ユミルリンクに不正アクセス、メールアドレスなど5162万件流出の可能性
メール配信サービスのユミルリンクは2026年10月26日、外部からの不正アクセスにより、メールアドレスを中心に延べ5162万件の個人情報が流出した可能性があると発表した。当初公表した約900万件から規模が拡大し、調査は続いている。
何が起きたか
メール配信サービスなどを手がけるユミルリンクは2026年10月26日、外部からの不正アクセスによって、メールアドレスなど延べ5162万件の個人情報が流出した可能性があると発表した。同社が管理するメール配信システム「Cuenote FC」の計49のシステムで情報流出の痕跡を確認したという。同社は10月19日時点で延べ約900万件の情報が流出した可能性があると公表していたが、その後の調査で規模が拡大した。26日時点でも49のシステムのうち16では調査が続いており、最終的な流出件数はさらに増える可能性があるとしている。
原因と判明している範囲
同社によると、10月16日に担当者が一部システムで不正アクセスを確認した。アクセス記録などの調査により、不正プログラムを介してデータベースからデータを出力したり、他のシステムのデータを参照したりしていることを確認した。流出した可能性がある情報には、メールアドレスのほか、氏名や生年月日も含まれるという。第一報では、プログラムの脆弱性に関連してサポート・品質管理担当者の認証情報が取得され、不正プログラムが設置されたこと、さらに取得した認証情報を使って別のシステムへの認証を試みた記録も確認されたとしている。同社は該当サーバーをネットワークから切り離し、脆弱性修正プログラムを適用するなどの対応を進めている。
利用企業への波及
この事案はユミルリンクの顧客企業にも影響を及ぼしている。JR東海、JR西日本、JR九州は10月26日、東海道・山陽・九州新幹線の予約サービス「エクスプレス予約」と「スマートEX」の会員17万件分の個人情報が流出したと発表した。毎日新聞社は「Cuenote FC」をニュース速報やメールマガジンなどの配信に利用していたとして、各種メール配信を停止したと発表した。朝日新聞社も同サービスを利用しており、管理用アカウントのパスワード変更など必要な対応を進めているとしている。
企業・産業への影響
メール配信サービスは、企業が顧客や会員に情報を届けるための基盤として広く使われている。今回のように配信事業者のシステムが侵害されると、個々の利用企業が自社のシステムを守っていても、委託先を通じて顧客情報が流出するリスクがあることが改めて示された。利用企業には、自社が登録した宛先情報が調査対象に含まれるかどうかをサービス提供元の正式な案内で確認し、必要に応じて配信先への注意喚起や管理アカウントの認証情報・権限の点検を進めることが求められる。また、配信停止が長期化すれば、利用企業の情報発信やマーケティング活動に支障が出る可能性もある。現時点では、原因の詳細や最終的な影響範囲は調査中であり、今後の続報を待つ必要がある。