ユミルリンク「Cuenote FC」サポート担当者の認証情報を窃取され漏洩

【2026-10-20追記】山陽新聞社は10月20日12時19分の第3報で、ユミルリンクから「当社が利用している環境では情報漏えいは確認されていない」との連絡を受けたと発表した。10月18日午後2時15分頃から止まっているメール配信サービスは復旧に向けて準備中（山陽新聞社 第3報）。山陽新聞社は対象の5システムには含まれていなかったとみられる（考察）。

【2026-10-21】10月20日には、Cuenote FCを使う他の組織も公表した。埼玉県は、スマート農業の情報サイト「ぷらっとさいたま -スマート農業導入ナビ-」を通じて取得した669者（法人は法人名・担当者名・メールアドレス・業種、個人は氏名・メールアドレス・業種）の個人情報が流出した可能性があると発表した。県の委託先のナレッジクライマーが使うメールマガジンシステムがユミルリンクのもので、同社から10月20日に報告を受けた。不正利用は確認されていない（埼玉県）。NTTPCは、各種サービスのメール配信に使うCuenote FCについて、自社の顧客情報への影響は確認できていないが否定もできないとして、連絡先メールアドレス等の漏えいの可能性を公表した（NTTPC）。カクヤスは、飲食店向けメールマガジンに使っていた登録情報（飲食店名・社名・氏名・メールアドレス）が対象に含まれるとの情報は確認できていないとしつつ、注意喚起を始めた（カクヤス）。かたばみも、影響を受けた可能性を否定できないと発表した（かたばみ）。

【2026-10-21追記】大日本印刷（DNP）は10月21日、運営するハイブリッド型総合書店「honto」のメール配信委託先がユミルリンクで、同社のメール配信システムへの不正アクセスにより、同社サーバーに保存されていたhontoの顧客情報が漏えいした可能性があると発表した。10月19日にユミルリンクから報告を受けた。対象はhontoのメールマガジン配信を許諾している顧客の氏名・メールアドレス・システム内部の識別番号で、件数は調査中。パスワード・クレジットカード情報・購入履歴はメール配信システムに保有していない。DNPグループのシステムへの不正アクセスは確認されておらず、hontoと当該メール配信システムの連携は遮断した。二次被害は確認されていない（大日本印刷）。

【2026-10-24追記】「@cosme」を運営するアイスタイルは10月23日、一部のメール配信に使うCuenote FCについて、ユミルリンクから自社の利用環境に不審な外部アクセスの形跡を検知したと10月21日に連絡を受けたと公表した。同社のメール配信システムは10月18日から20日まで停止しており、一定の調査結果が確認できるまでCuenote FCの利用を止める方針で、10月22日から順次停止している。クレジットカード情報は本件システムで扱っておらず、漏えいの恐れはないとしている（アイスタイル）。10月24日朝の時点で、ユミルリンクの公表は10月19日19時05分更新の第一報が最新

【2026-10-27追記】ユミルリンクは10月26日、第二報を公表・適時開示した。その後のログ解析で、新たに45システム（第一報以降に流出を確認したCuenote FC 44システムと、同社の顧客管理システム「Cuenote BASE」1システム）で、(5)不正プログラムを介して他のシステムのデータを参照していたこと、(6)ログイン時のセッション情報を取得して不正ログインしていたことを確認した。攻撃の入口は「ライブラリの脆弱性」と特定した（10月16日10時10分）（Cuenote 第二報、TDnet開示（PDF））。

【2026-10-27追記】第二報の集計では、Cuenote FCで不正アクセスが試行されたのは81システム（複数企業で使うシステム3、単一企業向け78）で、情報漏洩の痕跡を確認したのは単一企業向けの49システム、漏洩の恐れがある件数は延べ51,628,280件。16システムは件数を調査中で、延べ件数は増える可能性がある。アドレス帳の登録項目は利用企業ごとに異なるため、調査完了後に報告するとした。Cuenote BASEでは、同社サービスの契約者情報190件（企業名・氏名・電話・メールアドレス）が閲覧可能な状態だった。SR-S、SMS、Auth、Survey、Push、安否確認サービスには影響はないとしている（同）。

【2026-10-27追記】10月25日21時45分に新たに42システムで不正アクセスとデータ出力の記録を確認し、10月26日12時30分までに該当の42社に連絡した。個別連絡のない利用企業は、現時点で情報漏洩が確認されていない。漏洩した個人情報の公開や不正利用は確認されていないが、同社ドメインを使い、セゾンカード／SAISON＜info@cuenote.jp＞を名乗る「ご利用確認のお願い」「利用内容確認のご依頼」といった迷惑メールが複数確認されているとして注意を呼びかけた。警視庁、個人情報保護委員会、JIPDECに届け出ており、IPAには全容解明と原因特定の後に届け出る予定（同）。

【2026-10-27追記】JR東海・JR西日本・JR九州は10月26日、「エクスプレス予約」「スマートEX」の一部会員のメールアドレス、会員ID、氏名（カタカナ）、会員種別が漏えいしたと発表した。10月16日の時点ではユミルリンクから影響はないと報告されていたが、26日に第三者に閲覧または取得されたと連絡があった。対象はCuenote FCで販売促進のメールや熊本地震による発車時刻変更のお知らせなどを受け取った会員で、件数はユミルリンクが確認中。JR東海のシステムからの漏えいは確認されておらず、メール配信サービスの使用を停止し、同日個人情報保護委員会に報告した（JR東海・JR西日本・JR九州（PDF））。朝日新聞は、3社の発表として会員17万件分の流出と報じた（朝日新聞）。

【2026-10-27夕追記】りそな銀行・埼玉りそな銀行・関西みらい銀行は10月27日、メール配信に使っていたユミルリンクのサービスから、顧客のメールアドレスとメール配信用に付けた管理番号（単独では個人を特定できないもの）が持ち出された可能性が高いと発表した。10月21日にはユミルリンクから顧客データの持ち出しはないと報告されていたが、26日に持ち出された可能性が高いと連絡があった。口座番号、暗証番号、パスワード、カード情報は含まれず、件数は調査中。不正利用は確認されていない。専用の問い合わせ窓口を10月27日から11月20日まで設けた（りそな銀行・埼玉りそな銀行・関西みらい銀行（PDF））。

【2026-10-27夕追記】宣伝会議は10月27日16時、ユミルリンクから10月21日に影響はないと報告されていたが、26日12時28分に「宣伝会議のアドレス帳データが漏えいした可能性がある」との訂正の連絡を受けたと発表した。対象項目はメールアドレス、氏名、勤務先（会社名・部署・役職）、職種、都道府県で、カード情報は含まれない。件数はユミルリンクが確認中で、対象者への個別連絡と個人情報保護委員会への報告を準備している（宣伝会議（PR TIMES））。

【2026-10-31追記】DCMホールディングスは10月30日の第2報で、子会社DCMの共通会員サービス「マイボ」のメール配信に使っていたCuenote FCの環境から、会員753,272人（10月29日時点）の情報が外部に漏えいしたことを確認したと公表した。項目はメールアドレス、会員ID、氏名、性別、生年月、居住都道府県（422人はメールアドレスと会員IDのみ）。10月26日にユミルリンクから漏えいの可能性、10月29日にデータの持ち出しと対象範囲の報告を受けた。10月13日に公表したマイボの会員管理システムへの不正アクセスとは別の事案としている（DCMホールディングス 第2報（PDF））。

【2026-10-31追記】シュッピンは10月30日13時、カメラ専門店「マップカメラ」のメール配信用アドレス帳77,204件（メールアドレス、保有ポイント残高、ポイント有効期限、都道府県名）が不正に取得された可能性があると更新した。10月26日12時28分に可能性が高いとの報告、10月29日12時49分に具体的な報告をユミルリンクから受けた。OneToOneメール（入荷・値下げ通知など）が対象に含まれるとの報告は受けていない（シュッピン 10月30日）。

【2026-10-31追記】サンケイリビング新聞社も10月30日、ユミルリンクから10月20日に「漏えいはない」と連絡を受けた後、10月26日にアドレス帳データの一部が漏えいした可能性を報告されたと公表した。件数と項目は確定していない（サンケイリビング新聞社）。

【2026-11-01追記】アニメイトは10月30日の続報で、ユミルリンクと調べた結果、漏えいの対象を140,443件と特定し、項目はメールアドレスのみだったと公表した。対象は、10月14日〜16日にアニメイト通販からメールマガジンを配信した登録者と、8月17日〜9月17日にポケットドラマCD（ポケドラ）の「アニメイトポイント3,000円分プレゼントキャンペーン」に応募した人。10月28日の第一報で挙げた性別・都道府県・アニメイト会員コード（カード番号）は漏えいしていないと確認し、対象者の範囲とあわせて訂正した。対象者には11月2日から個別にメールで連絡する（アニメイト 10月30日）。

【2026-11-09夕追記】市場調査会社アスマークは11月9日の第二報で、アンケート案内の配信先として登録していたアドレス帳データの一部が2026年10月16日午後に外部へ出力されたと公表した。対象はアンケートモニター2,155名（重複除く、延べ3,048件）と取引先担当者4名で、氏名・メールアドレスのほか、一部は会員ID・調査用ID・アンケートURL・謝礼の支払方法などを含む。パスワード・カード番号・口座情報・住所・回答内容は含まれない。第一報時点では一部データが削除済みで件数を特定できなかったが、ユミルリンクが10月30日に削除済みデータを復元・特定して範囲がわかった。ユミルリンクは管理画面への接続元IPアドレスの制限を実施し、アスマークは利用者全員のパスワードを変更した（アスマーク 第二報）。

【2026-11-11追記】アイスタイル（@cosme）は11月9日の第二報で、ユミルリンクから11月2日に取得されたリスト、11月6日に詳細な調査結果を受け取ったと公表した。2026年10月14日午前5時頃以降のメール配信先の一部約280万人のメールアドレス（取引先を含む）と、10月16日時点のアドレス帳に登録されていた約8,000人のメールアドレス（一部は氏名、取引先は所属会社・部署名等も）が漏えいした。対象者への個別連絡は11月中に終える予定（アイスタイル 第二報）。

【2026-11-11夕追記】ユミルリンクは11月11日に第三報を公表した。ログの突合とデータベース解析で重複などを除いた結果、Cuenote FCの49システムから持ち出された配信先情報は延べ47,864,147件と確定した（第二報の最大試算値は延べ約5,162万件）。項目別の延べ件数は、メールアドレス47,864,147件、会員ID30,500,167件、氏名6,665,055件、性別2,059,658件、生年月日949,217件、電話番号412,794件、郵便番号1,823,551件、都道府県1,212,868件、住所152,868件、ハッシュ化されたパスワード226,158件、会社名98,381件、学校名10,608件、顧客が運用するサービス（2026年2月に閉鎖）の認証情報420,419件。Cuenote BASEの契約者情報は190件のまま。決済情報の流出は確認されていない（Cuenote 第三報）。

【2026-11-11夕追記】第三報は攻撃の手法を2つに整理した。1つ目はプログラムの脆弱性を突いてサーバーに不正プログラムを置き、データベースから直接データを出力したうえ、管理用の内部ネットワークを伝って別のサーバーにも侵入を広げたもの（第一報の5システム）。2つ目は、同じ脆弱性を突いてログイン中の正規利用者のセッション情報を盗み、管理画面に入って通常のCSVダウンロード機能でデータを持ち出したもの（第二報で追加の44システム）。2つ目は正規の管理者操作に見えるため、10月22日からの全システムのログ遡及調査で判明した。横展開の原因は共通の保守・QAアカウントで、10月18日から全基盤で削除を始めた（同）。

【2026-11-11夕追記】経緯も公表した。10月16日6時49分に担当者が運用管理システム上の自分のアカウントの異常に気づき、10時10分に攻撃元IPを遮断、20時46分に起点の脆弱性の修正パッチを全基盤に適用した。17日4時43分に不正プログラムのあるサーバーを停止・隔離し、18日17時に全サービスの操作画面とAPIに接続元IP制限をかけた。再発防止策として、ファイルアクセス処理などの入力値検証の徹底とAIを使ったソースコードレビュー・第三者診断、常設の共有管理者権限の撤廃と多要素認証を前提にしたゲートウェイ経由の最小権限運用、24時間365日の監視を挙げた。フォレンジック調査中の一部の専用ASPシステムとCuenote BASEを除き正常稼働しており、外部機関の報告書を受け取ってから「最終報」を出す。警察に被害届を出し、IPAへの手続きも進めている（同）。