メール配信サービス「Cuenote」を提供するユミルリンクは10月26日、不正アクセスについて第二報を開示しました。メール配信サービス「Cuenote FC」で情報漏えいが確認されたシステムは49システムに増え、漏えいの恐れがある件数は延べ51,628,280件になりました。第一報（10月19日）の延べ約900万件から大幅に増えています。
16システムで件数の調査が続いており、延べ件数はさらに増える可能性があります。また、同社のドメインを使い、セゾンカードを名乗る迷惑メールも確認されています。第一報の内容はこちらの記事にまとめています。この記事では、第二報で分かったことを整理します。
第二報のポイント
- Cuenote FCで情報漏えいが発生したシステムは49、漏えいの恐れがある件数は延べ51,628,280件
- 16システムで件数を調査中で、延べ件数はさらに増える可能性がある
- 顧客管理システム「Cuenote BASE」でも、契約者情報190件が閲覧可能な状態だった
- 原因はライブラリ（プログラム）の脆弱性。攻撃者はサポート担当者の認証情報を取得し、ほかのシステムにも不正ログインしていた
- 10月25日に、新たに42システムで不正アクセスとデータ出力の記録を確認
- 同社ドメイン（info@cuenote.jp）を使い、セゾンカードを名乗る迷惑メールが確認されている
サービスごとの影響
| サービス | 概要 | 影響 | 件数・流出した情報 |
|---|---|---|---|
| Cuenote FC | メール配信（一斉送信） | ライブラリの脆弱性により、49システムで情報漏えいが発生 | 51,628,280件（延べ件数） |
| Cuenote BASE | ユミルリンクの顧客管理システム | プログラムの脆弱性により、サービスの契約者情報が閲覧できる状態だった | 190件：企業名、氏名、電話、メールアドレス |
| Cuenote SR-S、SMS、Auth、Survey、Push、安否確認サービス | 個別送信、SMS、認証など | 情報漏えいなどの影響はない | ― |
Cuenote FCには、複数の企業が共同で使うシステムと、1社だけで使うシステムがあります。不正アクセスが試みられたのは、共同利用の3システムと単独利用の78システムです。情報漏えいの痕跡が確認されたのは、すべて単独利用のシステムでした。
| システムの種別 | 不正アクセスが試行されたシステム数 | うち情報漏えいの痕跡を確認 | 漏えいの恐れがある件数（延べ） |
|---|---|---|---|
| 複数企業で利用 | 3 | 0 | 0件 |
| 単一企業で利用 | 78 | 49 | 51,628,280件 |
漏えいの恐れがある情報
Cuenote FCには、次のような情報が登録・記録されます。アドレス帳の項目は利用企業ごとに異なるため、調査が終わり次第報告するとしています。
- アドレス帳：配信先のメールアドレスと、差し込みや抽出に使う氏名、都道府県、生年月日などの付属情報
- 配信記録：一斉送信ごとの通信先サーバーとの通信記録とメールアドレス
- Webアクセス記録：メールマガジンの申し込みページからの登録記録や、マイページでの更新記録
- サービス利用者情報：Cuenoteを使う企業の担当者の氏名、メールアドレス、住所、電話番号
延べ件数は、同じメールアドレスが複数の記録に重複して含まれる可能性があるため、人数とは一致しません（この点は筆者の補足です）。
攻撃の流れと原因
第二報では、攻撃の手順が段階ごとに説明されています。
- Ⅰ．プログラム（ライブラリ）の脆弱性を突いて侵入
- Ⅱ．ユミルリンクのサポート・品質管理担当者の、サービスへの認証情報を取得
- Ⅲ．不正プログラムを設置し、データベースからデータを出力
- Ⅳ．取得した担当者の認証情報で、ほかのシステムへのログインを試行
- Ⅴ．不正プログラムを介して、ほかのシステムのデータを参照
- Ⅵ．ログイン時のセッション情報を取得して、不正にログイン
ユミルリンクは、脆弱性の修正、サポート・品質管理担当者の認証情報の削除、不正プログラムの常時監視体制の整備、操作画面とAPIへの接続元IP制限などを実施したとしています。不正アクセスは海外のIPアドレスからだったことも確認されています。
経緯（主な出来事）
| 日時 | 出来事 |
|---|---|
| 10月16日 6:49 | 担当者が「システム01」での自分のアカウントの異常に気づき、調査を開始 |
| 10月16日 10:10 | ライブラリの脆弱性による攻撃と特定。不審なIPからのアクセスを遮断 |
| 10月16日 20:10 | Cuenote BASEで、脆弱性を使った他ユーザー情報の閲覧記録を確認し停止 |
| 10月17日 12:58 | 攻撃手法を特定。外部のセキュリティ会社に協力を要請 |
| 10月18日 14:15 | 不正アクセスが特定のデータセンターで起きていたため、同データセンターの全システムを予防的に停止 |
| 10月18日 17:00 | IP制限がなかった操作画面とAPIにIP制限を設定 |
| 10月19日 | 警視庁と個人情報保護委員会に届け出。第一報を開示 |
| 10月20日 | 停止していたほかのシステムを順次再開 |
| 10月25日 21:45 | 全システムのログ遡及調査で、新たに42システムで不正アクセスとデータ出力の記録を確認 |
| 10月26日 12:30 | 新たに影響が確認された42社に連絡。第二報を開示 |
セゾンカードを名乗る迷惑メールに注意
ユミルリンクは、同社のドメインを使って第三者を名乗る迷惑メールが複数確認されていると注意を呼びかけています。同社や第三者が送信を指示したものではなく、詐欺の可能性があるとしています。
| 項目 | 確認されている例 |
|---|---|
| 件名 | 「ご利用確認のお願い」「利用内容確認のご依頼」 |
| 送信元 | セゾンカード＜info@cuenote.jp＞、SAISON＜info@cuenote.jp＞ |
セゾンカードを利用している人も、こうした件名のメールが届いたら、リンクを開かず、カード会社の公式アプリやサイトから自分で確認してください。正規の配信基盤のドメインから届くため、送信元だけで本物かどうかを判断するのは難しいといえます（この点は筆者の考えです）。
利用者がやるべきこと
ユミルリンクは、Cuenoteの利用企業とその顧客に向けて、次の対応を求めています。
- Cuenoteのログインパスワードを変更する。同じパスワードを他のサービスで使い回している場合は、そちらも変更する
- 可能であれば二段階認証を設定する
- 同社や関係先を装う偽メールやSMSのURL・添付ファイルを開かない
- 同社がパスワード、認証コード、カード情報を尋ねることはない
Cuenoteでメールマガジンなどを配信している企業の顧客は、自分が対象かどうかを判断しにくい立場です。各社からの個別のお知らせを確認してください（筆者の補足です）。
問い合わせ先
- ユミルリンク 不正アクセス専用お問い合わせ窓口：03-6820-0088（平日9:00〜20:00）
- メール：support@cuenote.ne.jp
公表内容から読み取れること（考察）
ここからは、公式発表をもとにした筆者の考察で、推測を含みます。
今回の被害が広がった要因は、攻撃者がサポート担当者の認証情報を手に入れたことにあると考えられます。運用のために多くの顧客システムへアクセスできる管理用のアカウントは、奪われると一つの侵入口から多数のシステムへ被害が広がります。第二報でサポート・QAアカウントの削除とIP制限が再発防止策の中心になっているのも、そのためでしょう。
また、操作画面やAPIにIP制限が設定されていない環境があったことも明らかになりました。第一報から1週間で、ログの遡及調査により42システムが追加で見つかっています。調査中の16システムが残っていることを踏まえると、件数は今後も更新される可能性が高いと考えます。
メール配信サービスは、多くの企業の顧客リストを預かる立場にあります。この1か月、ブラストメールやCommuneなど、多数の企業が使う外部サービスからの漏えいが続いています。自社が直接攻撃されていなくても、委託先の事故で顧客への説明が必要になる状況が広がっています。
関連記事
【延べ約900万件】ユミルリンクのメール配信サービスに不正アクセス、情報持ち出しを確認（第一報）
honto、委託先ユミルリンクへの不正アクセスでメルマガ登録者の情報漏えいの可能性
まとめ
ユミルリンクの第二報で、Cuenote FCの情報漏えいは49システム、延べ51,628,280件に広がりました。16システムで調査が続いており、件数はさらに増える可能性があります。原因はライブラリの脆弱性で、攻撃者はサポート担当者の認証情報を使って複数のシステムに入り込んでいました。
Cuenoteを使う企業は、ユミルリンクからの連絡とパスワード変更を、利用者は各社からのお知らせを確認してください。セゾンカードを名乗る迷惑メールにも注意しましょう。
出典
出典：ユミルリンク「当社システムへの不正なアクセスに関するご報告（第二報）」（適時開示）（2026年10月26日）
元記事URL：https://www.nikkei.com/nkd/disclosure/tdnr/20261026556277/
コメント