本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]
ユミルリンクは2026年11月11日、不正アクセスに関する第三報を公表し、メール配信サービス「Cuenote FC」から配信先情報延べ4786万4147件が流出したと発表した。第二報で示した最大約5162万件を精査した結果で、被害は専用ASPの一部に当たる49システムで確認されている。
49システムから情報流出、認証情報やパスワードも対象
同社によると、流出した情報はメールアドレス4786万4147件、会員ID3050万167件、氏名666万5055件など。ハッシュ化されたパスワード22万6158件や、2026年2月に閉鎖した顧客運用サービスの認証情報42万419件も含まれる。49は被害企業数ではなくシステム数で、流出件数も被害者の実人数ではなく延べ件数を示している。
第二報では調査中のシステムを含む最大試算値を示していたが、ログとデータベースの解析を進め、実際に出力されたレコードを特定。重複計上などを除外して件数を更新した。
第三報では攻撃手法も公表された。プログラムの脆弱性を突いて内部へ侵入する手法に加え、正規利用者のセッション情報を盗み、管理画面のCSV出力機能からデータを持ち出す手法が確認されたという。
また、顧客管理システム「Cuenote BASE」では契約者情報190件が閲覧可能な状態だった。同社は、外部専門機関の調査対象となるCuenote FCの一部システムとCuenote BASEを除き、各サービスは正常に稼働していると説明。外部専門機関による最終調査結果を受け、改めて最終報告を行う予定だ。
アニメイトは14万443件、JR3社は17万2735件
利用企業の発表では、対象となる顧客の条件や流出項目がそれぞれ異なる。アニメイトはユミルリンクとの連携調査を経て、対象を14万443件、漏えい項目をメールアドレスのみと特定し、第一報の内容を訂正した。
対象は、アニメイト通販のメールマガジン登録者のうち10月14～16日にメールを配信した顧客と、ポケットドラマCDで8月17日～9月17日に実施した指定キャンペーンの応募者に限られる。
JR東海・JR西日本・JR九州は11月5日付の共同発表で、「エクスプレス予約」と「スマートEX」に関する対象件数を17万2735件と公表した。漏えい項目はメールアドレス、会員ID、氏名のカタカナ表記、会員種別で、販売促進メールなどの配信対象者が含まれる。
一方、JR3社は、予約完了や予約変更などの自動配信メールにはCuenote FCを使っておらず、これらに関する情報は漏えいしていないと説明した。原因調査と再発防止策の報告を受けて追加の安全対策を実施し、安全性を確認したとして、Cuenote FCの使用再開も発表している。
