スマートEXやりそな銀行で情報漏えいの公表相次ぐ、メール配信元はユミルリンク
| 項目 | 内容 |
|---|---|
| 発生・公表日 | 不正アクセスの確認: 2026年10月16日6時49分 / 第一報: 10月19日 / 第二報: 10月26日 |
| 対象組織・業界 | ユミルリンク株式会社（東証グロース 4372）／企業・官公庁向けメール配信サービス「Cuenote」シリーズの提供（情報通信・IT） |
| 対象システム | メール配信サービス「Cuenote FC」のうち、1社で使う専用型の49システム（データの出力を確認）。顧客管理システム「Cuenote BASE」 |
| 漏えいのおそれ件数 | Cuenote FC: 延べ51,628,280件（うち16システムは集計中） ／ Cuenote BASE: 契約者情報190件 |
| 対象情報 | 配信先のアドレス帳（メールアドレスと、氏名・生年月日など利用企業ごとの付属情報）、配信記録、登録ページの記録、利用企業の担当者情報 |
| 攻撃手法 | ライブラリの脆弱性を悪用。サポート・品質管理担当者の認証情報とログイン時のセッション情報を取得し、不正なプログラムを設置 |
| 情報源 | ユミルリンク「当社システムへの不正なアクセスに関するご報告（第二報）」（2026年10月26日）・「第一報」（10月19日）、Cuenote 不正アクセスに関するお知らせ、日本経済新聞（10月26日）、ITmedia NEWS（10月20日）、ITmedia NEWS（10月27日）、セキュリティ対策Lab（10月27日）、各社の公表（下表） |
ユミルリンク株式会社は、企業や官公庁がメールを一斉に送るためのサービス「Cuenote」シリーズを提供しています。主力の「Cuenote FC」は、メールマガジンや会員向けのお知らせの配信に使われています。ITmedia NEWSによると、システムの契約数は2,900を超えます。
利用企業は、会員や顧客のメールアドレスを配信先としてCuenote FCに登録します。本文に名前を差し込んだり送り先を絞り込んだりするため、氏名・都道府県・生年月日なども添えられます。どの項目を登録するかは、利用企業ごとに異なります。
利用者が受け取るのは、登録先の企業から届くメールです。そのため、利用者がユミルリンクの名前を目にする機会は少ないはずです。同社は利用企業の一覧を公表しておらず、影響は利用企業それぞれの公表で明らかになっています。委託先が利用企業の名前を出さないのは、アルカディアやIDCフロンティアの件でも同じでした（委託先の被害で影響を受けた企業・自治体の一覧）。
JR東海・JR西日本・JR九州は2026年10月26日、新幹線のネット予約で会員情報が漏えいしたと公表しました。対象は「エクスプレス予約」と「スマートEX」で、会員へのメール配信にCuenote FCを使っていました。翌27日には、りそな銀行など3行も顧客情報が漏えいした可能性を公表しています。
ユミルリンクは10月26日、第二報を公表しました。データの出力を確認したシステムは、第一報の5から49に増えています。漏えいのおそれがある情報は延べ5,162万8,280件で、第一報の延べ約900万件から増えました。
不正アクセスが試みられたのは81システムです。データの出力を確認した49システムは、いずれも1社だけで使うシステムでした。複数の企業で共用するシステムからの出力は、確認されていません。
件数は延べ数です。16システムは件数を集計中で、今後増える可能性があります。ユミルリンクの第一報の詳細は、第一報の記事にまとめています。
- 2026年10月16日6時49分: ユミルリンクの担当者が、自分のアカウントの異常に気付く
- 10月16日10時10分: ライブラリの脆弱性を突いた攻撃と特定し、不審な接続を遮断
- 10月17日: 全システムで、不正なプログラムが置かれていないかの確認を始める
- 10月18日: 攻撃のあったデータセンターの全システムを、予防のため停止
- 10月19日: 第一報を公表（5システム・延べ約900万件）。警視庁に通報
- 10月20日〜23日: 埼玉県・大日本印刷・野村證券などが、影響の可能性を公表
- 10月22日: 全システムのログインと操作の記録を、さかのぼって調べ始める
- 10月25日21時45分: 新たに42システムで、不正アクセスとデータ出力の記録を確認
- 10月26日12時30分: 該当する42社への連絡を終える
- 10月26日: 第二報を公表。JR3社・毎日新聞社・サイボウズなどが公表
- 10月27日: りそな銀行・埼玉りそな銀行・関西みらい銀行が公表
ユミルリンクは、不正アクセスが海外のIPアドレスから行われたと説明しています。脆弱性の修正、担当者アカウントの削除、操作画面とAPIへの接続元の制限を進めています。
10月27日までに、18の企業・団体が状況を公表しています（当サイト調べ）。このうち14は、情報が漏えいした、または漏えいした可能性があると公表しました。鉄道・銀行・証券・新聞・ソフトウェアなど、業種は幅広く分かれています。
対象の情報は、メールアドレスと氏名・会員IDなどが中心です。JR3社・りそな3行・野村證券・大日本印刷は、カード情報や口座情報は含まれないと説明しています。公式発表で件数を示したのは、埼玉県の669者だけです。JR3社の約17万件は、報道で伝えられた数です。
当初の報告から判断が変わった組織もあります。JR3社とサイボウズは当初、影響はないとの報告や回答を受けていました。日本能率協会マネジメントセンターも、20日時点では漏えいは確認されていないと聞いていました。いずれも26日に、漏えいした、または可能性が高いとの連絡を受けています。
多くの組織は、ユミルリンクのサービスでのメール配信を止めました。大日本印刷は、hontoのシステムとメール配信システムの連携を断っています。SBI新生銀行は、同行の環境は対象外としたうえで、ニュース配信などを休止しました。
メール配信の委託先が被害を受けた事案は、10月に入って続いています。アルカディアでは、各地の自治体の防災メールが対象になりました。ブラストメールでは、環境省のメールマガジンの登録者情報が漏えいした可能性があります。IDCフロンティアのクラウドの被害でも、ピーチの予約メールやイズミのメールマガジンの配信環境が対象になっています。
企業・団体ごとの状況
Section titled “企業・団体ごとの状況”名前のリンク先は各組織の公式発表です。※の組織は公式発表を確認できず、報道にリンクしています。「報道では」と書いたもの以外は公式発表の内容で、「公表なし」は公式発表に記載がないことを示します。10月27日時点の公表と報道をもとにしており、網羅的ではありません。
漏えい・漏えいの可能性を公表
Section titled “漏えい・漏えいの可能性を公表”| 企業・団体（サービス） | 公表日 | 公表の内容 | 漏えいのおそれがある情報・件数 |
|---|---|---|---|
| JR東海・JR西日本・JR九州（エクスプレス予約・スマートEX） | 10月26日 | 会員の情報が第三者に閲覧または取得されたと、26日に連絡を受けた。当初は影響はないと報告を受けていた。メール配信サービスの使用を停止 | メールアドレス・会員ID・氏名（カタカナ）・会員種別。対象はCuenote FCで配信したメールの宛先の会員。件数はユミルリンクが確認中。報道では約17万件 |
| りそな銀行・埼玉りそな銀行・関西みらい銀行※ | 10月27日 | 報道では、当初は顧客情報は含まれないと報告を受けていたが、26日に持ち出された可能性が高いと判明 | 報道では、メールアドレスと顧客を識別する記号。口座番号・暗証番号・カード情報は含まない。件数は調査中 |
| 毎日新聞社※（メールマガジンなど） | 10月26日 | 報道では、漏えいした可能性がある。メール配信を停止 | 報道では、ニュースやイベントの案内を受け取る利用者のメールアドレスなど。カード情報は含まない |
| 野村證券※（i-Port） | 10月23日 | 報道では、22日に委託先から報告を受けた。漏えいした可能性がある | 報道では、利用者のメールアドレスなど。ポートフォリオと証券口座の情報は含まない |
| 大日本印刷（honto） | 10月21日 | 19日に報告を受けた。漏えいした可能性がある。hontoとメール配信システムの連携を遮断 | メールマガジンの配信を許諾した客の氏名・メールアドレス・内部の識別番号。件数は調査中 |
| サイボウズ（各種お知らせのメール） | 10月26日 | 20日には対象外と回答を受けていたが、26日に「漏えいした可能性が高い」と連絡を受けた | 配信先のメールアドレスなど。kintoneなどのサービスのデータに影響はない |
| バリューコマース | 10月26日 | 流出した可能性が高いと判明 | 項目・件数は提供元が調査中 |
| アスマーク（アンケート配信など） | 10月26日 | 26日に、外部へ不正に取得された可能性が高いと連絡を受けた | 顧客・取引先の担当者とアンケートモニターの、メールアドレス・氏名を中心とした情報。件数は未確定 |
| 日本能率協会マネジメントセンター | 10月26日 | 20日時点では漏えいは確認されていないと報告を受けていたが、26日に一部が漏えいしたと連絡を受けた。利用を順次停止 | 項目・件数は確認中 |
| 埼玉県（ぷらっとさいたま -スマート農業導入ナビ-） | 10月20日 | サイトの運営を委託した会社が使うメールマガジンシステムが被害を受け、流出した可能性がある | 法人名・担当者名・メールアドレス・業種、個人の氏名・メールアドレス・業種。669者 |
確認中・対象外と公表
Section titled “確認中・対象外と公表”| 企業・団体（サービス） | 公表日 | 公表の内容 | 漏えいのおそれがある情報・件数 |
|---|---|---|---|
| アイスタイル（案内・メールマガジン） | 10月23日 | ユミルリンクから、不審な外部アクセスの形跡を検知したと連絡を受けた。22日から利用を順次停止 | 公表なし。カード情報はこのシステムで扱っていない |
| NTTPCコミュニケーションズ | 10月20日 | 利用者の情報への影響は確認されていないが、可能性は否定できない | 利用者の連絡先メールアドレスなど |
| カクヤス（飲食店向けメールマガジン） | 10月20日（22日更新） | 登録情報が被害の対象に含まれるとの情報は、確認できていない | 漏えいの可能性がある項目として、飲食店名・社名・氏名・メールアドレス |
| SBI新生銀行（ニュース配信など） | 10月26日 | 同行の利用環境は対象外で、漏えいは確認されていない。新規登録とメール配信を休止 | なし |
メールを受け取っている人が気をつけること
Section titled “メールを受け取っている人が気をつけること”ユミルリンクは、同社のドメインを使った迷惑メールが複数届いていると公表しています。セゾンカードを名乗り、件名は「ご利用確認のお願い」「利用内容確認のご依頼」です。送信元は info@cuenote.jp で、同社は詐欺の可能性があると説明しています。
同社は、メール・SMS・電話でパスワードや認証コード、カード情報を尋ねることはないとしています。漏えいした情報を使い、利用企業を装ったメールやSMSが届く可能性にも触れています。
JR3社の対象は、会員全体ではありません。Cuenote FCで配信したメールの宛先になった会員です。3社は例として、販売促進のメールと、熊本地震の影響で発車時刻が変わったことを知らせるメールを挙げています。対象の会員には、メールなどで個別に連絡するとしています。
各組織は、身に覚えのないメールのURLや添付ファイルを開かないよう求めています。報道によると、りそな3行は、銀行を装ったメールのリンクから個人情報を入力しないよう呼びかけています。
本件のように、メール配信の委託先からは、宛先として預けた情報が出ていきます。JR3社は、漏えいしたのはメールアドレス・会員ID・カタカナの氏名・会員種別で、住所やカード情報は対象外と説明しています。大日本印刷も、パスワードや購入履歴はメール配信システムに持たせていませんでした。
配信サービスには、配信と差し込みに使う項目だけを渡します。生年月日や住所などの属性は、絞り込みが終わったら外しておきます。委託先が侵害されても、漏れる項目をメールアドレスと最小限の情報にとどめられます。
Cuenote FCには、配信のたびに宛先のメールアドレスを含む記録が残ります。ファインズの予約システムの件では、利用をやめた事業者の予約データまで漏えいの対象になりました。使い終えた配信先リストや記録も、委託先の側で消すよう求めておきます。
ヤグラの視点 — 「影響なし」の初報で、準備を止めない
Section titled “ヤグラの視点 — 「影響なし」の初報で、準備を止めない”本件で利用企業に「影響なし」と伝えられた時点では、ユミルリンクの調査は途中でした。同社が初めに進めたのは、全システムに不正なプログラムが置かれていないかの確認です。ログインと操作の記録をすべてのシステムでさかのぼり始めたのは、第一報の後でした。新たな42システムは、その3日後に見つかっています。
第二報によると、攻撃者は不正なプログラムを介して、別のシステムのデータも参照していました。ログイン時のセッション情報を盗み、不正にログインもしています。こうして読まれたシステムには、不正なプログラムが置かれていない場合があると考えられます。42システムがプログラムの確認ではなく、記録の調査の後に見つかったのはそのためと推察されます。
委託先のシステムは利用企業の監視の外にあり、「影響なし」はその時点で委託先が調べた範囲での答えです。ファインズの件でも、四谷メディカルキューブが委託先から報告を受けたのは、公表から3週間後の10月16日でした。利用企業が自社の対象を知る時期は、委託先の調査の進み具合で決まります。
そこで「影響なし」の報告を受けた段階でも、委託先に預けている宛先の件数と項目を自社で記録しておきます。告知文と問い合わせ窓口も用意しておけば、判断が覆った当日に公表と個別の連絡を始められます。アスマークは、出力されたデータの項目・件数・証跡をユミルリンクに求めています。こうした情報や調べた記録の範囲を受け取る期限を契約で決めておけば、委託先の最終報告を待たずに対象者を絞り込めます。
- 集計中の16システムの件数と、重複を除いた人数
- 利用企業ごとの対象件数と、漏えいした項目
- 侵入が始まった時期と、悪用された脆弱性の内容
- 新たに影響を公表する企業・団体
- ユミルリンクのドメインや利用企業を名乗る不審メールの発生状況
判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-10-27 | 第一報を公開 |
