メール配信の「Cuenote FC」に不正アクセス、メールアドレスなど延べ約900万件が持ち出される ユミルリンクが発表

企業のメールマガジンなどの配信を請け負うユミルリンク(東証グロース上場)は2026年10月19日、メール配信サービス「Cuenote FC(キューノート エフシー)」の一部のサーバーが外部から不正にアクセスされ、個人情報が持ち出されたと発表した。5つのシステムから、メールアドレスを含む情報が延べ約900万件持ち出されたと見積もっている。

何が起きたのか

ユミルリンクによると、10月16日(金)の未明、担当者が一部のシステムで不正なアクセスが起きているのを見つけた。アクセスの記録を調べると、次のことが分かったという。

1. プログラムの脆弱性(セキュリティ上の弱点)を突かれた
2. 同社のサポート・品質管理の担当者が、サービスに入るための認証情報を取られた
3. 不正なプログラムを置かれ、データベースからデータを取り出された
4. 取られた担当者の認証情報で、ほかのシステムにも入ろうとした跡があった

同社は、不正なアクセスを見つけたサーバーをすぐにネットワークから切り離した。弱点を直すプログラムを作って当て、ほかのシステムからも担当者の認証情報を消すなど、被害が広がるのを防ぐ対策をとった。

保守のために使う「合いかぎ」を盗まれ、その合いかぎでほかの部屋の扉も試された、という状況に近い(TECHNOVAの見方)。

持ち出されたおそれのある情報

「延べ」は、同じものが重なっていてもそれぞれ数える数え方だ。同じメールアドレスが複数のシステムに入っていれば重ねて数えるため、実際の人数はこれより少ないこともありうる(TECHNOVAの見方)。

Cuenote FCの料金の案内によると、専用ASPプランは、サーバーとIPアドレスを1つの契約で独占して使うプランで、宛先のメールアドレスが15万件を超えるような大きな配信に向けたものだ。どの会社の配信システムが狙われたのかは、発表では明かしていない。

Cuenote FCとは

Cuenote FCは、企業がお客さまにメールマガジンやキャンペーンのお知らせ、手続きの案内などを送るためのサービスだ。私たちが受け取るメールの送り主は会社でも、実際に送り出す仕組みはこうした配信会社が担っていることが多い。

ユミルリンクによると、Cuenoteシリーズから送られるメールとSMSは月に89億通にのぼり、システムの契約数は2,900を超える。大きな企業や自治体、官公庁でも使われているという。

ユミルリンクの対応

• 済んだこと: 弱点のあるプログラムの修正、サポート・品質管理の担当者の認証情報の削除、不正なプログラムを見つける体制の整備、捜査機関への届け出
• これから: 外部の専門家の協力を得た詳しい調査。新しい事実が分かった時点で改めて知らせる
• 業績への影響: 2026年12月期の業績への影響は精査中で、開示すべきことが出てきたらすぐに知らせるという

問い合わせは、ユミルリンクの不正アクセスの専用の窓口(電話 03-6820-0088、平日9時〜20時)で受け付けている。

今からできること

• 届いたお知らせを確かめる: メールマガジンなどを受け取っている会社から、委託先の事故としてお知らせが届くことがある。内容は、その会社の公式サイトでも確かめたい(TECHNOVAの見方)
• 不審なメールに注意する: メールアドレスが知られると、実在の会社を名乗る偽のメールが届きやすくなる。メールのリンクから入らず、公式サイトやアプリを自分で開くと安心だ(TECHNOVAの見方)
• パスワードの使い回しを見直す: 今回の発表は、パスワードが持ち出されたとは書いていない。ただ、ほかのサービスと同じパスワードを使っているなら、変えておくと安心だ(TECHNOVAの見方)

10月は、身近なサービスの不正アクセスの発表が相次いでいる(関連記事: ニフティに不正アクセス、最大54万2513件の個人情報が漏れたおそれ)。

かんたんに言うと

企業のメールの配信を請け負う「Cuenote FC」が不正にアクセスされ、5つのシステムから、メールアドレスを含む情報が延べ約900万件持ち出された。どの会社のお客さまの情報かは、まだ分かっていない。メールマガジンを受け取っている会社からのお知らせと、会社を名乗る不審なメールに気をつけたい。

まとめ

ユミルリンクは、メール配信サービス「Cuenote FC」の専用ASPプランの5つのシステムが不正にアクセスされ、メールアドレスを含む情報が延べ約900万件持ち出されたと発表した。サポート担当者の認証情報を取られたことが入り口になった。詳しい中身や対象の会社は調べている最中で、続報を待つ必要がある。