本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]
ユミルリンクは2026年10月26日、メール配信サービス「Cuenote FC」への不正アクセスに関する第二報を公表した。データ出力が確認された49システムで漏えいのおそれがある情報は延べ5162万8280件に上る。16システムでは件数を調査中で、数字はさらに増える可能性がある。
調査で対象範囲を更新、登録情報は企業ごとに異なる
10月19日の第一報では、5システムから延べ約900万件が出力されたと試算していた。今回の件数は、その後の調査で判明した影響範囲を反映したもので、公表後に増加分が新たに流出したことを意味しない。延べ件数は、影響を受けた実人数とは区別する必要がある。
不正アクセスが試行されたのは計81システム。このうち単一企業向けの78システムでは49システムに情報漏えいの痕跡が確認された。一方、複数企業が利用する3システムでは漏えいの痕跡は確認されなかった。
対象となる情報にはメールアドレスなどが含まれる。アドレス帳には氏名、都道府県、生年月日などの付属情報も登録できるが、実際の登録項目は利用企業ごとに異なる。これらの情報がすべて漏えいしたと確認されたわけではない。また、別の顧客管理システム「Cuenote BASE」では、契約者情報190件が閲覧可能な状態だったとしており、FCの延べ件数とは別に示している。
同社が不正アクセスを確認したのは10月16日。ライブラリの脆弱性を悪用してサポート・品質管理担当者の認証情報が取得され、不正プログラムによるデータ出力が行われたという。その後の解析では、他システムのデータ参照や、取得されたログイン時のセッション情報を用いた不正ログインも確認された。同社は脆弱性の修正、認証情報の削除、不正プログラムの監視、接続元IPアドレスの制限などを実施し、外部専門家と調査を続けている。
第三者を装うメールも確認、不正利用の確認状況を説明
ユミルリンクは10月25日夜、新たに42システムで不正アクセスとデータ出力の記録を確認した。26日12時30分までに対象となる42社へ連絡したとしている。
同社は、自社ドメインを利用して第三者を装う迷惑メールも複数確認した。第二報では「セゾンカード」「SAISON」を名乗るメールを例示し、ユミルリンクや名義を使用された第三者の送信指示とは無関係だと説明。心当たりのないメールに記載されたURLへのアクセスや添付ファイルの開封に注意を呼びかけている。
一方、10月26日の第二報時点では、漏えいした個人情報が不特定多数に公開された事実や、本事案に起因する個人情報の不正利用は確認されていないとしている。
