ユミルリンク（4372）は「Cuenote FC」の漏洩事案について、従来の最大試算値に代わる確定値として、49システムから配信先情報4786万4147件が漏洩したと発表した。11月11日に公表した不正アクセスに関する第3報によると、従来の最大試算値は約5162万件だった。これまでの経緯はTokyo Briefの過去記事を参照。
漏洩件数が減少した理由
ユミルリンクによると、ログ突合とデータベース解析によって実際の出力対象レコードを特定し、重複計上していたレコードを除外したことで、一斉メール配信サービス「Cuenote FC」の件数が修正された。被害を受けた49システムは同社の専用ASP環境の一部にあたる。
この件数は人数ではなくレコードの合計値だ。同社は「延べ」件数と説明しており、同一人物が複数回含まれる場合がある。漏洩したデータはメールアドレスや氏名などの属性情報で、内訳はメールアドレスが全4786万4147件、氏名が666万5055件となっている。
Cuenote BASEでは別に情報が閲覧可能な状態に
2つ目のシステムである同社の顧客管理システム「Cuenote BASE」では、プログラムの脆弱性により契約者情報が閲覧可能な状態となった。対象件数は190件で、企業名、氏名、電話番号、メールアドレスが含まれる。同社はこれらを「Cuenote FC」の件数とは別に集計している。「Cuenote BASE」は稼働を保留し、別システムでサービスを運営している。
ユミルリンクは、記載された他のサービス（Cuenote SR-S、SMS、Auth、Survey、Push、安否確認サービス）については不正アクセスや情報漏洩はなかったと報告した。クレジットカード情報などの決済情報の流出は現時点で確認されておらず、流出したデータ項目の詳細は引き続き確認中としている。
対象システム数が増加した理由
同社によると、第1報では直接侵害が確認された5システムを対象としていた。その後、Webアクセスログと認証ログの遡及監査を実施した結果、攻撃者が窃取した有効なセッション情報を悪用し、Web管理画面の正規CSV出力機能を通じてデータをダウンロードしていたことが判明した。これにより45システムが追加され、計49システムとなった。この手法は不正プログラムの設置やデータベースへの直接侵入を伴わず、正規の管理者操作のように見えたという。
今後の焦点
不正プログラムが設置されたシステムについては、現在も外部セキュリティ専門機関がフォレンジック調査の最終解析を進めており、ユミルリンクは調査結果を受領した段階で最終報告を公表する予定だ。稼働していない「Cuenote FC」専用ASPの一部システムと「Cuenote BASE」を除き、各サービスは正常に稼働しているという。
2026年12月期業績への影響は現在精査中で、開示すべき事項が生じた場合は公表するとしている。報告書には費用や補償に関する金額の記載はない。ユミルリンクは警察、個人情報保護委員会、日本情報経済社会推進協会（JIPDEC）へ報告したほか、情報処理推進機構（IPA）に対しても手続きを進めているという。