東証グロース上場のメール配信サービス会社ユミルリンク（4372）は、同社の「Cuenote」サービスに対するサイバー攻撃の被害報告を更新した。2026年10月26日付の第二報によると、「Cuenote FC」の計49システムからメールアドレスなどのデータが出力され、漏洩のおそれがある件数は延べ5162万8280件に上る。件数はさらに増える可能性があるとしている。
第二報で判明した内容
「Cuenote FC」はユミルリンクの一斉メール配信サービスである。報告書によると、単一企業が利用する78システムで不正アクセスが試行され、うち49システムで情報漏洩の痕跡が確認された。複数企業が共有する3システムも標的となったが、漏洩の痕跡はなく、漏洩のおそれがある件数も0件だった。
同社によると、16システムについては漏洩件数を現在も調査中であり、延べ件数は増加する可能性がある。報告された数値は延べ件数であり、個人のユニーク数ではない。
また、不正プログラムとシステムログの解析により、「Cuenote FC」の44システムと同社の顧客管理システム「Cuenote BASE」の1システムの計45システムで新たに被害が確認された。これらでは、攻撃者が他のシステムのデータを参照したほか、ログイン時のセッション情報を取得して不正ログインしていた。
経緯によると、同社は10月25日21時45分に新たな42システムで不正アクセスとデータ出力記録を確認し、10月26日12時30分に該当する42社へ連絡した。
他サービスへの影響と公表された原因
ユミルリンクは、「Cuenote FC」での情報漏洩の原因をライブラリの脆弱性としている。「Cuenote BASE」ではプログラムの脆弱性により契約者情報が閲覧可能な状態にあり、企業名、氏名、電話番号、メールアドレスの計190件が対象となった。「Cuenote SR-S」「SMS」「Auth」「Survey」「Push」および安否確認サービスについては、情報漏洩などの影響はないとしている。
同社が不正アクセスを検知したのは10月16日だった。対策として、脆弱性の修正、他システムからのサポート・品質管理担当者の認証情報の削除、不正プログラムの常時監視、ログイン画面やAPIへのIP制限などを実施した。すでに警視庁、個人情報保護委員会、JIPDECに届け出ており、情報処理推進機構（IPA）には全容の解明と原因の特定が完了し次第、届け出る予定だ。
フィッシングへの注意喚起と未確定事項
ユミルリンクによると、漏洩した個人情報が公開された事実や不正利用された事実は確認されていない。一方、同社のドメイン「cuenote.jp」を使って第三者を装った迷惑メールが複数確認されており、セゾンカードを装った「ご利用確認のお願い」といった件名のメールも含まれる。同社および第三者が送信したものではなく、詐欺の可能性があるとして、今回の事案に便乗した偽メールやSMSに注意するよう顧客に呼びかけている。
同社は顧客に対し、Cuenoteのパスワードや他社サービスで使い回しているパスワードの変更と、可能な場合の二段階認証の設定を推奨している。また、同社がメールやSMS、電話で顧客にパスワードや認証コード、クレジットカード情報を尋ねることは一切ないとしている。
アドレス帳の登録内容は利用企業ごとに異なるため、調査が完了し次第、詳細を報告するとしている。2026年12月期の業績への影響は現在精査中で、開示すべき事項が生じた場合は速やかに公表する。