侵入の4段階が、そのまま書いてあった

• メールアドレスを含む情報延べ約900万件が出力された
• 公式が侵入の4段階をそのまま書いている
• 止めたのは3段階目まで進んだ後だった

メール配信サービスを提供するユミルリンクが10月19日、不正アクセスによる情報の持ち出しを公表した。

この10月は発表を何十本も読んできたが、攻撃の過程をここまで段階に分けて書いている例は少ない。学べる内容なので、そこを中心に読む。

公式が書いている4段階

経緯の部分を、そのまま引く。

当該システムのアクセス記録を確認したところ、Ⅰ．プログラムの脆弱性により、Ⅱ．当社サポート・品質管理担当者のサービスへの認証情報を取得していること、Ⅲ．不正プログラムを設置しデータベースからデータを出力していること、Ⅳ．当社サポート・品質管理担当者の認証情報を用い、他のシステムへの認証を試みていることを確認いたしました。

番号を振って整理すると、こうなる。

ⅠからⅡへの移り方

いちばん重要なのがここになる。穴から入ったあと、そこで終わっていない。

脆弱性で入れた範囲は、本来限られているはずだ。ところがそこで担当者の認証情報を手に入れている。

認証情報を持ってしまえば、以降は正規の利用者として動ける。異常に見えなくなる。この構図は日経のクラウドの件と同じで、盗まれたのは鍵になる。

Ⅳが示していること

4段階目は他のシステムへの認証を試みたとなっている。成功したとは書かれていない。試みただ。

つまり1つの認証情報が、他でも通るかを試されている。利用者に「使い回しをやめてください」と言っているのと同じことが、社内の担当者の認証情報で起きている。

対応として、公式は他システムから当該担当者の情報を削除したとしている。

対象は「専用ASPプラン」の5システム

当社が管理するシステムのうち、合計5システムに対して不正アクセスおよびデータの出力がなされたことを確認しております。（中略）メールアドレスを含む情報延べ約900万件が出力されたと試算しております。

対象はCuenote FC 専用ASPプランのうち5システムとされている。

「延べ」と書いてある

数字の読み方として押さえておきたい。延べ約900万件だ。

5つのシステムの合計なので、同じ人のメールアドレスが複数に入っていれば、その分だけ数えられている可能性がある。実際の人数は、これより少なくなりうる。

Eストアーは名寄せ後の概数として出していた。どう数えたかが書いてあるかどうかで、読み方が変わる。

宛先は、顧客企業の先にいる人

この件の構造を整理しておく。

メール配信サービスは、企業がメールを送るために使う道具になる。そこに入っているメールアドレスは、その企業の顧客や会員のものだ。

1. ユミルリンク — サービスの提供元
2. 契約している企業 — サービスを使ってメールを送る側
3. メールを受け取る人 — アドレスの持ち主

3層目の人から見れば、ユミルリンクという会社は知らない。登録したのは2層目の企業になる。

この構図はStudioの件やショップサーブの件と同じになる。自分の情報がどこを経由しているかは、持ち主には見えない。

メールアドレスが出ると何が起きるか

配信サービスから出た場合、特有の問題がある。どの企業の顧客リストに入っていたかが、一緒に分かる可能性だ。

「◯◯をご利用のお客様へ」という形の偽メールは、相手がその企業を使っていると分かっていれば格段に通りやすくなる。

判定は変わらない。届いた連絡のリンクを使わず、自分でサイトを開く。

対応として書かれていること

• 不正アクセスを確認したサーバを直ちにネットワークから切り離した
• 脆弱性の修正プログラムを作成し、適用
• 他システムから担当者の情報を削除
• 不正プログラムの検知体制を整備
• 捜査機関への届出

Ⅰ〜Ⅳの段階それぞれに、対応が割り当てられている。何をやられたかを整理したから、何を塞ぐかが決まるという順番になる。

まだ出ていないもの

• 出力されたデータの詳細 — 調査中
• どの企業のリストが対象か — 公表されていない
• いつから侵入されていたか — 確認したのが10月16日未明とされているだけ

第一報なので、ここから増える可能性も減る可能性もある。

まとめ

• メールアドレスを含む情報延べ約900万件が出力された
• 公式が脆弱性 → 認証情報の取得 → 不正プログラムの設置 → 他システムへの試行と段階を明記
• 入口で終わっていない。そこから権限を取り、持ち出し、横へ広げている
• Ⅳは試みた段階。1つの認証情報が他でも通るか試されている
• 「延べ」なので、実際の人数はこれより少なくなりうる
• アドレスの持ち主はこの会社を知らない。登録したのは契約企業のほう
• どの企業のリストかが分かると、偽メールが通りやすくなる

出典

• ユミルリンク株式会社「当社システムへの不正なアクセスに関するご報告（第一報 2026年10月19日 19:05更新版）」（本件の概要と経緯、侵入の4段階、漏洩した可能性のあるシステムと件数、同社の対応、問い合わせ先）

本記事は2026年10月19日時点で公表されている第一報に基づく。出力されたデータの詳細は調査中とされている。本記事は法的な助言ではない。