不正アクセスの対象は50システムに拡大
ユミルリンクは2026年10月26日、同社システムへの不正アクセスに関する第二報を公表し、情報漏えいが確認された対象が50システムに広がったと明らかにしました。メール配信サービス「Cuenote FC」では延べ51,628,280件のメールアドレスを含む情報が漏えいし、顧客管理などを行う「Cuenote BASE」では190件の契約者情報が閲覧可能な状態になっていました。
ユミルリンクは10月16日、一部システムへの不正アクセスを確認しました。調査で、プログラムの脆弱性を突かれてサポート・品質管理担当者の認証情報が取得され、不正プログラムによるデータベースからのデータ出力や、ほかのシステムへの認証の試みが判明しました。
不正プログラムとシステムログの解析により、第一報後に新たに45システムで、他システムのデータ参照や、ログイン時のセッション情報を使った不正ログインが確認されました。10月19日の第一報では5システム、延べ約900万件の情報出力が試算されており、今回の調査で対象範囲が拡大しました。()
Cuenote FCで確認された漏えいと連絡状況
Cuenote FCでは81システムへの不正アクセスが試みられ、うち49システムで情報漏えいの痕跡が確認されました。試行対象のうち3システムは複数企業向け、78システムは単一企業向けで、漏えいが確認された49システムはいずれも単一企業向けでした。
漏えい件数の調査が続いているシステムは16あり、延べ件数が増える可能性があります。Cuenote FCには、配信先メールアドレスのほか、氏名や都道府県、生年月日などの付属情報、配信記録、Webアクセス記録、サービス利用企業の担当者情報が記録される場合があります。アドレス帳の登録内容は利用企業ごとに異なります。
Cuenote BASEでは、企業名、氏名、電話番号、メールアドレスを含む190件が漏えいしました。ユミルリンクは漏えい対象となる可能性のある顧客に個別連絡を行い、10月26日12時30分までに新たに確認された対象企業にも連絡したとしています。
セッション情報による不正ログインの仕組み
Webサービスはログイン中の利用者を識別するため、セッションIDを使うことがあります。セッションIDが盗まれるなどして第三者に渡ると、その値を使って利用者になりすまし、ログイン後に閲覧できる情報へアクセスされる可能性があります。
この手口では、パスワードそのものを盗み取るのではなく、ログイン状態を示すセッション情報を悪用して利用者になりすまします。IPAは、セッション管理に不備があると、ログイン中の利用者のセッションIDが不正取得され、本人になりすましたアクセスにつながる可能性を説明しています。
今回の調査では、システムへのログイン時にセッション情報を取得し、その情報を使って不正ログインしたことが確認されています。この経緯は、盗まれた認証情報を使って別のシステムへの認証を試みた事実とあわせて公表されました。
同社ドメインを使った迷惑メールに注意
ユミルリンクは、同社ドメインを利用して第三者を装う迷惑メールを複数確認したと発表しました。例として、送信元アドレスに「info@cuenote.jp」を使い、セゾンカードを名乗るメールが挙げられています。件名は「ご利用確認のお願い」「利用内容確認のご依頼」などです。
ユミルリンクによると、これらの件名や送信元を使ったメールは、同社や第三者が送信を指示したものではなく、詐欺の可能性があります。不審なメールでは、表示されたURLと実際のリンク先が異なることもあります。
ユミルリンクは、不審な連絡に記載されたURLや添付ファイルを開かず、リンク先で個人情報やパスワードを入力しないよう求めています。また、Cuenoteのログインパスワード変更を推奨し、他サービスで同じパスワードを使っている場合はその変更と、可能であれば二段階認証の設定も呼びかけています。
脆弱性修正と再発防止策
ユミルリンクは、不正アクセスを確認したサーバーをネットワークから切り離し、脆弱性を修正するプログラムを適用しました。サポート・品質管理担当者の認証情報を他システムから削除し、不正プログラムの検知体制を整備したほか、認証画面やAPIへの接続元IP制限も実施したとしています。
ユミルリンクは外部専門家と詳細調査を進め、警視庁への通報と個人情報保護委員会、JIPDECへの報告を行いました。情報処理推進機構（IPA）への届け出は、全容の解明と原因の特定が完了した後に行う予定です。
2026年12月期の業績に与える影響は精査中で、開示すべき事項が生じた場合は速やかに公表するとしています。また、ユミルリンクは、漏えいした個人情報が不特定多数に公開された事実や、この事案に起因する不正利用を現時点で確認していないとしています。
