メール配信のユミルリンク、漏えいのおそれ延べ5,162万件に。登録した覚えがなくても、あなたのアドレスが入っているかもしれない

• メール配信サービス「Cuenote」のユミルリンクが10月26日、第二報を出した。漏えいのおそれは延べ51,628,280件、データの持ち出しを確認したシステムは49。さらに16システムを調査中で、件数は増える可能性がある
• 入口はライブラリの脆弱性。そこから社内のサポート・品質管理担当者のアカウントの情報を盗られ、ほかのお客さんのシステムにも入られた
• info@cuenote.jpからセゾンカードをかたる迷惑メールが確認されている。差出人が本物のドメインでも、詐欺はありうる

ユミルリンクとは、なぜ件数が多いのか

ユミルリンクは、企業や自治体がメールマガジンやお知らせを一斉に送るためのサービス「Cuenote FC」などを提供している（東証グロース上場）。多くの会社が、会員へのメール配信をここに委託している。

だから漏れたのは、ユミルリンクの会員の情報ではなく、ユミルリンクを使っている会社の、お客さんの情報だ。あなたがユミルリンクを知らなくても、どこかの会社のメルマガに登録していれば、そのアドレスが入っている可能性がある。

実際、埼玉県は10月20日、農業者向けの県のサイトで集めた669者の情報が流出した可能性があると発表した。県はサイトの運営を別の会社に委託し、その会社がメルマガにユミルリンクを使っていた。委託の、さらに先で起きた漏えいだ。

何が漏れた可能性があるのか

Cuenote FCに入っている情報は、使っている会社によって違う。第二報によると、主に次のものだ。

• アドレス帳：配信先のメールアドレスと、差し込みや絞り込みに使う氏名・都道府県・生年月日など。中身は会社ごとに異なり、調査が終わり次第報告するという
• 配信記録、Webアクセス記録（メルマガの申し込みページやマイページでの登録・更新の記録）
• サービスを使う企業の担当者の情報（氏名、メールアドレス、住所、電話番号）

ほかのサービス（個別配信、SMS、認証、アンケート、プッシュ通知、安否確認）は影響なしとしている。

どうやって広がったのか

第二報には、攻撃の流れが番号付きで書かれている。整理するとこうだ。

1. プログラム（ライブラリ）の脆弱性を突かれる。どのライブラリかは公表されていない
2. そこから、同社のサポート・品質管理担当者のアカウントの認証情報を取られる
3. 不正なプログラムを設置し、データベースからデータを出力する
4. 取った担当者のアカウントで、ほかのシステムへのログインを試みる
5. 不正なプログラムを介して、ほかのシステムのデータも参照する
6. ログイン時のセッション情報を取り、不正にログインする

カギは2番と4番だ。サポートのために、同社の担当者のアカウントが、お客さんごとのシステムに置かれていた。1つで盗られると、それを使ってほかのお客さんのシステムにも入れる。

同社は対策として、担当者のアカウントを各システムから削除し、操作画面やAPIに接続元のIP制限がかかっていなかった環境にIP制限をかけた、としている。逆に言えば、それまではどこからでも操作画面に届くシステムがあったということだ。

この構図は、攻撃側がGMOの件で主張している「全部のサーバーに共通の管理用アカウントがあった」という話とよく似ている（GMOの件は攻撃側の主張で、確認されていない）。運営側の便利な共通アカウントは、攻撃者にとっても便利だ。

本物のドメインから届く、偽のメール

第二報によると、同社のドメインを使って第三者をかたる迷惑メールが複数確認されている。例として挙げられているのはこれだ。

• 件名：「ご利用確認のお願い」「利用内容確認のご依頼」
• 差出人：セゾンカード／SAISON <info@cuenote.jp>

同社は、これらは同社や第三者が送らせたものではなく、詐欺の可能性があるとしている。差出人のアドレスが実在する会社のドメインでも、中身が本物とは限らない。配信サービスそのものが悪用されると、迷惑メールの判定もすり抜けやすい（ここは筆者の見方）。

メールを受け取る人がやること

1. 「利用確認」「本人確認」のメールのリンクを開かない。カード会社や銀行からの連絡は、自分でアプリや公式サイトを開いて確かめる
2. メールに名前や生年月日が書いてあっても、本物の証拠にはならない。差し込みに使う情報ごと漏れている可能性がある
3. メルマガに登録したサイトから「委託先で漏えい」の連絡が来たら、そのサイトで使っているパスワードを変える。使い回しているなら、ほかも
4. ユミルリンクは、メールやSMS、電話でパスワード、認証コード、カード情報を尋ねることはないとしている

配信サービスを使う会社がやること

• ユミルリンクからの連絡を確認する。新たに影響が分かった42社には10月26日12時30分までに連絡したという。自社が対象なら、自社のお客さんへの連絡と、自治体なら発表の準備が要る
• 配信サービスの管理画面にIP制限をかける。多くのサービスは設定で選べる
• アドレス帳に入れる項目を絞る。差し込みに使わない生年月日などを入れていないか。持っていなければ漏れない
• 委託先の、さらに先の委託先まで把握する。埼玉県の例のように、漏えいは委託の連鎖の先で起きる

まとめ

• ユミルリンクのCuenote FCで、延べ5,162万件・49システムに漏えいのおそれ。16システムは調査中
• 入口はライブラリの脆弱性、広がった原因は各システムに置かれた社内のサポート用アカウントとIP制限のない操作画面
• info@cuenote.jpからのセゾンカードをかたるメールに注意。本物のドメインでも偽物はある
• 使う会社は、管理画面のIP制限・アドレス帳の項目の絞り込み・委託の連鎖の把握を

出典

• ユミルリンク「当社システムへの不正なアクセスに関するご報告（第二報）」（2026年10月26日、適時開示。件数、攻撃の流れ、経緯、迷惑メールの例、対策、問い合わせ先）
• 埼玉県「ユミルリンク株式会社で発生した不正アクセスに伴う個人情報流出の可能性について」（2026年10月20日。委託の連鎖の例）
• TBS NEWS DIG「ユミルリンク延べ5162万件余りの個人情報漏えいが判明」（2026年10月26日配信）

本記事は2026年10月26日時点の公式発表に基づく。件数は延べ件数で、調査中のシステムがあるため増える可能性がある。GMOの件との比較と、迷惑メールの判定についての記述は筆者の見方である。問い合わせはユミルリンクの不正アクセス専用窓口（03-6820-0088、平日9時〜20時）へ。