ユミルリンクに不正アクセス｜Cuenote FCの延べ約900万件が流出

ユミルリンクは2026年10月19日、メール配信サービス「Cuenote FC」の専用 ASP プランの一部のサーバへの不正アクセスを公表しました。 5つのシステムから、メールアドレスを含む情報が延べ約900万件持ち出されたと試算しています（ユミルリンクの発表）。 Cuenote FC でメールを配信している会社と、その会社から配信を受けている人に関係します。

公表された内容

• 対象のシステム：メール配信サービス「Cuenote FC」専用 ASP プランの一部のサーバ（合わせて5システム）
• 発覚：2026年10月16日の未明に、同社の担当者が一部のシステムでの不正アクセスを確認したとしています
• 件数：メールアドレスを含む情報が延べ約900万件（2026年10月19日の発表での試算）。持ち出された情報の詳しい中身は調査中です
• 原因：アクセスの記録から、プログラムの脆弱性が悪用され、サポート・品質管理の担当者のサービスの認証情報が取られ、不正なプログラムが置かれてデータベースから情報が出力されたことが分かったとしています。取られた認証情報で、ほかのシステムへのログインも試みられていました
• 二次被害：公表されていません
• 個人情報保護委員会への報告：発表には書かれていません

会社の対応

• 不正アクセスを確認したサーバを、すぐにネットワークから切り離し
• 脆弱性を直すプログラムを作って当て、ほかのシステムから担当者の情報を消すなど、被害が広がるのを防ぐ対策
• 不正なプログラムを見つける仕組みの整備と、捜査機関への届け出
• 外部の専門家と詳しい調査を進め、新しい事実が分かった時点で改めて報告するとしています

中小企業が今日からできること

• 使っている配信サービスと、預けている名簿を確かめる：メールマガジンやお知らせの配信を外のサービスに任せているなら、サービスの名前・プラン・預けている名簿の項目と件数を一覧にする。Cuenote FC を使っている会社は、運営会社からの案内を確かめる
• 配信サービスに預ける項目を絞る：配信に要らない項目（生年月日・住所など）を名簿に入れていないかを見直し、退会した人や長く配信していない人の情報を消す
• 委託先の事故のときの段取りを決めておく：委託先から漏えいの連絡が来たとき、自社の客への知らせ方と、個人情報保護委員会への報告をだれが判断するかを決めておく
• 管理画面のアカウントを見直す：今回は担当者の認証情報が別のシステムに使われている。配信サービスや管理画面のアカウントを人ごとに分け、使っていないアカウントを消し、多要素認証をかける
• 客になりすましメールへの注意を伝える：メールアドレスが漏れると、会社を装うメールが届きやすくなる。「メールでパスワードを聞かない」ことを客に伝えておく