ユミルリンクが提供するメール配信サービス「Cuenote FC」で発生した不正アクセスを巡り、同サービスを利用する企業から情報漏えいに関する発表が相次いでいる。

同社は10月16日に一部システムへの不正アクセスを確認し、19日に第1報を公表した。当初は5システムから約900万件の情報が漏えいしたと推定していたが、その後の調査で被害が拡大。26日の第2報では、不正アクセスの対象が「Cuenote FC」と「Cuenote BASE」の計50システムに上り、Cuenote FCの49システムから延べ5162万8280件の情報が漏えいしたと発表した。

漏えいした情報にはメールアドレスなどが含まれる。16システムについては漏えい件数を調査中であり、今後さらに増加する可能性がある。なお、5162万8280件は延べ件数であり、被害を受けた個人の人数を示すものではない。

JR東海・りそな銀行・サイボウズなどが影響を公表

今回の不正アクセスでは、メール配信サービスを利用していた企業や組織にも影響が及んでいる。

10月28日時点で情報漏えい、またはその可能性を公表している主な企業・サービスは以下の通り。

企業・組織 対象サービス・情報など
JR東海・JR西日本・JR九州 「エクスプレス予約」「スマートEX」のメールアドレス、会員ID、氏名（カタカナ）、会員種別
りそな銀行・埼玉りそな銀行・関西みらい銀行 メール配信先の顧客情報が漏えいした可能性
バンダイナムコエンターテインメント、BANDAI SPIRITS 「THE GUNDAM BASE MEMBERS」のメールアドレス、内部識別子など34万6247件
野村證券 「i-Port」に関するメール配信先の情報が漏えいした可能性
サイボウズ 各種お知らせの配信先メールアドレスなどが漏えいした可能性
NTTPCコミュニケーションズ サービス利用者のメールアドレスなどが漏えい対象に含まれると公表
日本能率協会マネジメントセンター メール配信サービスに登録された一部情報の漏えいを公表。対象項目・件数は確認中
毎日新聞社 ニュースやイベント案内の配信先メールアドレスなどが漏えいした可能性
インプレス メールマガジンの配信先情報が漏えいした可能性
大日本印刷（DNP） 「honto」のメールマガジン登録者の氏名、メールアドレス、内部識別番号が漏えいした可能性
アイスタイル メール配信システムへの不審な外部アクセスの形跡を確認。影響範囲は調査中
バリューコマース メール配信先のアドレス帳データが不正に出力された形跡を確認
アスマーク 顧客・取引先・アンケートモニターのメールアドレス、氏名などが漏えいした可能性
埼玉県 「ぷらっとさいたま -スマート農業導入ナビ-」の登録者669者の氏名、メールアドレスなどが漏えいした可能性
日本能率協会マネジメントセンター 「Cuenote」で取り扱う一部情報が漏えい。対象項目・件数は調査中

※2026年10月28日時点の公表情報に基づく。漏えいが確認されたもの、漏えいの可能性があるもの、不正アクセスの形跡が確認されたものを含む。件数や影響範囲は調査中のものがある。

鉄道関連では、JR東海、JR西日本、JR九州の3社が、「エクスプレス予約」と「スマートEX」の利用者情報が漏えいしたと発表した。対象となる情報は、メールアドレス、会員ID、氏名（カタカナ）、会員種別。クレジットカード情報などが漏えいした可能性はないとしている。

金融関連では、りそな銀行、埼玉りそな銀行、関西みらい銀行が情報漏えいの可能性を公表した。また、野村證券は、金融機関など向けのポートフォリオ管理ツール「i-Port」に関するメール配信先のメールアドレスなどが漏えいした可能性が高いと説明している。一方、i-Portに登録されたポートフォリオなどの情報は漏えいしていないという。

IT関連では、サイボウズが各種お知らせの配信先として登録されたメールアドレスなどについて、漏えいの可能性が高いと発表した。同社によると、kintone、Garoon、サイボウズ Office、メールワイズなどのサービスで預かっているデータへの影響はない。

NTTPCコミュニケーションズも10月27日、同社サービスを利用する一部顧客の情報が漏えいの対象に含まれているとユミルリンクから報告を受けたことを明らかにした。

人材育成支援などを手掛ける日本能率協会マネジメントセンターも10月26日、メール配信サービス「Cuenote」で取り扱う一部情報の漏えいを公表した。同社は20日時点では情報漏えいが確認されていないとの説明を受けていたが、26日にユミルリンクから漏えいの連絡を受けた。対象となる情報の項目や件数については調査を進めている。

ゲーム・エンターテインメント関連では、バンダイナムコエンターテインメントとBANDAI SPIRITSが10月27日、「THE GUNDAM BASE MEMBERS」の利用者情報34万6247件が漏えいしたと発表した。漏えいした情報はメールアドレスとバンダイナムコID管理用の内部識別子で、氏名、住所、購入履歴、ログインパスワード、クレジットカード情報は含まれていないという。

このほか、毎日新聞社やインプレスなどのメディア企業、ECサービス、調査サービスなどにも影響が広がっている。

プログラムの脆弱性を悪用、認証情報を取得して被害拡大

ユミルリンクの調査によると、攻撃者はプログラムの脆弱性を悪用し、同社のサポート・品質管理担当者の認証情報を取得した。その後、不正プログラムを設置し、データベースから情報を出力していたことが確認された。

さらに、取得した認証情報を使って別のシステムへのログインを試みた形跡も確認されている。

同社が不正プログラムやシステムログを解析した結果、第1報以降、新たに45システムで不正なデータ参照やセッション情報の取得、不正ログインなどが判明した。

不正アクセスが確認されたCuenote FCの49システムは、いずれも単一企業向けに提供されているシステムだった。

また、Cuenoteシリーズのポータルである「Cuenote BASE」でも、契約者の企業名、氏名、電話番号、メールアドレスを含む190件の情報が漏えいした。

ユミルリンクは、脆弱性のあるプログラムの修正、認証情報の削除、不正プログラムの検知体制の整備、接続元IPアドレスの制限などの対策を実施したとしている。

ユミルリンクのドメインを悪用した不審メールにも注意

ユミルリンクによると、10月26日時点では、漏えいした個人情報が不特定多数に公開された事実や、今回の事案に起因する個人情報の不正利用は確認されていない。

一方、同社のドメインを悪用し、第三者を装った迷惑メールが複数確認されているという。

具体的には、セゾンカードをかたり、「ご利用確認のお願い」「利用内容確認のご依頼」といった件名で送信されるメールが確認されている。送信元には「info@cuenote.jp」が使われているが、ユミルリンクや正規の企業が送信を指示したものではない。

今回の情報漏えいを受け、影響を公表した企業も、不審なメールに記載されたURLへのアクセスや添付ファイルの開封を控えるよう注意を呼び掛けている。

ユミルリンクは、情報漏えいの対象となる可能性がある顧客企業に個別に連絡しており、外部専門家の協力を得ながら調査を継続している。漏えい件数が確定していないシステムも残っていることから、今後の調査結果や利用企業による追加発表が注目される。