ユミルリンク不正アクセスで5162万件漏えい|自分は対象?やること

結論: メール配信サービス「Cuenote FC」を提供するユミルリンクへの不正アクセスで、延べ5,162万8,280件の情報が漏えいしたと、2026年10月26日に発表されました。自分で契約していなくても、メルマガや会員登録でメールアドレスを預けた企業がこのサービスを使っていれば、対象になりえます。今日やることは、①公式サイトで確認する、②メールのリンクを開かない、③パスワードの使い回しを点検するの3つです。

※この記事は、2026年10月29日時点の公表情報に基づきます。件数や影響を受けた企業は、今後増える可能性があります。

何が起きたのか

ユミルリンクは、企業や自治体向けに、メールやSMSを一斉に送るサービスを提供する会社です。同社の発表によると、経過は次のとおりです。

第2報では、不正アクセスの対象は、メール配信サービス「Cuenote FC」(49システムで漏えい、延べ5,162万8,280件)と、顧客管理システム「Cuenote BASE」(190件)でした。5,162万件は、延べ件数であり、被害を受けた人の数ではありません。

どうやって入られたのか

同社の発表では、攻撃の流れは次のとおりです。

• ライブラリ(部品)の脆弱性を突かれた
• そこから、サポート・品質管理担当者の認証情報を取得された
• 不正プログラムを設置され、データベースからデータを出力された
• 取得した認証情報で、他のシステムにも、ログインを試みられた

同社は、脆弱性の修正、担当者の認証情報の削除、不正プログラムの検知体制の整備、認証画面・APIへの接続元IP制限などを実施したとしています。

ライブラリや脆弱性の基本は、ライブラリとは、脆弱性とはで解説しています。

なぜ「自分のアドレス」が関係するのか

メルマガや、会員向けの「お知らせメール」は、企業が自社で送るとは限りません。メールの配信を、専門の会社に委託していることが多くあります。

つまり、あなたが契約していない会社でも、登録先の企業が使っていれば、そこにアドレスが預けられています。委託先で起きた事案は、「委託先経由の漏えい」と呼ばれます。サプライチェーン攻撃の一種として、取り上げられることもあります。

漏れた情報は、企業ごとに違う

Cuenote FCに登録・記録される情報は、公式発表では次のように説明されています。実際に漏れた項目は、利用企業ごとに異なります。

• 配信先のメールアドレス
• メールに差し込むための、氏名・都道府県・生年月日などの付属情報(企業ごとに異なる)
• 配信の記録(メールアドレスを含む)
• 申し込みページの登録記録など

影響を公表した主な企業(10月28日時点)

報道によると、10月28日時点で、次のような企業・団体が、漏えい、またはその可能性を公表しています。

**上の一覧がすべてではありません。**調査中の企業もあり、今後も増える可能性があります。自分が登録しているサービスの、公式の発表を確認してください。

今日やること:3つ

① 公式サイトで、自分が対象か確認する

登録しているサービス(鉄道の予約、銀行、通販、ニュースサイト、メルマガなど)の、公式サイトのお知らせを確認します。影響のある利用者には、企業から個別に連絡されることがあります。ただし、そのメールのリンクは使わず、公式サイトやアプリを自分で開きます。確認の順番は、自分の個人情報が流出したか確認する方法にまとめています。

② メール・SMSのリンクは開かない

ユミルリンクは、同社のドメイン(cuenote.jp)を使い、セゾンカードをかたる迷惑メールが確認されたと発表しています。

• 件名の例:「ご利用確認のお願い」「利用内容確認のご依頼」
• 送信元の例:「info@cuenote.jp」
• これらは、ユミルリンクや、正規の企業が送信を指示したものではありません

流出のニュースに便乗して、偽のメールやSMSが増えやすい時期です。メールのリンクを開く前に、公式アプリや、ブックマークから、同じ内容を確認する習慣が有効です。見分け方は、フィッシングメールを開かないための仕組みで解説しています。

③ パスワードの使い回しを点検する

今回の発表では、パスワードが含まれないとする企業も多くあります。ただし、企業ごとに異なるため、一律に安心とは言えません。

• 同じメールアドレスとパスワードの組み合わせを、複数のサービスで使っていないか確認する
• 使い回しがあれば、重要なもの(メール、銀行、決済)から、変更する
• 可能なら、二段階認証やパスキーを設定する(二段階認証とパスキー)

パスワードの管理の基本は、パスワード管理の基本をご覧ください。

アドレスを預ける数を減らす工夫

メールアドレスが漏れると、迷惑メールやフィッシングメールが、増えやすくなります。

• 重要なサービス用と、メルマガ・懸賞用で、アドレスを使い分ける(メールアドレスの使い分け)
• 使っていないサービスの登録は、解除しておく
• 迷惑メールの振り分けを、有効にしておく

企業や運営者が、ここから学べること

今回の事案は、自社のシステムが無事でも、委託先で起きると、利用者に影響することを示しています。

最近は、委託先や関連会社を経由した事案が相次いでいます。直近の事案は、相次ぐ不正アクセスとサービス停止や、ニチレイのサプライチェーンリスクも参考にしてください。

まとめ

• ユミルリンクの「Cuenote FC」で、延べ5,162万8,280件が漏えい(10月26日発表。人数ではなく延べ件数。調査中のシステムが残る)
• 原因は、ライブラリの脆弱性と、サポート担当者の認証情報の取得。そこから、不正プログラムの設置と、他システムへの不正ログインの試行が確認されている
• 自分で契約していなくても、登録先の企業が使っていれば、対象になりうる。漏れた項目は、企業ごとに異なる
• 今日やることは、公式サイトで確認、リンクを開かない、パスワードの使い回しを点検の3つ
• cuenote.jp を使った、偽メールに注意する

関連記事:自分の個人情報が流出したか確認する方法、フィッシングメールを開かないための仕組み、パスワード管理の基本、SPF・DKIM・DMARCとは

参考にした情報源

• ユミルリンク「当社システムへの不正なアクセスに関するご報告(第二報)」(2026年10月26日)
• マイナビニュース TECH+「ユミルリンクの不正アクセス、JR・りそな銀行・サイボウズなどに影響 被害企業一覧」(2026年10月28日)