ユミルリンク「Cuenote FC」の不正アクセス(2026年10月公表)

概要

公表日

2026年10月19日

検知・発覚

2026年10月16日

最新の公表

2026年10月26日

組織・業種

ユミルリンク「Cuenote FC」(メール配信サービスの専用ASPプラン。利用企業の配信先に波及)(メール配信SaaS / IT・SaaS・SI・BPO)

漏えいした情報・件数

Cuenote FC の49システムで情報漏えいが発生し、延べ51,628,280件(第二報、2026-10-26。当初の第一報は専用ASPプランの5システム・延べ約900万件と試算)。延べ件数で人数ではない。16システムは漏えい件数を調査中で、増える可能性がある。項目は利用企業ごとに異なり、調査完了後に報告するとしている。別に、顧客管理システム Cuenote BASE で契約者情報190件(企業名、氏名、電話、メールアドレス)が閲覧可能な状態だった

業務への影響

不正アクセスを確認したサーバをネットワークから切り離した。2026-10-18 14時15分に、不正アクセスが起きたデータセンターの全システムを予防措置として停止し、10-20 1時から順次再開(第二報)。利用企業の山陽新聞社は10-18から自社のメール配信を停止、ペルソナは10-20に再開後、10-26に再び停止したと公表

業績への影響

2026年12月期の業績への影響は精査中(適時開示)

犯行グループ(企業・当局の認定)

なし(攻撃者は公表されていない)

行政の対応

2026-10-19に警視庁サイバー事案通報窓口へ届出、同日に個人情報保護委員会へ届出、10-20にJIPDECへ届出(第二報。第一報は捜査機関への届出のみ記載)。IPAには全容の解明と原因の特定が完了次第届け出る予定

手口

利用しているSaaS・他社製ソフト委託先・取引先経由

何から手を付けるか迷ったら、無料で初動相談ができます →

経緯

1. 2026年10月16日

   6時49分、ユミルリンクの担当者が自身のアカウントの異常に気付き調査を開始(第二報の経緯。第一報は「未明」)。アクセス記録から、脆弱性を悪用した担当者の認証情報の取得、不正プログラムの設置、データベースからのデータ出力、他システムへの認証の試行が分かった [1]

2. 2026年10月16日

   確認したサーバを直ちにネットワークから切り離した。脆弱性修正プログラムの作成・適用、他システムからの担当者情報の削除などを実施 [1]

3. 2026年10月16日

   10時10分にライブラリの脆弱性による攻撃と特定し、不審なIPからのアクセスを遮断。12時に不正アクセス対策本部を設置。20時46分に脆弱性対策プログラムの適用を完了 [9]

4. 2026年10月18日

   14時15分、不正アクセスが特定のデータセンターで起きていたことから、予防措置として同データセンターの全システムを停止し、対象の顧客に連絡 [9]

5. 2026年10月18日

   利用企業の山陽新聞社が、14時15分ごろから自社のメール配信サービスを停止(同社の第3報による。停止の理由と本件の関係は第3報では示されていない) [8]

6. 2026年10月19日

   警視庁サイバー事案通報窓口と個人情報保護委員会に届け出た(第二報の経緯) [9]

7. 2026年10月19日

   適時開示とCuenoteのお知らせで第一報を公表。5システムで不正アクセスとデータ出力を確認し、延べ約900万件と試算。業績への影響は精査中。捜査機関へ届出 [2]

8. 2026年10月19日

   19時5分、お知らせを更新。影響のあるシステムが「Cuenote FC 専用ASPプランのうち、合計5システム」であることを追記 [1]

9. 2026年10月20日

   ITmedia NEWS、Security NEXT、INTERNET Watch が報道 [3]

10. 2026年10月20日

    NTTPCが、Cuenote FC を使う自社サービスの利用者向けに注意喚起を公表 [6]

11. 2026年10月20日

    埼玉県が、委託先経由で669者の個人情報が流出した可能性があると発表 [7]

12. 2026年10月22日

    全システムのログインと操作の記録をさかのぼって調べ始めた [9]

13. 2026年10月25日

    21時45分、新たに42システムで不正アクセスとデータ出力の記録を確認 [9]

14. 2026年10月26日

    第二報。情報漏えいが発生したCuenote FCは49システム、延べ51,628,280件(16システムは件数を調査中)。新たに影響が確認された42社には12時30分までに連絡したとした [9]

15. 2026年10月28日

    ペルソナとエイチ・ツー・オー リテイリングが、メールマガジン等の登録者のメールアドレス28,052件が対象と報告を受けたと公表。10月28日に個人情報保護委員会へ報告 [11]

侵入経路と原因

ユミルリンクによると、2026年10月16日6時49分、担当者が一部のシステムで自身のアカウントの異常に気付き、調査を始めました(第一報では「未明」と発表)。アクセス記録を調べ、次の4点を確認したとしています。

1つ目は、プログラムの脆弱性(ぜいじゃくせい。ソフトウェアの弱点)が悪用されたことです。2つ目は、それによりサポート・品質管理担当者のサービスへの認証情報が取得されたことです。3つ目は、不正なプログラムが設置され、データベースからデータが出力されたことです。4つ目は、同じ担当者の認証情報で、他のシステムへの認証が試みられたことです。

10月26日の第二報では、Cuenote FC の漏えいは「ライブラリの脆弱性」によるものと説明しました。不正なプログラムやシステムログを解析した結果、不正なプログラムを通じて他のシステムのデータを参照していたことと、システムにログインするときのセッション情報を取得して不正にログインしていたことも分かったとしています。

第二報によると、不正アクセスは特定のデータセンターで起きていて、接続元は海外のIPアドレスでした。脆弱性の具体的な内容、不正アクセスが始まった時期、攻撃者は公表されていません。会社は外部専門家の協力を得て、詳細な調査を進めるとしています(2026年10月30日時点)。

影響

第一報では、Cuenote FC の専用ASPプランのうち5システムで不正アクセスとデータの出力を確認し、メールアドレスを含む情報が延べ約900万件出力されたと試算していました。

10月26日の第二報で、範囲は大きく広がりました。不正アクセスが試みられたのは、単一の企業が使う78システムと、複数の企業が使う3システムです。このうち単一企業向けの49システムで情報漏えいの痕跡を確認し、漏えいの恐れがある件数は延べ51,628,280件としています。複数企業向けの3システムでは漏えいは確認されていません。

延べ件数なので、人数とは一致しません。16システムは件数を調査中で、延べ件数はさらに増える可能性があります。Cuenote FC には、配信先のメールアドレスと氏名・都道府県・生年月日などの付属情報(アドレス帳)、配信記録、メールマガジンの登録ページなどの記録、利用企業の担当者の情報が登録されています。どの項目が漏れたかは企業ごとに異なり、調査が終わり次第報告するとしています。

顧客管理システムの Cuenote BASE では、プログラムの脆弱性により、契約者の情報190件(企業名、氏名、電話、メールアドレス)が閲覧できる状態でした。Cuenote SR-S、SMS、Auth、Survey、Push、安否確認サービスには影響はないとしています。漏えいした情報が公開された事実や不正に使われた事実は、10月26日時点で確認されていないとしています。

利用する側への波及も公表されています。NTTPCは、各種サービスのメール配信にCuenote FCを使っており、10月19日にユミルリンクから報告を受けたと公表しました。利用者の情報への影響は確認できていないが、否定もできないとして、連絡先メールアドレス等について注意喚起しています。

埼玉県は、スマート農業の情報サイトの運営を委託するナレッジクライマーが、ユミルリンクの運営するメールマガジンシステムを使っていたと発表しました。669者の個人情報(法人名・担当者名・メールアドレス・業種、個人は氏名・メールアドレス・業種)が流出した可能性があるとしています。県から委託先、委託先からユミルリンクへと、委託が2段になっている例です。

阪急百貨店・阪神百貨店のカードを発行するペルソナ(エイチ・ツー・オー リテイリングの子会社)は10月28日、ニュースやイベントの案内を受け取っている人のメールアドレス28,052件(2024年11月〜2026年2月の入会者の一部)が対象と報告を受けたと公表しました。10月20日に「情報漏えいは確認されていない」との連絡を受けて配信を再開しましたが、10月26日に「一部データが外部に不正取得された可能性が高い」と連絡を受け、再び止めています。

山陽新聞社は、ユミルリンクから「当社が利用している環境では情報漏えいは確認されていない」と連絡を受けたと公表しました(10月20日)。同社は10月20日時点で、ニュース速報などのメール配信サービスを10月18日から止めているとしていました。業績への影響について、ユミルリンクは2026年12月期への影響を精査中としています。

会社の対応と再発防止策

ユミルリンクは、不正アクセスを確認したサーバを直ちにネットワークから切り離しました。脆弱性を修正するプログラムを作って適用し、他のシステムからサポート・品質管理担当者の情報を削除するなど、被害の拡大を防ぐ対策を取ったとしています。

第二報によると、10月18日には、不正アクセスが起きていたデータセンターの全システムを予防措置として止め、対象の顧客に連絡しました。操作画面とAPIに接続元のIP制限がない環境にはIP制限をかけ、不正なプログラムの設置を常に監視する体制を作ったとしています。止めていたシステムは10月20日1時から順次再開しました。

10月22日からは全システムのログインと操作の記録をさかのぼって調べ、10月25日に新たに42システムで不正アクセスとデータ出力の記録を見つけました。影響が確認された42社には、10月26日12時30分までに連絡したとしています。個別の連絡がない利用企業は、現時点で情報漏えいが確認されていないとしています。

届出は、10月19日に警視庁と個人情報保護委員会、10月20日にJIPDEC(日本情報経済社会推進協会)に行いました(第二報)。IPAには、全容の解明と原因の特定が終わり次第届け出るとしています。会社のドメインを使って第三者を装う迷惑メールが確認されているとして、注意も呼びかけています。

利用者には、Cuenote のログインパスワードの変更、同じパスワードを使っている他社サービスのパスワード変更、二段階認証の設定を勧めています。問い合わせは、不正アクセス専用の窓口(電話 03-6820-0088、平日9時〜20時。メール support@cuenote.ne.jp)で受け付けています。会社は、新たな事実が分かった時点で改めて報告するとしています。続報が出たら、このページを更新します。

この事案から学べること

• 攻撃者は、提供会社のサポート・品質管理担当者の認証情報を使い、他のシステムへの認証も試みました。会社は対策として、他のシステムから担当者情報を削除しています。運用担当者の認証情報がどこまで使えるかは、提供会社を選ぶときの確認点になります。
• メール配信のように個人データを預けるサービスでは、自社に落ち度がなくても委託先の事故で漏えいが起きます。どのサービスに、どの配信先リストを、いつから預けているかを一覧にしておく必要があります。
• 埼玉県の例では、県から運営会社、運営会社からユミルリンクへと委託が2段になっていました。再委託先で起きた事故も、委託元が自分の利用者へ説明することになります。
• 同じ提供会社の利用者でも、影響は未確認のまま注意喚起を出した会社、流出の可能性を公表した自治体、漏えいは未確認と公表した会社に分かれました。ペルソナのように、最初は「漏えいは確認されていない」と連絡を受け、後の調査で対象になった例もあります。連絡を受けたときに、公表と通知を誰がどう判断するかを決めておく必要があります。

自社で確認すること

1. 1 メール配信・フォーム・アンケートなど、顧客の連絡先を預けている外部サービスと、預けている項目を一覧にしていますか?
2. 2 委託先や再委託先で事故が起きたとき、いつまでに誰へ連絡が来るか、契約や約款で確認していますか?
3. 3 委託先から漏えいのおそれの連絡を受けたとき、個人情報保護委員会への報告(速報は概ね3〜5日以内)と本人への通知を誰が判断するか決まっていますか?

経営者・情シスが今週確認する10項目を見る →

同じ手口の事案

関連する事案

• 2026年8月1日 ・ Eストアー EC構築サービスに不正プログラム。最終報で約2,335万6,000人・7,858店が対象(当初は延べ885万件と発表)
• 2026年10月5日 ・ 大和証券 問い合わせ管理の委託先に不正アクセス。顧客約11万名分
• 2026年10月13日 ・ SpeeCAN RAIDEN 自治体の防災メールなどに使う配信サービスに不正アクセス。メールアドレス最大約313万6千件が漏えいした可能性
• 2026年10月15日 ・ メドレー 医療機関向けの業務支援システムに不正アクセス。最大787の医療機関で患者などの個人情報が漏えいした可能性

よくあるご質問

自分のメールアドレスが対象かどうか、どうすれば分かりますか?

2026年10月30日時点で、対象の利用企業の名前と、漏えいしたデータの項目は公表されていません。ユミルリンクは、影響が確認された利用企業に個別に連絡したとしています。メールを受け取っている会社や自治体が、自社の利用者向けに個別に公表する例が出ています(NTTPC、埼玉県、山陽新聞社、ペルソナなど)。心当たりのある配信元の公表を確認し、不明点はユミルリンクの不正アクセス専用窓口(03-6820-0088)か配信元に問い合わせてください。

約900万件は900万人分ということですか?

いいえ。第一報の「延べ約900万件」は重複を含む延べ件数で、人数とは一致しません。10月26日の第二報で、延べ件数は51,628,280件に増えました。こちらも延べ件数で、16システムは調査中のため、さらに増える可能性があります(2026年10月30日時点)。

Cuenote FC で配信している会社は、何をすればよいですか?

まず、ユミルリンクから自社のシステムが対象かどうかの連絡が来ているかを確認します。そのうえで、預けている配信先リストの項目を洗い出し、利用者への注意喚起や通知の要否を判断します。NTTPCのように、影響が確認できていない段階で注意喚起を出した例もあります。

個人情報保護委員会への報告は誰がしますか?

ユミルリンクは10月26日の第二報で、10月19日に個人情報保護委員会へ届け出たと公表しました(第一報には捜査機関への届出だけが書かれていました)。利用企業の側でも、ペルソナが10月28日に報告したと公表しています。個人データの取り扱いを委託している場合、漏えい等の報告は原則として委託元と委託先の双方の義務で、委託先が委託元に通知すれば委託先の義務は免除されます。自社の対応は、ユミルリンクからの通知の内容と、個人情報保護委員会のガイドラインに沿って確認してください。

侵入の原因は何ですか?

ユミルリンクは、プログラムの脆弱性を悪用されてサポート・品質管理担当者の認証情報を取得され、不正なプログラムを設置されたと公表しています。第二報では、Cuenote FC の漏えいは「ライブラリの脆弱性」によるもので、ログイン時のセッション情報を取った不正ログインもあったとしました。脆弱性の具体的な内容と、不正アクセスが始まった時期は公表されていません。

出典

1. 当社システムへの不正なアクセスに関するご報告(第一報 2026年10月19日 19:05更新版) ↗ (ユミルリンク株式会社、2026-10-19)
2. 当社システムへの不正なアクセスに関するご報告(第一報) ↗ (ユミルリンク株式会社(適時開示)、2026-10-19)
3. メール配信のユミルリンクに不正アクセス メアドなど約900万件漏えいか ↗ (ITmedia NEWS、2026-10-20)
4. 複数システムに不正アクセス、個人情報が流出 - ユミルリンク ↗ (Security NEXT、2026-10-20)
5. ユミルリンク、管理する5つのシステムに不正アクセス。メールアドレスを含む約900万件が漏えいと試算 ↗ (INTERNET Watch、2026-10-20)
6. ユミルリンク株式会社で発生した不正アクセスに伴うメールアドレス等の漏えいの可能性について ↗ (NTTPCコミュニケーションズ株式会社、2026-10-20)
7. ユミルリンク株式会社で発生した不正アクセスに伴う個人情報流出の可能性について ↗ (埼玉県、2026-10-20)
8. メール配信サービスの停止および委託先における不正アクセスについて(第3報) ↗ (山陽新聞社、2026-10-20)
9. 当社システムへの不正なアクセスに関するご報告(第二報) ↗ (ユミルリンク株式会社、2026-10-26)
10. 当社システムへの不正なアクセスに関するご報告(第二報)(適時開示) ↗ (ユミルリンク株式会社(適時開示)、2026-10-26)
11. ユミルリンク株式会社で発生した不正アクセスに伴うメールアドレス等の漏えいについて ↗ (株式会社ペルソナ・エイチ・ツー・オー リテイリング株式会社、2026-10-28)