メール配信のCuenoteに不正アクセス、延べ5,162万件流出の恐れ

何が起きたのか

ユミルリンクは2026年10月26日、メール配信サービス「Cuenote（キューノート）」への不正アクセスの第二報を出しました。第一報は10月19日です。

10月16日の6時49分ごろ、担当者が自分のアカウントの異常に気づきました。同社の報告書にある侵入の流れは、次のとおりです。まずプログラムの部品（ライブラリ）の脆弱性を悪用し、サポートと品質管理の担当者のサービス認証情報を手に入れました。次に不正なプログラムを置いてデータベースからデータを出力し、手に入れた認証情報でほかのシステムへの認証を試みています。さらに、不正なプログラムを通じてほかのシステムのデータを参照し、ログイン時のセッション情報（ログイン中であることを示す情報）を取得して不正にログインしました。

認証情報をどのように手に入れたかは、報告書に書かれていません。第一報は、セッション情報の取得とほかのシステムのデータの参照を除く部分までで、この2点は第二報で加わりました。

経過

10月16日のうちに、不審な接続元（IPアドレス）を遮断し、対策本部を立ち上げ、脆弱性の対策プログラムを適用しています。10月17日と18日には、ほかのシステムでも不正なプログラムが見つかって停止しました。18日の14時15分には特定のデータセンターにあるシステムをすべて予防のために止めています。停止したシステムは20日から順に再開しました。

22日に全システムのログインと操作の記録をさかのぼって調べ始めた結果、25日の21時45分に、新たに42システムで不正アクセスとデータの出力が分かりました。26日の12時30分に、影響が分かった42社へ連絡しています。第一報では影響は5システム、延べ約900万件という試算でしたが、第二報で大きく増えました。

漏れた情報

一斉メール配信の「Cuenote FC」では、不正アクセスを試みられたのは81システムです。内訳は複数の企業で共用する3システムと、企業ごとの専用環境78システムです。漏えいの痕跡があったのは専用環境の49システムで、共用の3システムでは見つかっていません。件数は延べ5,162万8,280件です。16システムは件数を調べている途中で、増える可能性があります。

項目は配信先のメールアドレスと氏名などのアドレス帳、配信の記録、申し込みページの登録記録、利用企業の担当者の連絡先です。アドレス帳は氏名のほか都道府県や生年月日などの付属情報を持つことがあり、中身は企業ごとに違います。この点は調査中です。

顧客管理の「Cuenote BASE」では、契約者の企業名、氏名、電話番号、メールアドレス190件が流出しました。同社は、SR-S、SMS、Auth、Survey、Push、安否確認の各サービスには影響がないとしています。個別の連絡を受けていない利用企業は、現時点で漏えいは確認されていないという扱いです。

会社の対応

同社は脆弱性を修正し、担当者の認証情報を消しました。不正なプログラムの常時監視を始め、認証画面やAPIには接続元の制限も加えています。IP制限が未設定だったSR-Sのサーバーにも、21日に制限を入れました。

10月19日に警視庁と個人情報保護委員会へ、20日に JIPDEC へ届け出ています。情報処理推進機構（IPA）へは、全容がわかり原因を特定したあとに届け出る予定です。情報が公開された事実や、この件による不正利用は確認していないとしています。

一方で、同社のドメインを使い、セゾンカードなどを名乗る迷惑メールが複数確認されています。件名は「ご利用確認のお願い」のようなものです。同社も第三者も送っていないメールで、詐欺の可能性があると案内しています。この件は配信サービス侵害後、セゾンカードを名乗る迷惑メール 便乗に注意にまとめました。

利用者にはCuenoteのパスワードの変更と二段階認証の利用を求めており、ほかのサービスで同じパスワードを使っている場合は、そちらも変えるよう案内しています。同社がメールやSMS、電話でパスワードやカード情報を尋ねることはないとしています。問い合わせ窓口は、専用の電話とメールです。

中小企業が学べること

配信サービスに預けた名簿が漏れれば、自社の顧客の情報が漏れたことになります。今回は、サービス側の担当者の認証情報から別のシステムへ広がっており、利用企業の側で侵入を止めることはできません。できるのは、預けた中身を減らし、連絡を受けたあとに動ける状態にしておくことです。

• 配信サービスごとに、預けている名簿の項目を一覧にします。生年月日や住所のように配信に使わない項目は、預けないか消します
• 事故の連絡が届くメールアドレスの担当者が、今も在籍しているかを確かめます。今回は、連絡を受けた企業と受けていない企業で状況が分かれました
• 配信サービスの管理画面に、二段階認証を設定します。パスワードを使い回していないかも見ます
• 同じ時期に別の配信サービスでも事故が出ています。メール配信「アララメッセージ」に不正アクセス、約8,100万件が流出も、預け先の見直しの材料になります