ユミルリンク不正アクセス、延べ5162万件超の情報漏えい　届いたメールで注意したいこと

元ソースと今回わかったこと

ユミルリンクは2026年10月26日、同社システムへの不正アクセスについて第二報を公表しました。10月19日の第一報では、メール配信サービス「Cuenote FC」の5システムで不正アクセスとデータ出力が確認され、メールアドレスを含む情報が延べ約900万件出力されたと試算されていました。

その後の調査で影響範囲は大きく拡大しました。第二報によると、Cuenote FCでは49システムで情報漏えいが確認され、漏えい件数はメールアドレスを含む情報で延べ51,628,280件。このうち16システムは件数を引き続き調査中で、数字は今後増える可能性があります。顧客管理などに使う「Cuenote BASE」でも1システムが不正アクセスを受け、企業名、氏名、電話番号、メールアドレスの190件が漏えいしたとしています。

重要なのは、51,628,280件が「5,162万人の個人が被害に遭った」という意味ではないことです。公表値は延べ件数で、同じ人の情報が複数の配信先に登録されている場合など、重複が含まれる可能性があります。利用企業ごとにCuenoteへ登録していた情報も異なるため、自分について何が漏れたかは、利用している企業・サービス側からの案内を確認する必要があります。

ユミルリンクが説明した侵入経路では、プログラムの脆弱性を悪用して同社のサポート・品質管理担当者のサービス認証情報が取得され、不正プログラムが設置されてデータベースからデータが出力されました。その認証情報を使った他システムへの認証試行に加え、調査では他システムのデータ参照や、ログイン時のセッション情報を取得した不正ログインも確認されています。

同社は、不正アクセスを確認したサーバーのネットワークからの切り離し、脆弱性修正プログラムの適用、他システムからのサポート・品質管理担当者情報の削除、不正プログラム検知体制の整備などを実施しています。現時点では、漏えいした個人情報が不特定多数に公開された事実や、不正利用は確認されていないとしています。

一方で、すでに注意すべき動きがあります。ユミルリンクは、同社のドメインを利用して第三者をかたる迷惑メールを複数確認していると公表しました。例として、セゾンカードをかたり「ご利用確認のお願い」「利用内容確認のご依頼」などの件名で送られるメールを挙げています。情報漏えいそのものと、その後に届く偽メール・フィッシングは分けて考える必要がありますが、今回は後者についても現実に不審メールが確認されています。

要約：一般の利用者が押さえておきたいこと

今回のポイントは、大規模な数字だけではありません。Cuenoteは企業や自治体などが利用するメール配信基盤です。そのため、一般の利用者は「Cuenoteに登録した覚えがない」と感じても、普段使っているサービスのメール配信先として間接的に情報が登録されていた可能性があります。

確認したいポイントは次の4つです。

1. Cuenote FCの49システムで、メールアドレスを含む情報が延べ51,628,280件漏えいしたとユミルリンクが公表している。
2. 51,628,280件は延べ件数であり、同じ数の個人が被害を受けたことを示す数字ではない。
3. どの情報が含まれるかは利用企業・サービスによって異なるため、自分が使っているサービスからの公式発表や個別連絡を確認する必要がある。
4. ユミルリンクのドメインを利用して第三者をかたる迷惑メールがすでに複数確認されているため、メールの送信元表示だけで安全と判断しない。

報道では、新幹線の「エクスプレス予約」「スマートEX」など、Cuenoteを利用していたサービスへの影響も明らかになっています。ただし、影響を受けたサービスや漏えい項目は一律ではありません。「Cuenoteの事故だから、自分のクレジットカード番号やパスワードも漏れた」と決めつけるのも、「Cuenoteを直接使っていないから自分には無関係」と考えるのも適切ではありません。

まずは、自分が利用している企業や自治体から今回の件に関する案内が出ていないか、メール内のリンクではなく公式サイトや公式アプリから確認するのが安全です。

何が変わる？　「正規らしいメール」でも送信元だけでは判断しにくい

一般の利用者にとって今回特に重要なのは、メールの見分け方です。

フィッシング対策では「知らない送信元からのメールを警戒する」とよく言われます。しかし、今回ユミルリンクが確認している迷惑メールでは、同社のドメインが利用されています。つまり、受信画面に表示される差出人名やドメインが見慣れたものに見えても、それだけを根拠に本文のリンクを開くのは危険です。

メールから直接ログインしない

「利用確認」「本人確認」「アカウント停止」「支払いに問題がある」など、急いで操作するよう促すメールが届いた場合は、本文のボタンやURLを使わず、普段使っている公式アプリを自分で開くか、ブックマークや検索などから公式サイトへ移動してください。そこで同じ通知が表示されているか、利用履歴や請求内容に異常がないかを確認します。

特に「○時間以内」「本日中」「利用を停止します」などと期限を強調する文面は、受信者を焦らせて確認を省かせるために使われることがあります。メールが本物か偽物かをその場で完璧に見抜こうとするより、メールとは別の経路から公式サービスを開く方が確実です。

氏名などが書かれていても、本物とは限らない

情報漏えい後のフィッシングでは、漏れた情報が悪用されれば、単なる無差別メールよりも本人向けに見える内容を作りやすくなります。自分の氏名、利用しているサービス名などが本文に入っていることは、安全性の証明にはなりません。

今回、Cuenote FCから漏えいした情報は利用企業ごとに異なります。メールアドレスだけの場合もあれば、配信先として登録された付随情報が含まれる可能性もあります。どの項目が対象かは各サービスの公式発表で確認してください。

「送信元アドレスが合っている」だけでも判断しない

メールには、画面上に見える差出人名、Fromアドレス、実際の配送経路など複数の情報があります。一般の利用者が受信画面だけでそれらを完全に検証するのは現実的ではありません。今回のようにメール配信基盤側で不正アクセスが発生した場合、普段の「知らないアドレスなら警戒」という基準だけでは不足します。

したがって、重要な操作を求めるメールでは、送信元の見た目ではなく**「メールから離れて公式アプリ・公式サイトで事実を確認する」**ことを基本動作にするのが有効です。

パスワード変更は、自分が対象かを確認してから適切に

今回の公表は、Cuenote FCでメールアドレスを含む配信先情報が漏えいしたというものです。すべての一般利用者について、各サービスのログインパスワードが漏れたと公表されたわけではありません。

ただし、自分が利用するサービスからパスワード変更の案内が出ている場合は、その公式案内に従ってください。また、偽メールに反応してパスワードを入力してしまった場合は別です。その場合は、該当サービスの公式サイトから速やかにパスワードを変更し、同じパスワードを他サービスでも使い回しているなら、そちらも異なるパスワードへ変更します。多要素認証を利用できるサービスでは、有効化も検討してください。

誰に影響する？　対象確認と、今やっておきたいこと

Cuenoteは、企業が顧客にメールマガジンや各種案内を配信するための基盤として利用されています。そのため、直接「Cuenote」というサービスに会員登録した記憶がなくても対象になり得ます。

1. 利用中のサービスから案内が来ていないか確認する

自分が対象かどうかを確認する際は、ユミルリンクの大きな総数だけを見るのではなく、普段利用している企業・自治体・サービスの公式発表を見ることが重要です。

案内メールが届いた場合も、メール本文のリンクをそのまま開くのではなく、公式アプリや自分で開いた公式サイトのお知らせ欄で同じ内容を確認してください。今回の件に便乗した偽メールが今後増える可能性も考えておくべきです。

2. 不審な「カード利用確認」メールに反応しない

ユミルリンクは、同社ドメインを利用し、セゾンカードなど第三者をかたる迷惑メールを複数確認したとしています。カード会社を名乗るメールであっても、メール内のURLからカード番号、ログイン情報、本人確認情報などを入力しないでください。

本当に利用確認が必要かは、カード会社の公式アプリや、カード裏面など自分が以前から確認できる正規の連絡先から調べます。検索結果に表示された広告などを経由するより、公式アプリや保存済みのブックマークを使う方が安全です。

3. すでにリンクを押した場合は「何をしたか」で対応を分ける

リンクを開いただけで、直ちにすべての情報が盗まれたと決まるわけではありません。重要なのは、その後に何を入力・実行したかです。

IDとパスワードを入力したなら、公式サイトからパスワードを変更します。同じパスワードを使い回しているサービスがあれば、それぞれ別のパスワードに変更します。カード番号を入力したなら、カード会社の正規窓口へ連絡して利用停止や再発行が必要か相談し、利用明細を確認します。アプリやファイルをインストールした場合は、端末の安全確認も必要です。

4. メールアドレス変更を急ぐ必要は通常ない

メールアドレスが漏えいした可能性があるからといって、直ちにアドレスそのものを捨てなければならないとは限りません。多くの場合、まず必要なのは、そのアドレス宛てに届くフィッシングや迷惑メールへの警戒を強めることです。

メールアドレスはログインIDとして使われることもありますが、アドレスを知られただけで通常はログインできません。パスワードの使い回しを避け、多要素認証を利用し、重要な操作はメールから直接行わないことの方が実用的な対策になります。

5. 今後の続報も確認する

第二報の時点でも16システムについて漏えい件数を調査中で、ユミルリンクは件数が増える可能性を明記しています。現時点の数字を最終確定値と考えず、ユミルリンクおよび利用サービス側の続報を確認してください。

また、現時点で不特定多数への公開や漏えい情報の不正利用が確認されていないという発表は、「今後も悪用されない」ことを保証するものではありません。一方で、悪用が確認されていない段階で被害を断定するのも適切ではありません。確認された事実と今後のリスクを分けて判断することが大切です。

まとめ：メールの見た目より、確認する経路を変える

ユミルリンクの10月26日の第二報では、Cuenote FCの49システムでメールアドレスを含む情報が延べ51,628,280件漏えいし、Cuenote BASEでも190件の契約者情報が漏えいしたことが公表されました。第一報から影響範囲は大きく拡大し、16システムでは件数調査が続いています。

一般の利用者にとって最も実用的な注意点は、数字の大きさだけではなく、ユミルリンクのドメインを利用して第三者をかたる迷惑メールが実際に複数確認されていることです。

「差出人名を知っている」「それらしいドメインから届いた」「自分の名前が書かれている」といった要素だけで、本物のメールだと判断しないでください。カード利用確認、本人確認、アカウント停止など重要な操作を求められたときは、メールのリンクを使わず、公式アプリや自分で開いた公式サイトから確認する。この習慣が、今回に限らずフィッシング対策として役立ちます。

自分が漏えい対象か、どの情報が含まれたかは利用サービスによって異なります。利用している企業や自治体からの公式案内を確認し、必要な対応だけを行いましょう。今後も調査結果が更新される可能性があるため、続報が出た場合は内容を改めて確認する必要があります。