ユミルリンクのメール配信サービスへの不正アクセス（5システム・延べ約900万件流出の可能性）
公表日
メール配信サービス「Cuenote FC」を運営するユミルリンクが、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けたと発表した。メールアドレスを含む情報が、5つのシステムから延べ約900万件出力された可能性がある（同社の試算）。
対象者は？
同社の専用ASPプランのうち、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。とデータ出力が確認された合計5システムに関わる情報が対象。メールアドレスを含む情報とされている。実際に影響を受けた人数やデータの詳細は調査中で、メールアドレス以外の情報が含まれるかどうかは明らかにされていない。個別の顧客企業の管理アカウントが侵害されたと断定するものではない、と報じられている。
同社が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。専用の問い合わせ窓口を設けている（電話 03-6820-0088、平日9時〜20時。メールの回答は平日9時〜19時に順次）。ご利用の企業や自治体から案内が届いていないかも確認してください。
いますぐできること
- 利用している企業や自治体から、今回の件についての案内が届いていないか確認する。
- 心当たりのないメールやSMS、特にリンクや添付ファイルがあるものは開かず、送り主を公式の連絡先で確かめる。
- 自分の情報が対象か知りたいときは、同社の問い合わせ窓口に連絡する。
何が起きたのか
2026年10月16日未明、ユミルリンクの担当者が、一部のシステムへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。に気づいた。調べたところ、プログラムの弱点を利用して、同社のサポート・品質管理担当者のサービス用のログイン情報が盗まれていた。その後、不正なプログラムが置かれ、データベースからデータが外部へ出力されていた。盗まれたログイン情報は、ほかのシステムへのログインにも試みられていた。同社は10月19日に発表し、5つのシステムで、メールアドレスを含む情報が延べ約900万件出力されたと試算している。
なぜ起きたのか・なぜ広がったのか
悪用された弱点の具体的な内容や、攻撃が始まった時期は、第一報では示されていない。5つのシステムに広がった理由も、まだ発表されていない。
いまの状況2026-10-20 時点続報待ち
2026年10月20日時点で、同社は影響を受けたサーバーをネットワークから切り離し、弱点の修正プログラムを適用した。また、担当者のログイン情報を他のシステムから削除し、不正なプログラムを見つける体制を整えた。警察などの捜査機関へも届け出ており、外部の専門家と詳しい調査を進めている。実際に影響を受けた人数やデータの詳細は調査中で、補償や再発防止策は、まだ発表されていない。新しい事実が分かれば、改めて公表するとしている。2026年12月期の業績への影響は精査中。
企業として考えたいこと
自社が預けている顧客リストや従業員の連絡先を、メール配信などの外部サービスが保管している場合、その委託先で問題が起きたとき、誰がいつ自社へ連絡し、自社は顧客へどう案内するか決まっていますか。
技術的な要約
ユミルリンク株式会社は2026年10月19日、同社が運営するメール配信サービス「Cuenote FC」の一部サーバーが外部から不正アクセスを受け、個人情報が外部に持ち出されたと発表した。同社は10月16日未明に不正アクセスを確認しており、アクセス記録の調査で、プログラムの脆弱性に関連してサポート・品質管理担当者のサービス用認証情報が取得され、不正プログラムが設置されてデータベースからデータが出力されていたことが判明した。専用ASPプランのうち合計5システムで不正アクセスとデータ出力が確認され、メールアドレスを含む情報が延べ約900万件出力されたと同社は試算している。実際に影響を受けた人数やデータの詳細は調査中である。同社は該当サーバーをネットワークから切断して脆弱性修正プログラムを適用し、捜査機関への届出を行い、外部専門家と詳細調査を進めている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 公開サーバの脆弱性報道・研究者アクセス記録の確認により、「プログラムの脆弱性により同社のサポート・品質管理担当者のサービスへの認証を取得し、不正プログラムを設置してデータベースからデータを出力している」ことが確認された。具体的な脆弱性、製品・バージョンは第一報では示されていない。
- 脆弱性
- CVE 非公表報道・研究者「プログラムの脆弱性」と表現されており、製品名・バージョン・CVEは第一報では非公表。同社は脆弱性修正プログラムを作成・適用した。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし サービス停止の有無は報道から確認できない。2026年12月期の業績への影響は精査中とされている。
- データ
- おそれ上限 9,000,000確定 —件メール合計5システムでメールアドレスを含む情報が延べ約900万件出力されたと同社が試算。実際に影響を受けた人数やデータの詳細は調査中で、漏えい情報の詳細な内容は明らかにされていない。
- 波及先
- —
- 金銭影響
- 2026年12月期の業績への影響は精査中（金額は未公表）。
- サプライチェーン
- 企業や自治体向けのメール配信サービスの事業者であり、Cunoteシリーズのシステム契約数は2900超と報じられている。ただし今回の発表は個別顧客の管理アカウントが侵害されたと断定するものではない。
時系列
技術解説
攻撃の流れ（公表内容） 事実
ユミルリンクによると、2026年10月16日未明に同社担当者が一部システムへの不正アクセスを確認した。アクセス記録を調べたところ、プログラムの脆弱性を利用して、サポート・品質管理担当者のサービスへの認証が取得されていた。その後、不正プログラムが設置され、データベースからデータが出力されていた。さらに、取得された担当者の認証情報を使って、ほかのシステムへの認証が試みられていたことも確認されている。悪用された脆弱性の具体的な内容や製品・バージョン、侵害が始まった時点は、第一報では示されていない。
数字の読み方：上限と確定 事実
同社は、専用ASPプランのうち合計5システムで不正アクセスとデータ出力を確認し、メールアドレスを含む情報が延べ約900万件出力されたと試算している。この約900万件は同社の試算で、「延べ」の件数である。実際に影響を受けた人数やデータの詳細は調査中とされ、漏えい情報の詳細な内容も明らかにされていない。そのため、流出が確定した件数は現時点では示されておらず、900万件は公表上の上限に近い目安として読む必要がある。また、今回の発表は個別顧客の管理アカウントが侵害されたと断定するものではない、と報じられている。
対応と公表の経過 事実
同社は不正アクセスを確認したサーバーをネットワークから切り離し、脆弱性修正プログラムを作成して適用した。また、担当者の認証情報を他システムから削除し、不正プログラムの検知体制を整備した。捜査機関へ届出を行い、外部専門家の協力で詳細調査を進めている。第一報は10月16日の確認から3日後の10月19日17時05分に適時開示として公表された。不正アクセス専用の問い合わせ窓口も設置された。新たな事実が判明した際は改めて公表する方針で、2026年12月期の業績への影響は精査中とされている。
被害が広がりうる構造（解釈） 解釈
以下は公表された事実から考えた解釈であり、同社の状況を断定するものではない。メール配信サービスは、多くの企業や自治体の宛先リストを預かる性質がある。報道によれば、Cunoteシリーズのシステム契約数は2900を超える。複数の契約システムが同じ運用基盤や運用担当者の認証情報でつながっている場合、一つの認証情報の取得が複数システムに影響しうる。今回は、取得された認証情報で他システムへの認証も試みられていた。5システムにまたがる試算になった背景として、こうした共通の入口があった可能性はあるが、公表内容だけでは確認できない。
対応
- 封じ込め
- 不正アクセスを確認したサーバーをネットワークから切断し、脆弱性修正プログラムを作成・適用した。サポート・品質管理担当者の認証情報を他システムから削除し、不正プログラムの検知体制を整備した。外部専門家の協力を得て調査を進めている。
- 公表の仕方
- 2026年10月19日17時05分に適時開示として第一報を公表。実際の影響人数やデータの詳細は調査中で、新たな事実が判明した際に改めて公表する方針。不正アクセス専用の問い合わせ窓口を設置した。
- 当局対応
- 捜査機関へ届出を実施
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 運用・サポート担当者の認証情報は、侵害されると複数の顧客環境へ波及しうる高権限の資産である | サポート・品質管理用アカウントに多要素認証を必須化し、顧客環境ごとに別の認証情報を発行する。ジャストインタイムの権限付与を導入し、常時の共通権限を持たせない。 |
| 取得された認証情報で他システムへの認証が試みられていた。システム間の認証情報の共有は被害範囲を広げうる | システム間で認証基盤・パスワードを使い回さない。管理系ネットワークを分離し、同一アカウントによる複数システムへの短時間のログイン試行を検知するルールをSIEMに実装する。 |
| 不正プログラムの設置とデータベースからの大量出力が行われていた | Webサーバー配下のファイル改ざん・新規実行ファイルを検知するFIM／EDRを導入する。DBの大量SELECT・エクスポートや外向き通信量にしきい値アラートを設定する。 |
| アクセス記録の調査により、攻撃経路と影響範囲が判明した | 認証ログ、DB監査ログ、Web・プロキシのログを最低12か月分、改ざんされにくい別系統に保管する。人数や項目まで特定できるよう、DBの監査ログ取得を有効にしておく。 |
| 脆弱性の特定と修正を迅速に行える体制が、影響拡大を抑える鍵になる | 自社開発プログラムを含む資産台帳と脆弱性診断の定期実施を整備する。緊急修正のパッチ作成・適用手順と、隔離（ネットワーク切断）の判断基準を事前に決め、訓練しておく。 |
自組織などでの確認項目
- 自組織が委託しているメール配信・SMS配信などのサービスで、自社の顧客リストはどこに保管され、委託先の担当者がどの権限で閲覧できるか、契約書や仕様書で確認できますか。
- 委託先で漏えいが起きた場合に、自組織へ連絡が入る経路と期限、顧客への通知を誰が判断するかは、事前に決まっていますか。
- 自組織のサポート・運用担当者のアカウントに多要素認証は適用されていますか。そのアカウントで複数の環境へ入れる場合、侵害を想定した分離や監視はできていますか。
- 自組織のシステムのDBから大量のデータが出力されたとき、何分以内に検知できますか。検知に必要なログは保存されていますか。
未解明点
- 悪用された「プログラムの脆弱性」の具体的な内容（製品名・バージョン・CVEの有無）と、公開サーバーのどこから侵入されたのか。
- 侵害が始まった時期と、攻撃者が実際にアクセスしていた期間。
- 流出が確定した件数・人数、およびメールアドレス以外にどのような情報が含まれていたか。
- 5システムの契約者（企業・自治体など）の範囲と、各契約者への通知の状況。
- 他システムへの認証の試行は成功したのか。
- 攻撃者の特定の有無と、再発防止策の詳細。
出典
- 1TBS NEWS DIG Powered by JNN（Infoseekニュース配信）2026-10-19報道本文確認済
- 2NHK2026-10-19報道本文確認済
- 3共同通信（Yahoo!ニュース配信）2026-10-19報道本文確認済
- 4INTERNET Watch（Yahoo!ニュース配信）2026-10-20報道本文確認済
- 5セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-19報道本文確認済
- 6ITmedia NEWS2026-10-20報道本文確認済
- 7新潟日報2026-10-19報道本文確認済