クレジットカード会社のライフカードは2026年10月28日、メール配信に利用しているユミルリンクのサービス「Cuenote FC」で第三者による不正アクセスが発生し、会員の氏名やメールアドレスなど33万9,610契約分の情報が外部に漏えいした可能性があると発表した。ライフカードが管理するカード会員情報システムへの不正アクセスは確認されていないとしている。
案内メールの配信先として預けていた情報が対象
ライフカードは、会員への各種の案内メールを送るために、ユミルリンクが提供する「Cuenote FC」を使っていた。10月26日にユミルリンクから、同社システムへの第三者の不正アクセスにより、ライフカードの顧客情報の一部が外部に漏えいした可能性があるとの連絡を受けたという。発表された内容は次のとおりである。
- 対象契約数：339,610件
- 漏えいした可能性のある情報：氏名、メールアドレス、カード名称、ETCカード番号の一部 等
- ETCカード番号の一部が含まれるのは60件
ライフカードは、影響範囲を確認中だが、漏えいの可能性を踏まえ、注意喚起のために公表したと説明している。現時点で、この件による不正利用などの二次被害は確認されていない。調査の結果、対象と確認された顧客には、必要に応じて個別に連絡するという。
「カード名称」を使った偽メールに注意
漏えいした可能性がある情報に、氏名とメールアドレスに加えて、どのカードを持っているかを示すカード名称が含まれている点は注意が必要である。持っているカードの名前が正しく書かれていると、偽のメールやSMS（携帯電話番号あてに届く短いメッセージ）を本物と思い込むおそれがある。
ライフカードは、同社や関係会社を装った不審なメールやSMSを受け取った場合、記載されたURLにアクセスしない、添付ファイルを開かない、カード番号や暗証番号、パスワードを入力しないよう呼びかけている。
委託先に預けた顧客情報の範囲を把握する
ユミルリンクの「Cuenote FC」への不正アクセスをめぐっては、10月下旬から、金融、交通、メディアなど多くの利用企業が自社の顧客への影響を相次いで公表している。自社のシステムが無事でも、配信や運用を委託した先に顧客情報を預けていれば、そこが情報漏えいの起点になりうる。
委託先ごとに、渡している顧客情報の項目と対象範囲を一覧にしておくこと、配信に必要のない項目は渡さないこと、委託先で問題が起きたときの連絡と公表の手順を決めておくことが、影響の確認と顧客への案内を早める。
同じ手口に、自社は備えられていますか？