メール配信サービス「Cuenote（キューノート）」シリーズを手がけるユミルリンク株式会社は2026年10月19日、主力のメール配信サービス「Cuenote FC」の一部サーバシステムが外部から不正アクセスを受け、個人情報が外部に持ち出されたことを確認したと発表した。対象は専用ASPプラン（事業者が用意したシステムをインターネット経由で利用するプラン）の5システムで、メールアドレスを含む情報が延べ約900万件出力されたと試算している。出力されたデータの詳細は調査中としている。
公式発表で示された侵入の経緯
ユミルリンクの発表によると、10月16日未明に同社の担当者が、一部システムで不正アクセスが生じていることを確認した。アクセス記録を調べたところ、次の4点が判明したという。
- プログラムの脆弱性（セキュリティ上の欠陥）が悪用された
- 同社のサポート・品質管理担当者がサービスへのログインに使う認証情報（ログイン時の本人確認に使う情報）が取得された
- 不正なプログラムが設置され、データベースからデータが出力された
- 取得された担当者の認証情報を使い、ほかのシステムへのログインが試みられた
同社は不正アクセスを確認したサーバを直ちにネットワークから切り離し、脆弱性の修正プログラムの作成と適用、ほかのシステムからの担当者情報の削除などを行った。不正プログラムの検知体制も整え、捜査機関にも届け出た。今後は外部の専門家の協力を得て詳しく調べ、新たな事実が分かった時点で改めて報告するとしている。
影響は「Cuenote FC」専用ASPプランの5システム
不正アクセスとデータの出力が確認されたのは、同社が管理するシステムのうち「Cuenote FC」専用ASPプランの合計5システムである。延べ約900万件という数字は、5システムから出力されたデータの量をもとにした同社の試算で、どの利用企業の、どの情報が含まれるかは明らかにされていない。
「Cuenote FC」は、企業がメールマガジンや会員向けのお知らせを配信するために使うサービスである。報道によると、ユミルリンクは東証グロース上場企業である。配信サービスに利用企業の顧客や会員のメールアドレスが登録されている場合、影響は利用企業の側にも及ぶ可能性がある。
配信基盤を外部に預ける企業が確認しておきたいこと
今回の手口は、脆弱性を足がかりに入り込み、運用担当者の認証情報を手に入れて、データの持ち出しやほかのシステムへの侵入を試みるという流れだった。担当者の認証情報が悪用されると、被害がほかのシステムに広がる可能性がある。サービスを提供する側では、脆弱性への早い対応に加え、サポート用のアカウントの権限を絞り、普段と違うログインやデータの大量出力を見張る仕組みが欠かせない。
メール配信や会員管理を外部のサービスに任せている企業にとっては、自社のシステムが無事でも、委託先の事故で顧客情報が漏えいすることがある。利用中のサービスに自社のどの情報を預けているか、事故が起きたときにどこから連絡が来て、自社の顧客にどう知らせるかを、契約の段階から確かめておきたい。持ち出されたメールアドレスが悪用されると、利用企業になりすましたフィッシングメール（偽サイトへ誘導して情報を盗むメール）の送り先になる恐れもある。
同じ手口に、自社は備えられていますか？