ユミルリンク株式会社（Cuenote FC）のサイバー攻撃被害｜メール配信サービス「Cuenote FC」にライブラリの脆弱性を悪用した不正アクセス、情報漏洩の痕跡は49システム・延べ51,628,280件に拡大（第二報）
AI要約・精査
AI
要約
AI
精査
AI要約
AI精査
ChatGPTによるAI精査
GeminiによるAI精査
速報サイバー攻撃の被害事例最終更新 2026年10月29日
ユミルリンク株式会社（Cuenote FC）メール配信サービス「Cuenote FC」にライブラリの脆弱性を悪用した不正アクセス、情報漏洩の痕跡は49システム・延べ51,628,280件に拡大（第二報）
- サプライチェーン攻撃
- システム脆弱性を狙った攻撃
- 不正アクセス
状況調査中（漏洩件数を調査中のシステムが16、利用企業へ個別に連絡）
被害発生日2026年10月16日
企業名ユミルリンク株式会社
この事例の要点
メール配信サービス「Cuenote FC」を提供するユミルリンクは、自社システムへの不正なアクセスについて第二報を公表し、情報漏洩の痕跡を確認したシステムが第一報の5システムから49システムに増え、漏洩の恐れがある件数は延べ51,628,280件になったと発表しました。49システムはいずれも単一の企業が利用するシステムで、現時点で漏洩件数を調査中のシステムが16あるため、延べ件数は今後増える可能性があります。Cuenote FCには配信先のメールアドレスや氏名などの付属情報、配信記録などが登録・記録されており、漏洩した項目は利用企業ごとに調査が完了し次第報告するとしています。同社は、新たに影響が確認された利用企業へ10月26日12時30分までに個別に連絡しました。
最新の動き
- 2026年10月28日最新 利用企業の公表が続く。サイボウズはユミルリンクから23,392件のメールアドレス等が漏えいしたとの報告を受けたと公表。このほかエイチ・ツー・オー リテイリング（ペルソナ）、アニメイトなども公表。 出典
- 2026年10月27日 利用企業のソースネクストが、ユミルリンクから10月26日に報告を受けたとして、「Cuenote FC」に登録されていたお客様の個人情報（メールアドレス等）が流出した可能性があると公表。対象の件数と項目は確定していないと説明。 出典
- 2026年10月26日 第二報を適時開示で公表。情報漏洩を確認したシステムを、Cuenote FC 49システム（51,628,280件・延べ件数）、Cuenote BASE 1システム（190件）と公表。12時30分までに、新たに影響が確認された42システム（42社）へ連絡。 出典
- 2026年10月25日 21時45分 全システムのログイン・操作記録の遡及調査で、新たに42システムに不正アクセスとデータ出力の記録があることを確認。
- 2026年10月20日 同社のドメインを利用し第三者を騙った迷惑メールへの注意を呼びかけ。件名は「ご利用確認のお願い」「利用内容確認のご依頼」など。 出典
- 2026年10月19日 第一報。5システムで不正アクセスとデータの出力を確認し、メールアドレスを含む情報が延べ約900万件出力されたと試算。同日、警視庁サイバー事案通報窓口と個人情報保護委員会へ届出。 出典
- 2026年10月16日 6時49分 担当者が「システム01」上の自身のアカウントの異常に気付き、調査を開始。10時10分にライブラリの脆弱性による攻撃であることを特定し、不審なIPからのアクセスを遮断。12時00分に「不正アクセス対策本部」を発足。
分かっていること・まだ公表されていないこと
分かっていること
- 攻撃の流れ：プログラムの脆弱性により同社サポート・品質管理担当者のサービスへの認証情報を取得し、不正プログラムを設置してデータベースからデータを出力。その認証情報を用いて他のシステムへの認証を試みていた。その後の解析で、不正プログラムを介した他のシステムのデータの参照と、システムログイン時のセッション情報を取得した不正ログインも確認
- Cuenote FCで不正アクセスが試行されたのは、単一の企業が利用するシステム78、複数の企業が利用するシステム3。情報漏洩の痕跡を確認したのは単一の企業が利用する49システムで、漏洩の恐れがある件数は延べ51,628,280件。複数の企業が利用するシステムでは0件
- 漏洩件数を調査中のシステムが16あり、延べ件数は今後増加する可能性がある
- Cuenote FCに登録・記録される情報
- Cuenote BASE（同社の顧客管理システム）：プログラム脆弱性により、契約者情報190件（企業名、氏名、電話、メールアドレス）が閲覧可能な状態だった
- Cuenote SR-S、Cuenote SMS、Cuenote Auth、Cuenote Survey、Cuenote Push、安否確認サービスには、情報漏洩など影響はない
- 現時点で、漏洩した個人情報が不特定多数に公開された事実と、本事案に起因する個人情報の不正利用等の事実は確認されていない
- 対策として、脆弱性のあるプログラムの修正、サポート・品質管理担当者の認証情報の削除、不正プログラムの検知体制の整備、認証画面・APIへの接続元IP制限を実施
- 警視庁へ通報し、個人情報保護委員会とJIPDECへ報告。IPAへは全容の解明と原因の特定が完了次第、届け出る予定
まだ公表されていないこと
- 調査中の16システムの漏洩件数と、延べ件数の確定値
- 利用企業ごとに漏洩した項目（アドレス帳の登録情報は企業ごとに異なるため、調査が完了し次第報告するとしている）
- 悪用されたライブラリの名称と、攻撃者が最初に侵入した時期
- 影響を受けた利用企業の一覧（一部の利用企業は自社で公表している）
- 業績への影響（現在精査中としている）
事例の概要
| 企業名 | ユミルリンク株式会社 |
|---|---|
| 被害発生日 | 2026年10月16日 |
| 被害の内容 | 2026年10月16日、ユミルリンクの担当者が一部システムで不正アクセスが生じていることを確認。プログラムの脆弱性により同社サポート・品質管理担当者のサービスへの認証情報が取得され、不正プログラムを設置してデータベースからデータが出力されていた。第二報で、メール配信サービス「Cuenote FC」の49システムで情報漏洩が発生し、件数は51,628,280件（延べ件数）、同社の顧客管理システム「Cuenote BASE」では契約者情報190件（企業名、氏名、電話、メールアドレス）が閲覧可能な状態だったと公表 |
| 出典 | ユミルリンク株式会社「当社システムへの不正なアクセスに関するご報告（第二報）」（2026年10月26日・適時開示） |
対策に向けたガーディアンの見解
1メール配信サービスに預けるリストは、配信に使う項目に絞る
Cuenote FCのアドレス帳には、配信先のメールアドレスに加え、差し込みや抽出に使う氏名・都道府県・生年月日などの付属情報が、利用企業ごとに登録されています。今回は49システムで漏洩の痕跡が確認され、項目は企業ごとに調査が続いています。配信で使わない項目は送らない、配信を止めた人や古い名簿は定期的に削除する、といった運用にしておくと、委託先で事故が起きた場合でも自社のお客様への影響を小さくできます。
2委託先の保守用アカウントと、管理画面の接続元を確かめる
公表によると、攻撃者は脆弱性から同社のサポート・品質管理担当者の認証情報を取得し、それを用いて他のシステムへの認証を試みていました。同社は対策として、担当者の認証情報の削除と、操作画面・APIへの接続元IP制限を進めています。SaaSを利用する側も、事業者の保守担当がどの権限で自社の環境に入れるのか、管理画面やAPIに接続元の制限をかけられるのかを確認し、設定できるものは有効にしておくと安心です。
3配信元を装うメールに備え、送信ドメインの認証と案内を用意する
第一報の翌日には、同社のドメインを利用して第三者を騙る迷惑メールが確認されました。配信リストが外に出ると、本物らしい差出人や件名で偽のメールが届くおそれがあります。自社の配信に使うドメインでSPF・DKIM・DMARCを設定し、「メールでパスワードやカード情報を尋ねることはない」という案内をふだんから出しておけば、受け取った人が偽物を見分ける手がかりになるでしょう。
詳しい解説と対策（WEB戦略ラボ）
Cuenote FCの不正アクセス｜49システムに広がった経緯とSaaS利用企業の3つの対策
企業がするべきセキュリティ対策については
サプライチェーン攻撃の起点は中小企業にある
ランサムウェアのカラクリと、ホームページ・メール・ブラウザ「3つの接点」の対策をまとめて解説しています。
対策の解説を読む
SOLUTION
GUARDIANの
サイバーセキュリティ
対策サービス
サイバーセキュリティ
対策サービス
SCAN DOG ライト版
まずは大企業が保有する取引先（中小企業）数千社規模をライト版で一斉に簡易診断し、現状把握しましょう！経済産業省も推進する『サプライチェーン強化に向けたセキュリティ対策評価制度』にも対応した、自己評価・第三者評価をクリアにし、次なる対策「SCSC Dog」で課題を解決していきましょう。
SCSC Dog
診断によって現状把握を終えた取引先（中小企業）には、評価という結果＝課題だけが残ります。その解決策として、同時にご提供するのがSCSC Dogとなります。セキュリティ対策に特化した弊社WEBプラットフォーム上に、取引先（中小企業）ホームページをお預かりしサプライチェーン網をこれまで以上に強固なものへ引き上げます。
SCAN DOG 正規版
WEBプラットフォームとして安全を確保して終わりではありません。SCSC Dogご利用のお客様ホームページには、世界水準で最新鋭の攻撃パターンを網羅した第三者機関による診断サービス「SCAN DOG 正規版」を定期的に受け続けることができ、一時的な対策だけではなく恒久的に保全し続ける環境をご提供します。