概要

ライフカードは顧客向け案内メールの配信にユミルリンクの「Cuenote FC」を利用しており、2026年10月26日にユミルリンクから顧客情報の一部が漏えいした可能性があると連絡を受け、10月28日に公表した。ユミルリンクが最初に異常を検知したのは10月16日6時49分。ユミルリンクの説明では、プログラムの脆弱性を突かれてサポート・品質管理担当者の認証情報が取得され、不正プログラムが設置されてデータベースからデータが出力された。情報漏えいが確認されたのはCuenote FCの49システムとCuenote BASEの1システムの計50システムで、Cuenote FC全体で漏えいのおそれがある情報は延べ5,162万8,280件にのぼる。ライフカードで漏えいの可能性がある情報は氏名、メールアドレス、カード名称、ETCカード番号の一部など。対象は339,610契約（契約数であり実人数ではない）で、ETCカード番号の一部は60件が対象となる。ライフカード自身のカード会員情報システムへの不正アクセスは確認されておらず、二次被害も確認されていない。

経緯

経緯情報は未登録です。

原因

委託先ユミルリンクのメール配信サービス「Cuenote FC」で、プログラムの脆弱性を突かれてサポート・品質管理担当者の認証情報が取得され、不正プログラムが設置されてデータベースからデータが出力された。ライフカード自身のシステムは侵害されていない。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

影響を受けたユーザー数

339,610

サービス停止

不明

金銭的被害

不明

対象システム

ユミルリンク Cuenote FC

漏洩した情報

• 可能性あり氏名
• 可能性ありメールアドレス
• 可能性ありカード名称
• 可能性ありETCカード番号の一部（60件）

33万9,610契約分の顧客情報が漏えいした可能性がある（契約数であり実人数ではない）。うちETCカード番号の一部は60件。カード会員情報システムへの不正アクセスや二次被害は確認されていない。漏えいした情報の詳細と対象顧客の範囲は調査中。

対応

ライフカードはユミルリンクと連携して事実関係と影響範囲を確認しており、対象と確認された顧客には必要に応じて個別に連絡する。顧客には不審なメールやSMSへの注意を呼びかけている。委託先を含めた情報管理態勢も改めて確認する。ユミルリンクは該当サーバをネットワークから切り離し、脆弱性修正プログラムを作成・適用した。

• 顧客への注意喚起（不審なメール・SMSのURLへのアクセスや添付ファイルの開封、カード番号・暗証番号・パスワードの入力をしないよう要請）
• 対象顧客への個別連絡（必要に応じて）
• 委託先を含めた情報管理態勢の再確認
• （ユミルリンク）不正アクセスを確認したサーバのネットワークからの切り離し
• （ユミルリンク）脆弱性修正プログラムの作成・適用
• （ユミルリンク）他システムからの担当者情報の削除
• （ユミルリンク）不正プログラム検知体制の整備
• （ユミルリンク）警視庁・個人情報保護委員会・JIPDECへの届出

教訓・対策

• 自社のシステムに侵入がなくても、メール配信などの委託先から顧客情報が漏えいしうる
• 委託先ごとに預けている顧客情報の項目と件数を棚卸しし、不要な項目は預けない
• 委託先と、侵害時の連絡窓口・連絡期限や件数の報告単位を事前に取り決めておく
• 漏えい後のなりすましフィッシングに備えて、注意喚起や送信ドメイン認証を見直す

参考資料

1. ライフカードの委託先ユミルリンクへの不正アクセスで33万9,610契約に情報漏えいのおそれ
   サイバーセキュリティ.com公開日: 2026-10-28報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

ライフカード

関連するインシデント

関連付けられたインシデントはありません。