メール配信「Cuenote FC」に不正アクセス、利用企業49システムから延べ5,162万件のメールアドレスなどが流出 — 配信サービスに預けた顧客情報を確かめる
メール配信サービス「Cuenote FC」を提供するユミルリンクは2026年10月26日、不正アクセスの第二報を公表した。Cuenote FCを1社で使う形の49システムから、配信先のメールアドレスと付属情報が延べ51,628,280件流出していた。16システムは件数を調べている最中で、延べ件数はさらに増える可能性がある。メルマガや会員向けの一斉メールをCuenote FCで送っている企業は、自社に落ち度がなくても、顧客に流出を知らせる側に立つことになる。Cuenote FCに限らず、メール配信を外部サービスに任せている中小企業は、どの顧客情報をそこに預けているかを確かめておきたい。
背景
ユミルリンクの第二報（10月26日）によると、経緯は次のとおりである。
- 10月16日 6時49分：同社担当者が、あるシステム上の自分のアカウントの異常に気づく
- 10月16日 10時10分：プログラムが使うライブラリの脆弱性を突いた攻撃と特定し、不審なIPアドレスからの接続を遮断
- 10月17日〜18日：ほかのシステムにも不正プログラムが置かれていたことを確認し、順次停止。攻撃を受けたデータセンターの全システムを予防のため停止
- 10月18日 17時：IP制限を掛けていなかった操作画面とAPIに、接続元のIP制限を設定
- 10月19日：第一報を公表。警視庁と個人情報保護委員会に届け出
- 10月25日：ログイン・操作記録をさかのぼって調べた結果、新たに42システムからのデータ出力を確認
- 10月26日：該当する42社に連絡し、第二報を公表
攻撃者はまずライブラリの脆弱性からシステムに入り、同社のサポート・品質管理担当者がサービスにログインするための認証情報を手に入れた。さらに不正プログラムを置いてデータベースからデータを出力し、その認証情報でほかのシステムへのログインも試みた。ログイン中のセッション情報を盗んで、別のシステムに入り込んだ形跡も見つかっている。
Cuenote FCには、78システム（1社で使う形）のうち49システムで流出の痕跡があった。複数社で共用する3システムは、侵入を試みられたものの流出は確認されていない。流出したのは主に「アドレス帳」で、配信先メールアドレスのほか、差し込みや抽出に使う氏名・都道府県・生年月日などが含まれる。どの項目を登録しているかは利用企業ごとに違う。同社の顧客管理システム「Cuenote BASE」でも、契約企業の担当者の企業名・氏名・電話番号・メールアドレス190件が閲覧できる状態だった。個別送信のCuenote SR-S、Cuenote SMS、安否確認サービスなどは影響なしとされている。
すでに、送信元を「セゾンカード＜info@cuenote.jp＞」と偽った「ご利用確認のお願い」という件名の迷惑メールが確認されている。
リスクの全体像
メール配信サービスには、利用企業の顧客のメールアドレスと属性がまとめて置かれる。攻撃者が配信事業者の内部に入れば、利用企業を1社ずつ攻撃しなくても、多数の企業の顧客名簿を一度に持ち出せる。今回の延べ5,162万件は、その構図をはっきり示した。
流出したメールアドレスは、次のフィッシングに使われる。どの企業のメルマガに登録している人かが分かれば、その企業を名乗った自然な文面を作れる。誕生日や都道府県まで添えれば、受け取った顧客は本物と区別しにくい。実際に、配信サービスのドメインを使ったカード会社のなりすましメールが出回っている。
利用企業側の責任も残る。顧客から見れば、メールアドレスを預けた相手は配信事業者ではなく利用企業である。個人情報保護法上も、委託先で起きた漏えいについて、委託元は顧客への通知や個人情報保護委員会への報告を求められうる。メール配信のブラストメールでも10月に契約者情報の持ち出しが起き、利用企業が相次いで公表した。外部の配信サービスを使う以上、配信事業者の事故は自社の事故として扱う準備が要る。
チェックリスト
Cuenote FCを使っている企業は、まず次の点を確かめる。
- ユミルリンクから個別の連絡が届いているか。届いていない場合も、窓口に自社システムの該当有無を問い合わせたか
- 自社のアドレス帳に、メールアドレス以外にどの項目（氏名・生年月日・住所・購買履歴など）を登録しているか
- 顧客への通知と、個人情報保護委員会への報告が必要かを、法務・顧問弁護士と判断したか
- 管理画面とAPIに、接続元のIP制限と二段階認証を設定しているか
- 管理画面のパスワードを変更したか。同じパスワードをほかのサービスで使っていないか
Cuenote FC以外の配信サービスを使っている企業も、次の点を見直す。
- 配信に使わない項目（生年月日・住所など）まで配信サービスに送っていないか
- 退会者や長期間配信していない宛先を、アドレス帳に残したままにしていないか
- 配信事業者が侵害されたとき、自社に何日以内に連絡が来る契約になっているか
打ち手
Cuenote FCの利用企業は、最初にユミルリンクの窓口（電話03-6820-0088、support@cuenote.ne.jp）に自社システムの該当有無と流出した項目を確認する。該当していれば、顧客に向けたお知らせを用意する。お知らせには、自社を名乗るメールでパスワードやカード番号を聞くことはないこと、不審なメールのリンクを開かないことを書く。社内の問い合わせ窓口にも、想定問答を渡しておく。
あわせて、管理画面のパスワードを変更し、IP制限と二段階認証を有効にする。ユミルリンクは今回、IP制限を掛けていなかった環境を攻撃の足場にされたと説明している。利用企業側でも、管理画面に誰がどこから入れるかを絞っておく。
中長期では、配信サービスに預ける情報を減らす。メールの差し込みに名前が必要なら名前だけにし、生年月日や住所は社内の顧客管理システムに残す。退会者や配信停止者のデータは定期的に消す。預けた情報が少なければ、事業者で事故が起きても、顧客に知らせる内容と影響は小さくなる。
あわせて読みたい
- メール配信サービス「ブラストメール」から全契約者の情報が持ち出し、配信も停止 — メルマガを外部サービスに頼る中小企業の初動
- ECサイト構築サービス「futureshop」に不正アクセス、1店舗の会員約315万件が流出 — SaaS型ECで出店する中小企業が確かめること
- 採用管理SaaS「ApplyNow」への不正アクセスが自治体6市に波及 — 大阪市106件・入間市約1,200件など職員採用の応募者情報が漏えい
- フィッシング詐欺とは？ 手口・見分け方・対策・被害時の対応まで完全ガイド
Omamori AI の結論
- 事実: ユミルリンクのメール配信サービスCuenote FCで、1社で使う形の49システムから配信先メールアドレスなどが延べ51,628,280件流出した。16システムは調査中で、件数は増える可能性がある。
- 判断軸: 配信事業者の事故でも、顧客から見れば情報を預けた相手は自社である。自社が何を預け、誰がどう知らせるかを答えられるかを問う。
- 打ち手: 利用企業は該当有無を窓口に確かめ、管理画面のパスワード変更とIP制限・二段階認証を行う。配信サービスに預ける項目は配信に必要なものだけに絞る。
経営者視点で考えるべきこと
メルマガの配信は、マーケティング担当や外部の制作会社に任せきりになりやすい。経営者は、自社がどの配信サービスを使い、そこに何万人分の、どの項目を置いているかを把握しているだろうか。今回の事案では、利用企業は何もしていなくても、顧客への通知と問い合わせ対応を負うことになった。担当者に「配信サービスに預けている顧客情報の項目と件数」「事業者で事故が起きたときの連絡先と社内の判断者」を一覧にさせ、年に一度は見直したい。
