ユミルリンク株式会社は2026年10月26日、同社が提供するメール配信サービス「Cuenote FC」などへの不正アクセスについて第2報を公表し、情報漏えいが確認されたシステムが49に拡大したと発表しました。
Cuenote FCで漏えいの恐れがある情報は、現時点で延べ51,628,280件に達しています。
さらに16システムについては漏えい件数を調査中であり、今後の調査によって件数が増加する可能性があります。
第一報の約900万件から延べ5162万件超へ拡大
ユミルリンクは10月19日の第一報で、5システムからメールアドレスを含む情報延べ約900万件が出力されたと発表していました。
その後、不正プログラムやシステムログを解析した結果、新たに45システムへの影響が判明しました。
第2報では、Cuenote FCの49システムで情報漏えいが確認され、漏えいの恐れがある情報は延べ51,628,280件とされています。
この数字は延べ件数であり、同一のメールアドレスや人物が複数回含まれている可能性があります。
脆弱性から認証情報やセッション情報を取得
ユミルリンクによると、攻撃者はプログラムやライブラリの脆弱性を悪用し、同社のサポート・品質管理担当者がサービスへアクセスするための認証情報を取得していました。
さらに、不正プログラムを設置してデータベースからデータを出力したほか、取得した認証情報を利用して他のシステムへの認証を試みていたことも確認されています。
その後の解析では、不正プログラムを介して別のシステムのデータを参照していたことや、システムログイン時のセッション情報を取得し、不正ログインに利用していたことも判明しました。
Cuenote FCで49システムから情報漏えい
Cuenote FCでは、単一企業向けとして提供されている78システムに対して不正アクセスが試行され、このうち49システムで情報漏えいの痕跡が確認されました。
複数企業で共同利用する3システムについては、不正アクセスは試みられたものの、情報漏えいの痕跡は確認されていません。
Cuenote FCには、配信先メールアドレスのほか、利用企業の設定によって氏名、都道府県、生年月日などの付属情報が登録される場合があります。
このほか、メールの配信記録、Web上のメールマガジン申し込み・更新記録、サービスを利用する企業担当者の氏名、メールアドレス、住所、電話番号なども記録されます。
実際にどの情報が漏えいしたかは利用企業やシステムごとに異なるため、現在も調査が続けられています。
Cuenote BASEでは契約者情報190件が閲覧可能な状態
顧客管理システム「Cuenote BASE」では、プログラムの脆弱性により、同社サービスの契約者情報190件が第三者から閲覧可能な状態になっていたことが確認されました。
対象情報には企業名、氏名、電話番号、メールアドレスが含まれています。
一方、「Cuenote SR-S」「Cuenote SMS」「Cuenote Auth」「Cuenote Survey」「Cuenote Push」「安否確認サービス」については、現時点で情報漏えいなどの影響は確認されていません。
10月16日に不正アクセスを確認
ユミルリンクでは10月16日6時49分、担当者が自身のアカウントに異常があることに気付き、調査を開始しました。
同日10時10分にはライブラリの脆弱性を悪用した攻撃であることを特定し、不審なIPアドレスからのアクセスを遮断しています。
その後も複数のシステムで不正プログラムや不正ログインが確認され、対象システムの停止、脆弱性修正、認証情報の削除、接続元IP制限、不正プログラムの常時監視などを実施しました。
10月25日には、新たに42システムで不正アクセスとデータ出力記録が確認され、翌26日には影響が確認された42社への連絡を完了しています。
現時点で情報の公開や不正利用は確認されず
ユミルリンクによると、現時点では漏えいした個人情報が不特定多数に公開された事実や、本件に起因する個人情報の不正利用は確認されていません。
一方で、今回のインシデントと関連して注意すべきメールがすでに確認されています。
「[email protected]」からセゾンカードを装う偽メールを確認
ユミルリンクは、自社ドメインを利用し、第三者を装った迷惑メールが複数確認されているとして注意を呼びかけています。
確認されている例では、件名に「ご利用確認のお願い」「利用内容確認のご依頼」などが使用され、送信元として「セゾンカード<[email protected]>」「SAISON<[email protected]>」などが表示されています。
ユミルリンクは、これらのメールについて同社や正規の第三者が送信を指示したものではなく、詐欺の可能性があるとしています。
一般的に、メールの送信者名やFromアドレスは偽装される可能性があります。今回のように実在企業のドメインが表示されていても、それだけで正規メールとは判断できません。
漏えい情報を利用したフィッシングにも注意
今回漏えいした可能性がある情報には、メールアドレスに加えて、利用企業によっては氏名、住所、電話番号、生年月日などが含まれる可能性があります。
これらの情報が悪用された場合、実際の氏名や登録情報を含んだフィッシングメールやSMSが送られる可能性があります。
「アカウント確認」「パスワード変更」「配信サービスの再認証」「支払い情報の確認」などを理由としてURLへのアクセスを促された場合は注意してください。
ユミルリンクは、メールやSMS、電話などでパスワード、認証コード、クレジットカード情報を直接尋ねることはないとしています。
身に覚えのないメールやSMSに記載されたURLへのアクセスや添付ファイルの開封は避け、必要な場合は利用しているサービスの公式サイトから直接確認してください。
パスワード変更と二段階認証を推奨
ユミルリンクは、サービス利用者に対してログインパスワードの変更を推奨しています。
同じパスワードを他のサービスでも使い回している場合は、そちらについても変更し、可能であれば二段階認証を設定するよう呼びかけています。
同社は警視庁、個人情報保護委員会、JIPDECへ本件を報告しており、IPAについても全容解明と原因特定後に届け出を行う予定です。
漏えい件数は今後さらに増える可能性
第2報で公表された延べ51,628,280件についても、調査は完了していません。
現時点で16システムの漏えい件数が調査中となっているため、今後の調査によって件数や対象となる情報の種類がさらに増える可能性があります。
ユミルリンクから追加の調査結果が公表された場合は、最新情報を確認することが重要です。