使っていた人が、いますぐやること
- 1
Cuenoteを使う企業Cuenoteのログインパスワードを変え、ほかで同じパスワードを使っていれば変える。できれば二段階認証を設定する
- 2
メールを受け取る人Cuenoteのドメイン（info@cuenote.jp）から届く「セゾンカード」などを名乗るメールは開かない。返信やURL・QRコードの操作をしない
- 3
全員ユミルリンクがメールやSMS、電話でパスワード、認証コード、カード情報を聞くことはない
被害にあっているときの手順を見る →
漏れた可能性がある情報Cuenote FCの単一企業向けシステムのうち49システム、延べ51,628,280件。16システムは件数を調査中で、増える可能性がある
いまの状況（調査中）弱点の修正、担当者の認証情報の削除、接続元のIP制限などを実施。外部の専門家と詳しく調査中
02HOW THEY WERE HACKED
どんなハッキングをされた？
ひとことでユミルリンクは2026年10月19日、メール配信サービス「Cuenote FC」の一部のサーバーに不正アクセスがあり、個人情報が外に持ち出されたと発表しました。第三者は、プログラム（ライブラリ）の脆弱性を突いて会社のサポート担当者の認証情報を取り、不正なプログラムを置いてデータベースからデータを出していました。10月26日の第二報では、情報漏えいの跡があるシステムは49、漏えいのおそれがある件数は延べ51,628,280件としています。まだ件数を調べているシステムがあり、件数は増える可能性があります。
1ユミルリンク株式会社 ・ Cuenote FCライブラリの脆弱性から認証情報を取り、不正なプログラムでデータを持ち出す攻撃
脆弱性とは →
- STEP 1弱点から入る
プログラム（ライブラリ）の脆弱性を突いて、会社のサポート・品質管理担当者の認証情報を取った
- STEP 2不正なプログラムを置く
システムに不正なプログラムを置き、データベースからデータを出した
- STEP 3ほかのシステムへ広げる
取った認証情報やログインのセッション情報で、ほかのシステムにも入ろうとし、不正にログインした
- STEP 4情報が持ち出される
49システムから、延べ51,628,280件の情報が漏えいしたおそれがある
くわしい内容を見る ↓
手口第三者は、プログラム（ライブラリ）の脆弱性を突いて、会社のサポート・品質管理担当者のサービスへの認証情報を取りました。システムに不正なプログラムを置いてデータベースからデータを出し、その認証情報やログイン時のセッション情報を使って、ほかのシステムにも入り込みました。不正アクセスは海外のIPアドレスからでした。
- 発覚
- 2026年10月16日6時49分。担当者が自分のアカウントの異常に気づいた
- 公表
- 10月19日（第一報）。10月26日に第二報（適時開示も）
- 影響の範囲
- Cuenote FCの単一企業向けシステムのうち49システム、延べ51,628,280件。16システムは件数を調査中で、増える可能性がある
- 情報の種類
- 配信先のメールアドレスと、氏名・都道府県・生年月日などの付属情報（企業ごとに違う）、配信の記録、Webのアクセス記録、サービスを使う企業の担当者の情報（氏名・メールアドレス・住所・電話番号）
- ほかのサービス
- 顧客管理システムCuenote BASEで契約者情報190件が見られる状態だった。SR-S・SMS・Auth・Survey・Push・安否確認は影響なし
- 二次被害
- 情報が不特定多数に公開された事実や不正利用は確認されていない。会社のドメインを使った迷惑メールは複数確認
- いまの状況
- 弱点の修正、担当者の認証情報の削除、接続元のIP制限などを実施。外部の専門家と詳しく調査中
- システム01
担当者が自分のアカウントの異常に気づき、調査を始める
- システム01
ライブラリの脆弱性による攻撃と特定し、不審なIPからのアクセスを遮断
- Cuenote FC
脆弱性への対策プログラムを当てる
- システム02
不正なプログラムの設置を確認してシステムを停止。外部のセキュリティ会社に協力を頼む
- システム03〜05・07
不正なプログラムや不正ログインを確認して停止。同じデータセンターの全システムを予防で停止し、IP制限をかける
- 会社
警視庁に届け出。第一報を公表し、個人情報保護委員会に届け出
- 会社
予防で止めていたシステムを順に再開。JIPDECに届け出。会社のドメインを使った迷惑メールへの注意を呼びかけ
- Cuenote FC
さらに42システムで不正アクセスとデータを出した記録を確認
- 会社
新たに影響が分かった42社に連絡。第二報を公表
切り離しと修正不正アクセスを確認したサーバーをネットワークから切り離し、脆弱性を直すプログラムを作って当てた
認証情報の削除サポート・品質管理担当者の認証情報を、ほかのシステムから消した
IP制限と見張り操作画面とAPIに接続元のIP制限をかけ、不正なプログラムが置かれていないか常に見張る体制にした
個別の連絡漏えいの対象になりうる企業に、担当者から直接連絡した
届け出警視庁、個人情報保護委員会、JIPDECに届け出た。IPAへは原因が分かったあとに届け出る予定
07ABOUT THE COMPANY
どんな会社？
企業と顧客のコミュニケーションを支えるメッセージングソリューションの会社です。メール配信の「Cuenote FC」のほか、SMS配信や認証、アンケート、安否確認などの「Cuenote」シリーズを提供しています。
事業
- メール配信（Cuenote FC・SR-S）
- SMS配信（Cuenote SMS）
- 認証サービス（Cuenote Auth）
- アンケート（Cuenote Survey）
- 安否確認サービス
- 会社名
- ユミルリンク株式会社（YMIRLINK,Inc.）
- 設立
- 1999年7月
- 本社
- 東京都渋谷区代々木2-2-1 小田急サザンタワー12F
- 上場
- 東京証券取引所グロース（証券コード 4372）
- 代表者
- 代表取締役社長 清水 亘
- 従業員
- 連結163名、単体141名（2025年12月現在）
- 資本金
- 273,853,860円
出典：会社の公式サイト「会社概要」
