ユミルリンクの不正アクセス 第2報｜延べ約5,163万件、49システムに拡大

メール配信サービス「Cuenote（キューノート）」を提供するユミルリンクは2026年10月26日、不正アクセスについての第二報を出しました。 メールアドレスなどの出力を確認したシステムは「Cuenote FC」の49システムで、漏えいのおそれがある件数は延べ5,162万8,280件になったとしています（ユミルリンクの2026年10月26日の発表）。第一報（10月19日）では5システム・延べ約900万件としていました。 Cuenote FC でメールマガジンなどを配信している会社と、その配信先の人に関係します。

公表された内容

• 何が起きたか：ライブラリの脆弱性を突かれ、サポート・品質管理の担当者の認証情報を取られ、不正なプログラムを置かれてデータベースから情報を出力されたとしています。その後の解析で、不正なプログラムを通じてほかのシステムのデータを参照したことや、ログインのときのセッションの情報を取って不正にログインしたことも分かったとしています
• 件数：不正アクセスが試みられたのは、1社で使うシステム78と、複数の会社で使うシステム3。情報の漏えいの痕跡があったのは1社で使うシステムの49で、延べ5,162万8,280件（2026年10月26日の発表）。うち16システムは件数を調べている途中で、延べ件数は増える可能性があるとしています
• 情報の種類：配信先のメールアドレスと、会社ごとに登録している氏名・都道府県・生年月日などの付属の情報、配信の記録、申し込みページなどの記録、サービスを使う会社の担当者の情報（氏名・メールアドレス・住所・電話番号）。中身は会社ごとに異なり、調査が終わりしだい報告するとしています
• 顧客管理のシステム：同社の顧客管理システム「Cuenote BASE」でも、プログラムの脆弱性で契約者の情報190件（会社名・氏名・電話番号・メールアドレス）が閲覧できる状態だったとしています
• ほかのサービス：Cuenote SR-S・SMS・Auth・Survey・Push・安否確認サービスは、情報の漏えいなどの影響はないとしています
• 二次被害：漏えいした個人情報が広く公開された事実や不正な利用は確認していないとしています。一方で、同社のドメインを使い、ほかの会社を名乗る迷惑メール（例：件名「ご利用確認のお願い」）が複数確認されているとして、注意を呼びかけています
• 対応：サーバーのネットワークからの切り離し、脆弱性の修正、担当者の認証情報の削除、不正なプログラムを見つける仕組みの整備、管理画面と API への接続元の IP の制限
• 届け出：警視庁への通報、個人情報保護委員会と JIPDEC への報告。IPA へは全容の解明と原因の特定のあとに届け出るとしています
• 連絡：19日以降に新たに対象と分かった会社（42社）には、10月26日12時30分までに個別に連絡したとしています。個別の連絡がない会社は、今のところ漏えいを確認していないとしています

経緯

• 2026年10月16日：担当者がシステムの異常に気づき調査を開始。ライブラリの脆弱性による攻撃と特定し、不審な IP からのアクセスを遮断
• 2026年10月17〜18日：ほかのシステムでも不正なプログラムの設置と不正なログインを確認し、該当のシステムを停止。外部のセキュリティ会社に協力を依頼。同じデータセンターの全システムを予防のため停止
• 2026年10月19日：警視庁へ届け出、個人情報保護委員会へ報告。第一報で5システム・延べ約900万件の持ち出しを公表
• 2026年10月20日：止めていたシステムを順に再開。JIPDEC へ届け出
• 2026年10月22日：全システムのログインと操作の記録をさかのぼって調べ始める
• 2026年10月25日：新たに42システムで不正アクセスとデータの出力の記録を確認
• 2026年10月26日：第二報。49システム・延べ5,162万8,280件と公表し、新たに分かった42社に連絡

中小企業が今日からできること

• Cuenote を使っているかと、連絡が来ているかを確かめる：メール配信や安否確認など、マーケティング・総務・情報システムの部署ごとに使っているサービスを確かめ、ユミルリンクからの個別の連絡の有無を担当者に聞く
• 預けている配信先の項目を書き出す：配信先のメールアドレスに加えて、氏名・生年月日・会員番号などの付属の情報を何件預けているかを確かめ、続報で対象と分かったときにすぐ客へ知らせられるようにする
• 委託先の事故のときの報告の手順を決める：配信を任せている会社で漏えいが起きたとき、自社が個人情報保護委員会へ報告するかの判断と、客への知らせ方の担当を決めておく
• 自社を名乗る迷惑メールに備える：配信サービスのドメインから届く不審なメールの例を社内と客に知らせ、自社のメールマガジンでは入力を求めるリンクを送らないことを伝えておく
• 管理画面と API の接続元を絞る：配信サービスの管理画面や API に、社内の IP アドレスからだけつなげる設定や多要素認証があるかを確かめ、使えるものは設定する