ユミルリンク「Cuenote FC」不正アクセス 延べ5,162万件超に漏洩の恐れ

ユミルリンク株式会社は2026年10月19日、メール配信サービス「Cuenote」への不正アクセスを公表しました。10月26日の第二報では、Cuenote FCの49システムでデータの出力が確認され、漏洩の恐れがある件数は延べ51,628,280件と更新しています。第一報の時点では5システム、延べ約900万件としていました。

何が起きたか

10月16日の早朝、担当者アカウントの異常を発見し、調査でライブラリの脆弱性を悪用した攻撃と特定しました。攻撃者はサポート・品質管理担当者の認証情報を取得し、不正プログラムを設置してデータベースからデータを出力していたとしています。10月25日には新たに42システムで不正アクセスとデータ出力の記録が確認され、翌26日までに該当する42社へ連絡しました。

漏えいした情報

件数は延べで、人数ではありません。アドレス帳の具体的な内容は企業ごとに異なるため、調査完了後に報告するとしています。

Cuenote FCで複数企業が利用する3システムには、漏洩の痕跡は確認されていません。SR-S、SMS、Auth、Survey、Push、安否確認のサービスには漏洩などの影響はないとしています。

原因と経緯

原因はプログラム（ライブラリ）の脆弱性です。同社は脆弱性の修正、担当者の認証情報の削除、不正プログラムの検知体制の整備、接続元IPの制限を進めています。

利用者がやること

同社は、関係先を装った偽のメールやSMSへの注意を呼びかけています。「ご利用確認のお願い」などの件名でカード会社を名乗り、送信元が info@cuenote.jp となっている迷惑メールも確認されたとしています。

1. 心当たりのある企業からの案内を確認する

   メールを受け取っているサービスが対象かどうかは、各企業の公式発表で確かめます。メール内のリンクではなく、公式サイトを直接開いてください。

2. 不審なメールやSMSに応じない

   身に覚えのないURLや添付ファイルは開かず、個人情報やパスワードを入力しないでください。同社は、パスワードや認証コード、カード情報を尋ねることは一切ないとしています。

3. 使い回しているパスワードを変える

   Cuenoteを利用している企業の担当者は、パスワードを変更し、同じものを使う他のサービスも変更します。可能なら二段階認証を設定します。

出典

• ユミルリンク株式会社 第二報（2026年10月26日時点）
• Cuenote 第一報（2026年10月19日）