要点
- メール配信サービスの会社ユミルリンクが不正アクセスを受け、メールアドレスなどが延べ約4786万件流出した。
- 利用企業はスマートEX・エクスプレス予約（JR東海など）やアイスタイルなどで、各社の会員宛てに偽メールが届くおそれがある。
- クレジットカード等の決済情報は、現時点で流出を確認していないとされる。
何が起きたか
ユミルリンクは2026年11月11日、第三報を公表した。企業向けメール配信サービス「Cuenote FC」の49システムから、情報が延べ47,864,147件流出したという。10月26日の第二報では最大約5162万件と試算していたが、ログを突き合わせて修正した。
同社の発表によると、攻撃者は2つの方法を使った。1つは、プログラムの欠陥から不正なプログラムを仕込み、データベースに入る方法。もう1つは、正規の利用者の「ログイン中の状態」を示す情報を盗んで本人になりすまし、管理画面からデータを持ち出す方法である。サーバ間の移動には、共通の保守用アカウントが使われたとされる。
漏れた項目は延べ件数で次のとおり。
- メールアドレス：約4786万件
- 会員ID：約3050万件
- 氏名：約667万件
- 性別：約206万件
- 郵便番号：約182万件
- 生年月日：約95万件
- 電話番号：約41万件
- 住所：約15万件
- ハッシュ化されたパスワード（元の文字列が直接は読めない形）：約23万件
- ほかに、都道府県・会社名・学校名、すでに閉鎖した別サービスの認証情報
数字は延べ件数であり、人数ではない。また、どの企業のどの項目が漏れたかは企業ごとに違う。
日本の利用者への影響
ユミルリンクは影響を受けた企業名を第三報で公表していない。企業ごとの発表で確認できたのは次のとおり。
- スマートEX・エクスプレス予約：スマートEXの告知によると172,735件。漏れたのはメールアドレス、会員ID、カタカナの氏名、会員種別。販促メールなどの配信先が対象で、予約完了メールの宛先は対象外という。
- アイスタイル：ITmedia NEWS などの報道によると、11月9日に約280万人分の顧客情報の流出を公表した。この点は、こちらでは同社の発表そのものを確認できていない。
- NTTPC：第三報で、60,929件のメールアドレス等の漏えいの報告を受けたとしている。
ほかにも利用企業は多いとみられ、件数の確認が終わっていない企業もある。
今すぐやること
- 利用しているサービスの公式サイトで、「ユミルリンク」「Cuenote FC」に関するお知らせがないか探す。メールで個別に連絡が来ている場合もある。
- 自分が対象かは、各社の告知と個別連絡で確かめる。スマートEXの告知には、対象を調べる専用の方法はない。不明なら問い合わせ窓口に聞く（スマートEXは 0570-00-8574）。
- 届いたメールやSMSのリンクは、すぐ開かない。サービス名を名乗っていても、公式アプリやブックマークした公式サイトから確認する。
- パスワードを入力させる画面は疑う。会員情報やカード番号を、メールやSMSのリンク先に入力しない。
- 対象企業のサービスと同じパスワードを他で使っているなら、変更する。ハッシュ化されたパスワードも一部漏れており、弱いものは割り出されるおそれがある。
背景
配信会社が狙われると、その会社のサービスを使う複数の企業の顧客リストが、一度に漏れうる。今回もその構図だ。
ユミルリンクは10月16日に異常を検知し、19日に第一報を出した。当初は5システム・約900万件の見込みだったが、10月25日のログ解析で、なりすましによるデータ持ち出しが新たに見つかり、規模が大きく広がった。なお第三報には、システム数の記載が第一報・第二報と合わない箇所がある。外部機関による最終報告は今後公表される予定。
再発防止として、同社は共有の管理者権限の廃止、多要素認証（パスワードのほかにも本人確認する仕組み）の前提化、24時間365日の監視、AI を使ったコードレビューなどを挙げている。
技術者向けの詳細
- 対象は Cuenote FC の専用 ASP 49システム。Cuenote BASE は契約者情報190件が閲覧可能な状態だった。Cuenote SR-S、SMS、Auth、Survey、Push、安否確認は被害なしとされる。
- 時系列：10/16 担当者アカウントの異常を検知、10/17 不正プログラム設置サーバを隔離、10/18 横展開の原因となった共通保守・QAアカウントの全基盤からの削除を開始、10/19 警視庁と個人情報保護委員会へ報告、10/25 セッション悪用による出力を特定。
- 手口は、アプリの欠陥からの不正プログラム設置と、セッション情報の窃取による管理画面の CSV 出力機能の利用。
- 利用企業側：Cuenote FC に預けた配信リストの項目を確認し、ユミルリンクからの個別連絡と照合する。管理画面のアカウントとパスワードを見直し、不審なログインの記録を調べる。
- ユミルリンクは第二報で、同社のドメインを利用し第三者を騙った迷惑メールが複数確認されていると述べている。
- 詳細はユミルリンクの第三報と第二報を参照。
