【緊急】Cuenote FC不正アクセス｜49システムで漏えい、延べ5,100万件超のおそれ

2026年10月26日、メール配信サービス「Cuenote FC」を提供するユミルリンク株式会社は、不正アクセスに関する第二報を公表しました。49システムで情報漏えいが発生し、メールアドレスなどの漏えいのおそれがある件数は延べ51,628,280件に拡大しています。10月19日の第一報では、5システム・延べ約900万件でした。

メルマガや会員向けの連絡を、外部のメール配信サービスに任せている企業の担当者は、自社が対象なのか、預けたデータの何が該当するのかが気になっているのではないでしょうか。配信先としてメールアドレスを預けた人も、偽のメールが届かないか不安なはずです。メール配信を外部サービスに委託するデジタル化の進め方を、見直す機会になる事案です。

本記事は、2026年10月27日午前9時までに確認した情報をもとに、2026年10月26日に公表された第二報の内容と、立場ごとの確認事項を整理します。問い合わせ先と出典は、巻末の表にまとめています。

何が起きたか：不正アクセスと件数の拡大

ユミルリンクは、メールやSMSの配信サービス「Cuenote（キューノート）」シリーズを提供する企業です。同社は2025年12月の発表で、Cuenoteシリーズの月間のメール・SMS配信数は国内最大規模の85億通だと説明しています。Cuenote FCは、企業が顧客や会員へ一斉にメールを送るための配信システムです。

ユミルリンクの当社システムへの不正なアクセスに関するご報告（第二報）（2026年10月26日）によると、2026年10月16日、同社の担当者が一部のシステムで不正アクセスを確認しました。同社の説明では、プログラムの脆弱性（ソフトの弱点）を突かれ、サポート・品質管理担当者の認証情報が取得されたとのことです。その後、不正プログラムが設置され、データベースからデータが出力されたことも判明しています。

ユミルリンク 第一報（2026年10月19日）から第二報までの公表内容は、次のとおり変わりました。

拡大の経緯は、次のとおりです。

漏えいした個人情報が不特定多数に公開された事実と、本事案に起因する個人情報の不正利用の事実は、現時点で確認されていないと同社は公表しています。ただし、調査は続いており、原因の詳細や重複を除いた本人の数は公表されていません。

誰が影響を受けるか：対象サービスと51,628,280件の読み方

情報漏えいが発生したのは、メール配信サービス（一斉送信）のCuenote FCです。ほかに、ユミルリンクの顧客管理システムであるCuenote BASEで、同社サービスの契約者情報190件（企業名・氏名・電話・メールアドレス）が閲覧可能な状態でした。Cuenote FCの延べ件数とCuenote BASEの190件は区分が異なるため、足し合わせることはできません。

そのほかのサービス（Cuenote SR-S、SMS、Auth、Survey、Push、安否確認サービス）は、漏えいなど影響はないと公表されています。

自社が対象かどうかは、システム数や件数の大きさではなく、ユミルリンクからの個別連絡の有無と、自社が預けた項目で決まります。

ユミルリンク 第二報（2026年10月26日）の51,628,280件は延べ件数で、重複を除いた人数は公表されていません。公式は、漏えいの件数をまだ調べているシステムが16システムあるとして、調査の結果によっては延べ件数が増える可能性があるとしています。

Cuenote FCに登録・記録される情報として、同社は次の4つを挙げています。

つまり、件数と項目の一覧だけでは、自社や自分が対象かどうかは分かりません。同社は、対象となる可能性のある企業に、担当者から個別に連絡しています。10月19日以降に新たに確認した分は、10月26日12:30までに連絡済みです。

対象者が今すぐ確認・対応すること

自社は、自分は、いま何をすればよいのでしょうか。ユミルリンク 第二報（2026年10月26日）の「お客様へのお願い」などをもとに、立場ごとの確認事項を整理します。配信サービスを契約している企業の担当者、管理画面にログインするアカウントを持つ人、メールを受け取るだけの人のうち、当てはまる立場を読んでください。

Cuenote FCを使う企業の担当者

Cuenoteのアカウントを持つ人（管理画面にログインする人）

まず、ログインパスワードを変更してください。ほかのサービスで同じパスワードを使い回している場合は、そちらも変更します。可能であれば、二段階認証（パスワードに加えて別の確認を求める仕組み）も設定しましょう。

メールを受け取る人（配信先としてメールアドレスなどを預けた人）

ユミルリンク 第二報（2026年10月26日）では、配信先の個人が、自分のアドレスが対象かどうかを確認する窓口は示されていません。対象となる可能性のある企業には、ユミルリンクが企業へ連絡する形をとっています。受け取る側がいま行うのは、便乗する偽のメールやSMSへの備えです。

同社は、ユミルリンクのドメインを使い、第三者を装った迷惑メールを複数確認しています。公表されている例は、次のとおりです。

同社は、これらのメールが、同社や名前を使われた第三者の送信指示によるものではなく、詐欺の可能性があるとして注意を促しています。

送信元の表示だけでは、本物かどうかを判断できません。身に覚えのない連絡のURLや添付ファイルは開かず、不審なWebサイトに個人情報やパスワードを入力しないでください。ユミルリンクが、メール・SMS・電話でパスワード、認証コード、クレジットカード情報などを直接尋ねることは一切ないと公表しています。

事案から導ける点検項目：メール配信の委託先

委託先の事故から、貴社の顧客・会員のデータを守るには、何を点検すればよいのでしょうか。編集部が、第二報（2026年10月26日）の内容から読み取った点検の観点を、メール配信を外部サービスに委託している企業向けにまとめます。点検項目は、次のとおりです。

まとめ：連絡と預けた項目で対象を確かめ、アカウントと不審メールに備える

メール配信の委託先で起きた不正アクセスは、件数の大きさだけでは、自社への影響が分かりません。対象かどうかは、ユミルリンクからの個別連絡と、自社が預けた項目で確かめます。

持ち帰りたいのは、次の3点です。

預けているデータに、配信に使わない項目は含まれていないでしょうか。まずは、登録項目の一覧を確かめるところから始めてみましょう。

調査は続いており、件数や項目は更新される可能性があります。最新の状況は公式サイトで確認してください。問い合わせ先と公式発表のリンクを、次の表にまとめます。