ユミルリンクは、運営するメール配信サービスの一部サーバーが不正アクセスを受け、個人情報が外部に持ち出されたと発表しました。管理する5システムでデータの出力を確認し、メールアドレスを含む情報が延べ約900万件に上ると試算しています。対象データの詳細は調査中です。
5システムから延べ約900万件を出力
不正アクセスは2026年10月16日未明、ユミルリンクの担当者が一部システムで確認しました。同社は10月19日付で、個人情報が外部に持ち出されたことを公表しました。
アクセス記録の調査で、プログラムの脆弱性を通じてサポート・品質管理担当者のサービス認証情報が取得され、不正プログラムが設置されたことが分かりました。このプログラムによって、データベースからデータが出力されていました。
同社が管理する5システムで不正アクセスとデータ出力が確認され、出力データはメールアドレスを含む情報延べ約900万件と試算されています。これは出力された情報の件数です。
認証情報を使って別システムにもアクセスを試行
取得されたサポート・品質管理担当者の認証情報を使い、ほかのシステムへの認証も試みられていました。
英国の国家サイバーセキュリティセンター（NCSC）は、侵入後に攻撃者が認証情報を利用して別の端末やサーバーにアクセスし、さらにデータやシステムへ到達しようとする動きを「ラテラルムーブメント」と説明しています。今回確認された、担当者の認証情報を使った他システムへの認証試行には、侵入後にアクセス範囲を広げようとする動きと重なる点があります。
NCSCは、侵入を早く検知することに加え、侵入後に利用できる権限を絞る対策を挙げています。具体的には、システムごとに必要最小限の権限を与えること、管理者用アカウントを通常業務用と分けること、認証情報を保護することなどです。
ユミルリンクが講じた封じ込めと再発防止策
同社は不正アクセスを確認したサーバーをネットワークから切り離し、脆弱性を修正するプログラムを作成して適用しました。ほかのシステムからサポート・品質管理担当者の認証情報を削除する対応も行っています。
また、不正プログラムを検知する体制を整え、捜査機関に届け出ました。現在は外部専門家の協力を得て、影響の詳細を調査しています。
個人情報保護委員会への報告と本人通知
個人情報保護委員会は、個人データの漏えいなどが発生し、個人の権利利益を害するおそれがある場合、委員会への報告と本人への通知が必要と案内しています。対象となる事態には、要配慮個人情報、財産的被害のおそれ、不正目的による漏えい、1,000人を超える漏えいなどが含まれます。
同委員会は、速やかな報告を案内しています。本人に通知する場合は、事態の概要や個人データの項目、原因などを分かりやすく伝えるとしています。本人への直接通知が難しい場合の代替措置として、ウェブサイトでの公表や問い合わせ窓口の設置も示しています。
ユミルリンクは捜査機関への届出を公表し、専用の問い合わせ窓口を設けました。
詳細調査と業績への影響は継続
同社は、出力されたデータの内容を調査しています。
2026年12月期の業績に与える影響も精査中です。同社は、開示すべき事項が生じた場合は速やかに伝えるとしています。
.jpg){kind=link}