮断したとしています。
| 項目 | 内容（第2報） |
|---|---|
| サービス | 製薬企業向けサービス「MR君」 |
| 確認日 | 2026年10月14日 |
| 公表 | 第1報 10月15日、第2報 10月23日 |
| m3.com会員等 | 25,775名（うちメールアドレスを含むのは6名）。氏名、勤務先、一部のメールアドレス、一部サービスの利用情報、製薬企業が登録していた担当関係等 |
| 製薬企業の担当者 | 2,260名（うちメールアドレスを含むのは264名）。氏名、勤務先、一部のメールアドレス等 |
| 含まれない情報 | ログインパスワード、m3ポイント、クレジットカード番号（同社は保持していない） |
| 公開・不正利用 | 漏えい情報が不特定多数に公開された事実や、不正利用された事実は確認されていない（第2報時点） |
| 侵入経路 | 公表せず。技術的原因は調査中。判明している不正取得経路の封じ込めは完了 |
電子カルテへの侵入ではありませんが、医師会員や担当関係情報が漏えいした点は、取引先と共有する名簿の棚卸しを促す材料になります。
同じ時期に続いた委託先・外部接続点の事案
同じ時期、予約SaaS・制作基盤・検査システムなどでも委託先や外部接続点を入口にした漏えい・不正アクセスが公表されています。オンライン診療のリスト型攻撃は「なぜ二要素認証が必要なのか？」、経路全体の優先順位は「情報漏洩時代にクリニックが守るべきセキュリティ対策」を参照してください。
医療機関が受ける影響
公表事実から読み取れる影響は、大きく次の3つです。
1. 業務停止：予約・患者アプリが使えなくなる
@linkの事案では、Web予約やデジタル診察券の表示ができないなど、院内業務への影響が多くの施設で報じられました。電子カルテが動いていても、患者接点のSaaSが止まれば外来運営は大きく揺らぎます。紙の予約台帳、電話受付の増強、当日受付のルールなど、代替手順を平時に決めておく必要がはっきりしました。
2. 個人情報漏えいのおそれ：カルテ以外も報告対象になり得る
山王病院の告知でも示されたとおり、漏えいのおそれがある情報に診療内容が含まれていなくても、氏名・連絡先・予約ログイン情報は個人データです。要配慮個人情報を含む漏えい等では、個人情報保護委員会への報告と本人への通知が問題になります。委託先で起きた場合でも、委託元の医療機関側の対応が求められることがあります（詳細は個人情報漏えい時の報告義務）。
3. 信頼と説明責任：患者・職員への案内
パスワード変更のお願い、不審メール・SMSへの注意、再開までの予約方法の周知など、院長・事務長が自院の窓口文言と連絡体制を先に決めておく必要があります。
今すぐできる医療機関のセキュリティ対策
未公表の侵入原因を推測しても、対策の優先順位は変わりません。厚労省は、近年の医療機関のサイバー被害のほぼ全てが外部ネットワーク接続点の脆弱性を狙ったものだと整理しています。病院調査では二要素認証の導入も約1割にとどまります。クリニック・病院が手をつけやすい順に整理します。
1. 3省2ガイドラインとチェックリストを「自己点検」の軸にする
いわゆる3省2ガイドライン（医療情報システムの安全管理に関するガイドライン）は、規模を問わず安全管理の土台です。第7.0版（令和8年6月）とチェックリスト令和8年度版では、立入検査時に確認し、令和8年度中に項目を「はい」へ寄せることが求められます。二要素認証は、実装済み、または「令和9年度以降の初回更改時に実装予定」であれば「はい」とできる扱いです。
小規模クリニックは全項目を一度に埋めきれません。小規模クリニックのガイドライン対応や3省2ガイドライン チェックリストで、「院外から入れるサービス」「バックアップ」「責任者の明確化」から着手してください。
2. 外部サービス・委託先を一覧化し、責任分界を確認する
今回の一連の事案に共通するのは、自院のサーバではなく、予約・情報連携・制作・MR支援といった外部サービスの側で事象が起きている点です。次を紙1枚でもよいので書き出します。
- サービス名、事業者名、契約の有無、管理者アカウントの持ち主
- 預かっているデータの種類（氏名、連絡先、予約、問診、カルテ連携の有無）
- 二要素認証の有無、ログイン履歴を医療機関が見られるか
- 不正アクセス時の連絡手段、解約時のデータ削除・返還の条項
解約済みの予約システムに旧患者データが残っていた事例（四谷メディカルキューブ／「いつあき」）も報じられています。使っていない委託先ほど、データ削除の完了確認が抜けやすい点に注意してください。確認の聞き方は事業者に確認すべき質問リスト、契約の論点は責任分界点とは？を参照してください。
3. アカウント管理：二要素認証・1人1ID・退職者の停止
院外から入れるサービス（クラウド電子カルテ、Web予約、オンライン診療、メール、保守用リモート接続）では、次を優先します。
- 二要素認証（多要素認証）を有効にする
- 共用IDをやめ、職員ごとにIDを発行する
- 退職・異動の当日にアカウントを停止し、年1回は棚卸しする
- 業務用パスワードを私用サービスと使い回さない
リスト型攻撃のように、正しいID・パスワードで入られる手口では、パスワードを複雑にするだけでは足りません。進め方は多要素認証の導入、権限の現実解はアクセス権限設計と特権ID管理で整理しています。
4. BCP：SaaS停止を前提にした診療継続
自然災害のBCPに加え、予約システムや患者アプリが1週間使えないシナリオを書いてください。最低限、次を決めておきます。
- 紙の予約・当日受付の手順と、誰が判断して切り替えるか
- 患者向け案内（電話・院内掲示・ホームページ）の文案
- 事業者・保守・個人情報保護委員会・警察への連絡先（被害システムの外にも保管）
- バックアップと、電子カルテ等の復旧目標（RTO/RPO）
2026年度診療報酬改定では、電子的診療情報連携体制整備加算などで非常時対応・サイバー対策が施設基準に組み込まれています。サイバーBCPの組み立てはサイバー攻撃を想定したBCP、インシデント時の役割分担は医療機関のインシデント対応計画を参照してください。
今週できる短いチェックリスト
| No. | 確認項目 |
|---|---|
| 1 | 院外から入れるサービス（予約、問診、オンライン診療、クラウドカルテ、メール、保守回線）を一覧にしている |
| 2 | 一覧のサービスで二要素認証を有効にしている（または事業者に必須化を依頼している） |
| 3 | 共用IDを使わず、退職者アカウントを止めている |
| 4 | 主要な委託先に、不正アクセス時の連絡体制とログ提供の可否を確認している |
| 5 | 解約済みサービスに旧データが残っていないか、削除完了を確認している |
| 6 | 予約SaaSが止まったときの電話・紙運用の手順がある |
| 7 | 漏えい時の速報（概ね3〜5日以内）と確報の担当者を決めている |
| 8 | 3省2ガイドライン／チェックリストの未対応項目に期限を付けている |
まとめ
- 2026年10月、メドレーの@link（最大787医療機関に影響）とエムスリーのMR君（会員等25,775名、製薬企業担当者2,260名）で不正アクセスが公表された
- @linkでは予約等の停止と、氏名・予約ログイン情報などの漏えいのおそれが医療機関側からも告知された。カルテが含まれない場合でも、個人データとしての対応が必要になる
- 侵入経路や漏えい件数など未公表の点は推測せず、外部接続点・委託先・アカウント・代替運用という、医療機関が自分で動かせる領域から対策する
- 3省2ガイドラインとチェックリスト、委託先のデータ削除確認、二要素認証と1人1ID、SaaS停止を含むBCPが、いま優先度の高い打ち手である
ポテックでは、医療機関・ヘルスケア企業向けにセキュリティ対策支援を行っています。ISMS（ISO/IEC 27001）の構築・認証取得、3省2ガイドライン対応、リスクアセスメントまで、自院の現状整理から伴走できます。委託先管理やチェックリストの進め方でお悩みの場合は、お問い合わせからご相談ください。
参考・出典
- 株式会社メドレー「アットリンクへの不正アクセスおよびサービスの一時停止に関する最新情報」（2026年10月15日、10月23日更新） https://www.medley.jp/notice/20261015.html
- ITmedia NEWS「メドレーの産婦人科向けシステムに不正アクセス、患者の個人情報漏えいか 最大787の医療機関が対象」（2026年10月15日） https://www.itmedia.co.jp/news/article/2610/15/2000002293/
- ITmedia NEWS「メドレー、不正アクセスで停止中のサービスを作り直して再開へ 従来システムは再稼働させず」（2026年10月20日） https://www.itmedia.co.jp/news/article/2610/20/2000002413/
- 山王病院「アットリンクへの不正アクセスに関するお知らせ（第2報）」（2026年10月24日） https://www.sannoclc.or.jp/hospital/info/2026/10/24/9947
- エムスリー株式会社「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（第2報）」（2026年10月23日） https://assets.ctfassets.net/1pwj74siywcy/TYwLIgktADUIxwA5M6XFE/3bcb64e5e6857ebaf8e5a5a4efd8f25f/20261023_Public_J.pdf
- 日本経済新聞「エムスリー、不正アクセスで個人情報漏えい」（2026年10月15日） https://www.nikkei.com/article/DGXZQOUC15BGA0V11C26A0000000/
- 厚生労働省「病院における医療情報システムのサイバーセキュリティ対策に係る調査」（2026年5月29日） https://www.mhlw.go.jp/content/10808000/001705951.pdf
- 厚生労働省 電子カルテ普及等に関する資料（2026年9月9日、外部接続点に関する記載） https://www.mhlw.go.jp/content/10808000/001748251.pdf
- 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版」（令和8年6月） https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html
- 厚生労働省「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト 令和8年度版」 https://www.mhlw.go.jp/content/10808000/001716185.pdf
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」 https://www.ppc.go.jp/personalinfo/legal/leakAction/