概要

ユミルリンクは2026年10月16日に一部システムへの不正アクセスを確認し、19日に第1報を公表した。当初は5システムから約900万件が漏えいしたと推定していたが、26日の第2報で対象はCuenote FCとCuenote BASEの計50システムに拡大し、Cuenote FCの49システムから延べ5162万8280件（メールアドレス等）が漏えいしたと発表した。うち16システムは漏えい件数を調査中。Cuenote BASEからは契約者の企業名・氏名・電話番号・メールアドレス190件が漏えいした。攻撃者はプログラムの脆弱性を悪用してサポート・品質管理担当者の認証情報を取得し、不正プログラムを設置してデータベースから情報を出力していた。影響を公表した利用企業には、JR東海・JR西日本・JR九州（エクスプレス予約・スマートEX）、りそな銀行・埼玉りそな銀行・関西みらい銀行、バンダイナムコエンターテインメント・BANDAI SPIRITS（THE GUNDAM BASE MEMBERS 34万6247件）、野村證券、サイボウズ、NTTPCコミュニケーションズ、日本能率協会マネジメントセンター、毎日新聞社、インプレス、大日本印刷（honto）、アイスタイル、バリューコマース、アスマーク、埼玉県などがある。ユミルリンクのドメイン（info@cuenote.jp）を悪用し、セゾンカードをかたる迷惑メールも確認されている。

経緯

経緯情報は未登録です。

原因

攻撃者がプログラムの脆弱性を悪用し、サポート・品質管理担当者の認証情報を取得。その後、不正プログラムを設置してデータベースから情報を出力した。取得した認証情報で別システムへのログインも試みており、不正なデータ参照、セッション情報の取得、不正ログインが45システムで新たに判明した。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

影響を受けたユーザー数

不明

サービス停止

不明

金銭的被害

不明

対象システム

Cuenote FC（49システム）、Cuenote BASE

漏洩した情報

• 確認済みメールアドレス
• 確認済み会員ID・氏名（カタカナ）・会員種別（エクスプレス予約・スマートEX）
• 確認済みバンダイナムコID管理用の内部識別子
• 可能性あり氏名
• 確認済みCuenote BASE契約者の企業名・氏名・電話番号・メールアドレス（190件）

Cuenote FCの49システムから延べ5162万8280件の情報が漏えいした（延べ件数で、実人数ではない）。16システムは件数を調査中で、今後さらに増える可能性がある。JR各社、りそなグループ、野村證券、サイボウズ、バンダイナムコ、毎日新聞社、DNP、埼玉県など多数の利用企業・組織に影響が出た。10月26日時点で、漏えいした情報の公開や不正利用は確認されていない。ただし、同社ドメインを悪用した迷惑メールは確認されている。

対応

脆弱性のあるプログラムの修正、認証情報の削除、不正プログラムの検知体制の整備、接続元IPアドレスの制限を実施した。影響を受ける可能性のある顧客企業に個別に連絡し、外部専門家の協力を得て調査を続けている。

• 脆弱性のあるプログラムの修正
• 認証情報の削除
• 不正プログラムの検知体制の整備
• 接続元IPアドレスの制限
• 顧客企業への個別連絡
• 外部専門家による調査
• 不審メールへの注意喚起

教訓・対策

• SaaS型メール配信サービスは多数の企業の顧客データを集約しており、1社の侵害がサプライチェーン全体に広がる
• サポート担当者など特権的な認証情報の保護とアクセス元の制限が重要
• 初期調査の被害見積もりは大きく拡大することがあり、継続的なログ解析が必要
• 漏えい後は正規ドメインを悪用したフィッシングへの警戒が必要

参考資料

1. ユミルリンクの不正アクセス、JR・りそな銀行・サイボウズなどに影響 被害企業一覧
   マイナビニュース TECH+公開日: 2026-10-28報道二次情報取得日: 2026-11-01
2. りそな銀行など3行がユミルリンク不正アクセスで顧客メール漏えいの可能性
   サイバーセキュリティ.com公開日: 不明報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

ユミルリンク

関連するインシデント

関連付けられたインシデントはありません。