TL;DR
- 01何が起きたか
ユミルリンクは 2026 年 10 月 19 日、同社のメール配信サービス Cuenote FC の一部のシステムに不正アクセスがあり、個人情報が外部に持ち出されたと公表した。プログラムの脆弱性からサポート・品質管理担当者の認証情報（ID とパスワードなど）を取られ、不正なプログラムを置かれてデータベースからデータを出力された。専用 ASP プランの 5 システムで、メールアドレスを含む情報が延べ約 900 万件出力されたと試算している。
- 02なぜ見分けられないか
取られたのは、利用企業の担当者ではなく、運営会社の担当者の認証情報だった。攻撃者はその認証情報で、ほかのシステムへの認証も試みていた。ユミルリンクは、ほかのシステムから担当者の情報を削除したと公表している。
- 03欠けていた層
ユミルリンクは 10 月 16 日未明に不正アクセスに気づき、アクセス記録を確認すると、データの出力はすでに行われていた。効かなかったのは、運営会社の担当者の認証を、どの利用企業の依頼の作業かと照合する層である。
何が起きたか
- サービス
- Cuenote FC は、企業や自治体がメールマガジンや案内を一斉に送るためのメール配信サービス。影響があったのは、利用企業ごとに専用のシステムを用意する「専用 ASP プラン」のうち、ユミルリンクが管理する 5 システム（ユミルリンク）。
- 経路
- プログラムの脆弱性により、サポート・品質管理担当者のサービスへの認証情報を取得された。不正なプログラムを設置され、データベースからデータを出力された。担当者の認証情報を用いて、ほかのシステムへの認証も試みられた（ユミルリンク）。
- 公表されていないこと
- どのプログラムの脆弱性か、侵入が始まった日、担当者の人数と権限、多要素認証の有無。データの出力に担当者の認証情報が使われたか、ほかのシステムへの認証が成功したか。5 システムがどの利用企業のものか。
- 出力された情報
- メールアドレスを含む情報、延べ約 900 万件（試算）。重複を除いた人数は公表されていない。利用企業や自治体の公表では、氏名、法人名、業種、システム内部の識別番号を挙げるものがある。
- 利用企業・自治体の公表
- 大日本印刷（honto）は、メールマガジンの配信を許諾した顧客の氏名、メールアドレス、識別番号が漏えいした可能性があるとの報告を受けた。埼玉県は、委託先の会社が使うメールマガジンで 669 者の情報が流出した可能性があるとした。NTTPC は、影響は確認できていないが可能性は否定できないとした。漏えいは確認されなかったと公表したところもある。
- ユミルリンクの対応
- 不正アクセスを確認したサーバを直ちにネットワークから切り離し、脆弱性を直すプログラムを作って適用し、ほかのシステムから担当者の情報を削除した。捜査機関に届け出て、外部の専門家と詳しく調べている。サポートサイトでは、管理画面と API（システム連携の窓口）への接続元 IP アドレスの登録を必須にしたと案内している。
用語メモ
Cuenote FC — ユミルリンクのメール配信サービス。企業や自治体が、会員への案内やメールマガジンを一斉に送るのに使う。「専用 ASP プラン」は、利用企業ごとに専用のシステムを用意する契約の形。
サポート・品質管理担当者 — 運営会社（ユミルリンク）の側で、利用企業のシステムの問い合わせ対応や品質の確認をする担当者。
認証情報 — システムに入るための ID とパスワードなど。取られると、持ち主と同じ権限で使われうる。
止めどころは ④。運営会社の担当者の認証を、どの利用企業の依頼の作業かと照合していれば、依頼の無いシステムへの認証は通らない。ほかのシステムへの認証が成功したかと、③ の出力の経路は公表されていない。
どのプログラムかは非公表。
運営会社の担当者のもの。
5 システム、延べ約 900 万件（試算）。
成功したかは非公表。
時系列 — 公表と対応
- 未明、ユミルリンクの担当者が一部のシステムで不正アクセスを確認する。サーバを直ちにネットワークから切り離す。
- 午後 2 時 15 分ごろから、山陽新聞社のメールによる速報などが配信できなくなる（山陽新聞社）。同社は翌日の第 2 報で、配信業務の委託先であるユミルリンクの件として知らせた。
- ユミルリンクがサポートサイトで告知し、17 時 5 分に適時開示で第一報を出す。19 時 5 分、自社サイトの版に Cuenote FC と専用 ASP プラン 5 システムの記述を足す。
- 埼玉県、NTTPC、各地の自治体などが、利用者への影響を公表する。山形県大江町は同日 11 時、流出は確認されなかったと追記する。
- 大日本印刷が、honto の顧客情報が漏えいした可能性を公表する。
事実はユミルリンクの第一報と、利用企業・自治体の公表（いずれも一次）に拠る。ユミルリンクの第一報は、本文で「持ち出されたことを確認」と書き、見出しでは「漏洩した可能性のあるシステム」と書いている。第一報が「認証情報を用い」と書くのは、ほかのシステムへの認証の試みについてだけで、データの出力については「不正プログラムを設置し」と書いている。10 月 23 日時点で、第二報は出ていない。
公表後の対応
- ユミルリンク: 脆弱性の修正、担当者の認証情報の削除、不正なプログラムを検知する体制の整備を再発防止策に挙げた。管理画面と API で、すべての接続元を許す設定は現時点では受け付けないとした。業績への影響は精査中。
- 利用企業・自治体: 配信を止めて再開したところや、メール配信システムとの連携を切ったところがある。なりすましメールへの注意を呼びかけている。
なぜ止まらなかったか
この事案の失敗は、脆弱性があったことだけではない。取られた運営会社の担当者の認証情報は、どの利用企業のどの依頼のための作業かと結びつかないまま、ほかのシステムへの認証にも使われようとした。
運営会社の担当者の認証情報は、どの利用企業のどの依頼のための作業かと結びつかないまま、ほかのシステムへの認証にも使われようとした。
ここでいう証明は、運営会社の担当者がシステムに入る前に「この利用企業から、この作業の依頼がある」ことを照合し、記録に残すこと。検出は、不正アクセスが起きた後に気づくこと。
認証が試された
検出は働き、ユミルリンクはサーバを切り離し、ほかのシステムから担当者の情報を削除した。ただ、「運営会社の担当者の認証情報を持っている」と「この利用企業から、この作業の依頼がある」は別々の事実で、公表からは、前者を後者と照合する層は見えない。この隔たりが検出と証明の落差であり、構造的な欠落である。
同じ構造は、ConnectWise のアプリ ID（ベンダーの資格情報で、顧客のテナントの操作が通った）にも現れている。069 はアプリが権限を変えた話で、こちらは人の担当者の認証が担当外のシステムへ広がろうとした話である。
対策するには
運営会社の担当者が利用企業のシステムに入るときは、どの利用企業のどの依頼のための作業かと、そのたびに照合する。そうすれば、認証情報を取られても、それだけでは依頼の無いシステムには入れない。検出の代わりではなく、検出の手前に置く層である。
注意したい業界・業務
- 業界自治体・公共
- 行政のお知らせや事業者向けのメールマガジンを、外部の配信サービスで送る自治体。委託先の会社が契約していると、配信先のリストがどこにあり、どのプランで動いているかが自治体から見えにくい。
- 業界調達・サプライチェーン
- 会員や顧客へのメールマガジンを、配信の SaaS に預ける企業。配信のために、氏名や社内の識別番号まで連携していることがある。
- 業務アカウント・権限の管理
- 自社の配信環境に置かれた運営会社の担当者のアカウントと、管理画面・API の接続元の設定の管理。
いまの対策で防げるか
| 対策 | 今回 | 理由 |
|---|---|---|
| 脆弱性の修正 | 一部 | 入口はふさがるが、脆弱性を直すだけでは、認証情報を持つ者に許される操作は変わらない。 |
| 利用企業の多要素認証 | 関係しない | 取られたのは運営会社の担当者の認証情報だった。 |
| 管理画面と API の接続元の制限 | 一部 | 利用企業の側の入口は狭まる。運営会社の担当者の認証まで止まるかは、公表からは分からない。 |
| 不正アクセスの検知 | 一部 | 気づいたのは、アクセス記録の上で出力が起きた後だった。 |
- 担当者の認証を、担当する利用企業と作業に結びつける。担当者の情報を、すべてのシステムに常に置いておかない。今回、ほかのシステムから担当者の情報を削除したのは、この方向の対応にあたる。
- 入るたびに、利用企業の依頼と照合してから通す。問い合わせ番号など、依頼と結びつかない認証は、パスワードが正しくても通さない。通すときも期限を区切る。
- どの依頼で、どの利用企業のシステムに入ったかを残す。運営会社とは別に、利用企業が後から照合できる形、つまり証明として残す。
メール配信など、データを預ける SaaS について、組織で確かめる 3 項目
- 管理画面と API の接続元を自社の IP アドレスに絞り、すべて許す設定のままにしていないか。
- 配信先のリストに、配信に要らない項目（氏名・業種・社内の識別番号など）まで入れていないか。
- 事故のときに、自社が影響を受けたかを運営会社から聞ける取り決めがあるか。
注：サーバに不正なプログラムを置かれ、データベースを直接読まれた場合は、この照合を通らずに出力できる。今回の延べ約 900 万件の出力を、この仕組みで止められたとは言えない。また、担当している利用企業の依頼の範囲の中で悪用されれば通る。データの出力の経路と、ほかのシステムへの認証が成功したかはまだ公表されていない。続報で判明すれば、この Brief を改訂する。
Sources
- 一次・適時開示ユミルリンク「当社システムへの不正なアクセスに関するご報告（第一報）」
- 一次・当事者の公表ユミルリンク「当社システムへの不正なアクセスに関するご報告（第一報 2026年10月19日 19:05更新版）」
- 一次・サポートサイトユミルリンク「Cuenote ASPサービス 不正なアクセスに関するご報告(サービス状況のお知らせ)」
- 一次・利用企業の公表大日本印刷「外部委託先への不正アクセスによるお客様情報漏えいの可能性について」
- 一次・利用企業の公表NTTPC「ユミルリンク株式会社で発生した不正アクセスに伴うメールアドレス等の漏えいの可能性について」
- 一次・自治体の公表埼玉県「ユミルリンク株式会社で発生した不正アクセスに伴う個人情報流出の可能性について」
- 一次・自治体の公表大江町「当町が利用している「大江町登録制メール」配信システム会社への不正アクセス事案の発生について」
- 一次・利用企業の公表山陽新聞社「【山陽新聞デジタル】メール配信サービスの停止（第２報）および委託先における不正アクセスについて」
報道・解析 1 件
- 報道NHK「企業・自治体のメール配信会社に不正アクセス 900万件流出か」