企業・官公庁のメール配信を担うユミルリンクに不正アクセス、延べ5,162万件に拡大

項目	内容
発生・公表日	確認: 2026年10月16日6時49分（同社担当者） / 公表: 2026年10月19日（適時開示・第一報） / 第二報: 10月26日
対象組織・業界	ユミルリンク株式会社（東証グロース 4372） / 企業・官公庁向けメール配信サービス「Cuenote」シリーズの開発・提供（システム契約数2,900超）
攻撃手法	ライブラリの脆弱性を悪用した不正アクセス、不正プログラムの設置、取得したセッション情報での不正ログイン
影響件数	第二報: メールアドレスを含む情報延べ51,628,280件（Cuenote FC 49システム。うち16システムは集計中）、Cuenote BASEの契約者情報190件／第一報: 延べ約900万件（5システム）
情報源	ユミルリンク適時開示「当社システムへの不正なアクセスに関するご報告（第一報）」（2026年10月19日） / 同「第二報」（2026年10月26日） / TBS NEWS DIG（2026年10月19日） / 共同通信（2026年10月19日） / ITmedia NEWS（2026年10月20日）

概要

ユミルリンク株式会社は2026年10月19日、サーバーへの不正アクセスを公表しました。対象は、同社が運営するメール配信サービスの一部のサーバーです。

ユミルリンクは、企業や官公庁がメールを一斉に送るためのサービス「Cuenote」シリーズを提供しています。ITmedia NEWSによると、システム契約数は2,900を超えます。同記事は、対象を主力の「Cuenote FC」の専用ASPプランと報じています。

第一報では、合計5つのシステムで不正アクセスとデータの出力を確認したとしていました。出力された情報は、メールアドレスを含む延べ約900万件と試算しています。どの利用企業の配信先が含まれるかは公表されていません。

同社はアクセス記録から、次の4点を確認したと説明しています。

悪用された脆弱性の内容と、侵入が始まった時期は公表されていません。

10月26日の第二報で、データの出力を確認したシステムは49に増えました。漏えいのおそれがある情報は、延べ5,162万8,280件です。16システムは件数を集計中で、今後増える可能性があります。第二報では、取得したセッション情報で不正にログインしていたことも明らかにしています。

同じ26日以降、JR3社の「スマートEX」やりそな銀行などが、利用企業として影響を公表しています。各社の状況はユミルリンクの利用企業の公表をまとめた記事に一覧にしました。

同社は不正アクセス専用の問い合わせ窓口を設けています。電話は平日9時から20時まで受け付けます。メールは24時間受け付け、平日に順次回答するとしています。

本件のように、盗まれた認証情報は、別のシステムへのログインにも試されることがあります。そこで、保守やサポートに使う認証情報はシステムごとに分けて発行し、担当から外れたシステムの登録はすぐに削除しておきます。こうしておけば、認証情報が1つ盗まれても、被害をそのシステムだけにとどめやすくなります。

メール配信サービスには、利用企業の配信先リストが預けられています。その保管場所は委託先のシステムで、利用企業の監視は届きません。10月にはアルカディアへの不正アクセスで、配信元1社の被害が115の自治体・団体の公表につながりました。本件でも、JR3社やりそな銀行などが影響を公表しています。

そこで、個人情報を預けている委託先を洗い出しておきます。委託先ごとに、預けている情報の項目と件数を一覧にします。そのうえで、漏えいの連絡を受けたときの対応を決めておきます。対象者に誰が連絡するか、委託先の調査を待つ間に配信や連携を止めるか、の2点です。

こうしておけば、委託先から連絡が来た日に、自社の対象者と最初の対応をすぐ決められます。委託先の被害が相次いだ経緯は、委託先でつないだまとめ記事で整理しています。

判明次第、本記事に追記します。

日時	内容
2026-10-20	第一報を公開
2026-10-27	続報を反映（10月26日の第二報: データ出力を確認したシステムが49に増え、延べ5,162万8,280件に。セッション情報を使った不正ログイン、42システムの追加確認）。利用企業の公表をまとめた記事へのリンクを追加