Cuenote FC不正アクセス｜49システム・延べ5,163万件漏えい、配信を委託する会社がやること

01この記事でわかること

Cuenote FCは、会社が自社の顧客や会員にメールを一斉に送るためのサービスです。今回漏れたのは、ユミルリンク自身の顧客名簿というより、Cuenote FCを使っていた会社が預けていた「配信先のリスト」です。つまり、ある会社のメルマガ読者の情報が、その会社ではなく委託先から漏れたことになります。

3行でまとめると、次のとおりです。

• 攻撃者はプログラムの脆弱性（ぜいじゃくせい＝設計や実装の弱点）を突き、ユミルリンクのサポート担当者の認証情報を取って、49システムからデータを持ち出しました。
• 漏えいは延べ約5,163万件で、16システムは件数をまだ調べている途中です。件数は増える可能性があります。
• Cuenote FCを使っていた会社は「委託元」として、顧客への案内や個人情報保護委員会への報告を自分で判断する立場にあります。

02何が起きたのか（全体像）

ユミルリンクの第2報によると、10月16日6時49分、同社の担当者が「システム01」で自分のアカウントの異常に気づいたのが発覚のきっかけです。調べると、攻撃は次の流れで行われていました。

1. プログラムの脆弱性を突かれ、同社のサポート・品質管理担当者がサービスに入るための認証情報が取られた
2. 不正なプログラムが設置され、データベースからデータが出力された
3. 取られた認証情報で、ほかのシステムへのログインが試みられた
4. その後の解析で、不正なプログラムを通じてほかのシステムのデータを参照したことや、ログイン時のセッション情報（ログイン状態を保つための情報）を取って不正にログインしたことも分かった

同社は、攻撃が「ライブラリ（プログラムが共通で使う部品）の脆弱性」によるものだと10月16日10時10分に特定したとしています。どの部品のどの脆弱性かは公表されていません。また、不正アクセスは海外のIPアドレスからだったと書いています。

ポイントは、サポート担当者の認証情報という「合鍵」が取られ、1つのシステムから別のシステムへ被害が広がった点です。委託先の一つの穴が、その委託先を使う多くの会社に同時に及ぶ。これがサプライチェーン攻撃（取引先を経由して被害が広がる攻撃）の典型的な形です。用語はサプライチェーン攻撃で説明しています。

03発表の時系列

ユミルリンクの発表と、第2報に載っている経緯の表から、主なできごとを並べます。

1. 10月16日 6:49

   担当者が「システム01」で自分のアカウントの異常に気づき、調査を開始

2. 10月16日 10:10

   ライブラリの脆弱性による攻撃と特定し、不審なIPからのアクセスを遮断

3. 10月16日 12:00

   「不正アクセス対策本部」を立ち上げ

4. 10月16日 20:10〜20:46

   顧客管理システム「Cuenote BASE」でほかの利用者の情報の閲覧記録を確認して停止。脆弱性の対策プログラムを適用

5. 10月17日

   「システム02」に不正なプログラムを確認して停止。攻撃手法を特定し、外部のセキュリティ会社に協力を要請

6. 10月18日

   「システム03〜05」でも不正なプログラムを確認。サポート用アカウントの削除を開始。予防のため、該当するデータセンターの全システムを停止し、対象の顧客に連絡。IP制限のない環境にIP制限をかける

7. 10月19日 9:00

   警視庁のサイバー事案通報窓口に届け出

8. 10月19日

   第1報を公表（19時05分に補足を追記）。5システム、延べ約900万件と試算

9. 10月19日 19:00

   個人情報保護委員会に届け出

10. 10月20日

    止めていた他のシステムを順次再開。JIPDEC（プライバシーマークの運営団体）に届け出。同社ドメインを使った迷惑メールへの注意喚起を公表

11. 10月22日

    全システムのログイン・操作記録の遡り調査を開始

12. 10月25日 21:45

    新たに42システムで不正アクセスとデータ出力の記録を確認

13. 10月26日

    12時30分までに新たに影響が分かった42社に連絡。第2報と適時開示を公表。49システム、延べ51,628,280件

第1報から第2報の1週間で、システム数は約10倍、件数は約5.7倍になりました。最初の発表の数字だけで「うちは関係ない」と決めないことが大切です。

04何が漏れたのか

第2報では、サービスごとの影響が表で示されています。

Cuenote FCでは、不正アクセスが試みられたシステムは81あります。複数の会社が共同で使うシステム3つでは漏えいの痕跡はなく、1社だけで使うシステム78のうち49で漏えいの痕跡が見つかりました。

Cuenote FCに登録・記録される情報として、同社は次の4種類を挙げています。どの項目が実際に漏れたかは、利用する会社ごとに登録内容が違うため、調査が終わりしだい報告するとしています。

• アドレス帳：配信先のメールアドレスと、差し込みや抽出に使う氏名、都道府県、生年月日などの付属情報
• 配信記録：一斉送信ごとの通信記録。メールアドレスを含む
• Webアクセス記録：メルマガの申し込みページからの登録記録や、マイページでの更新記録
• サービス利用者情報：Cuenote FCを使う会社の担当者の氏名、メールアドレス、住所、電話番号

「延べ件数」とは、同じ人が複数の記録に出てくれば重ねて数える数え方です。5,163万人が漏れたという意味ではありません。一方で、アドレス帳に生年月日や住所を入れていた会社では、メールアドレス以外も漏れているおそれがあります。自社が何を登録していたかは、自社でしか確かめられません。

同社は、10月26日時点で、漏れた情報が不特定多数に公開された事実や、この件による不正利用の事実は確認されていないとしています。

05自社が関係するか確かめる方法

配信を制作会社や代理店に任せている場合、契約しているのは相手側ということもあります。次の順で確かめてください。

1. 経理や総務で、ユミルリンクへの支払いがあるか、「Cuenote」の名前の請求書がないかを見る
2. メルマガやお知らせメールを担当する部署、外部の制作会社・代理店に、配信に使っているサービス名を聞く
3. 会員登録やメルマガ登録のフォームが、どのサービスにつながっているかを確認する
4. Cuenote FCを使っていた場合は、ユミルリンクから個別の連絡が来ているか、担当者のメールや電話の履歴を確かめる

同社は、漏えいの対象になりうる会社には10月19日の公表後に個別に連絡し、19日以降に新たに分かった会社には10月26日12時30分までに連絡したとしています。そのうえで「個別連絡のないお客様については現時点でご利用環境の情報漏洩が確認されておりません」と書いています。ただし調査はまだ続いています。連絡がないことを確かめたうえで、窓口に自社の状況を問い合わせておくと確実です。

問い合わせ先は、ユミルリンクの不正アクセス専用窓口（電話 03-6820-0088、平日9時〜20時／メール support@cuenote.ne.jp）です。

06今すぐやること（立場別）

Cuenote FCを使っていて、個別連絡を受けた会社

1. どのシステムの、どの情報が対象かをユミルリンクに確認し、記録に残す（いつ、誰から、何を聞いたか）
2. 自社のアドレス帳に何の項目を入れていたかを洗い出す。生年月日や住所など、メールアドレス以外の項目も含めて
3. 顧客への案内文と問い合わせ窓口を用意する（次の章で説明します）
4. 個人情報保護委員会への報告が必要かを判断する（次の章で説明します）
5. Cuenote FCの管理画面のパスワードを変え、同じパスワードをほかで使っていれば、そちらも変える。二段階認証（多要素認証）が使えるなら設定する。同社もこの3点を勧めています

Cuenote FCを使っていて、連絡を受けていない会社

同社の説明では、現時点で漏えいは確認されていません。それでも、管理画面のパスワード変更は同社が利用者全体に勧めています。窓口に自社の状況を確かめ、続報を追ってください。

メルマガの読者として受け取っている人

同社は、漏れた情報が使われ、同社や関係先を装った不審なメールやSMSが届くおそれがあるとしています。普段から届いているメルマガに似せた偽メールでも、ログインやカード情報の入力を求めるリンクは開かず、公式サイトはブックマークから開いてください。同社は、メールやSMS、電話でパスワードや認証コード、クレジットカード情報を尋ねることはないとしています。見分け方はメールのトラブルの章も参考になります。

同社ドメインからの不審なメールについて

ユミルリンクは10月20日、同社のサイトのドメインを使って第三者をかたる迷惑メールが複数見つかっていると注意を呼びかけました。例として、件名「ご利用確認のお願い」「利用内容確認のご依頼」、送信元「セゾンカード＜info@cuenote.jp＞」「SAISON＜info@cuenote.jp＞」が挙げられています。同社は送信の指示をしておらず、詐欺の可能性があるとしています。このメールが今回の漏えいとつながっているかどうかは、発表には書かれていません。受け取ったら返信やURLのクリック、QRコードの読み取りはせず削除し、やりとりを始めてしまった場合は警察に相談するよう、同社は求めています。

07委託元としての報告と顧客への案内

メルマガの読者の情報は、配信を委託した会社が集め、管理している個人データです。委託先で漏れても、委託元の責任がなくなるわけではありません。個人情報保護委員会のガイドライン（通則編）は、委託先で漏えいが起きた場合について「原則として委託元と委託先の双方が報告する義務を負う」としています。委託先は、委託元に通知すれば報告義務を免れます。つまり、最後に報告の義務が残るのは委託元の側です。

報告が必要になる場合

委員会への報告が必要なのは、次のどれかに当たるときです。

• 要配慮個人情報（病歴など）が含まれる
• 不正に使われると財産的な被害が出るおそれがある（カード番号など）
• 不正の目的で行われたおそれがある行為による漏えい
• 本人の数が1,000人を超える

今回は外部からの不正アクセスによるものと発表されているので、3つ目の「不正の目的」に当たりうると考えられます。この場合は人数が少なくても対象になりえます。判断に迷う場合は、委員会の窓口や専門家に相談してください。制度の基本は個人情報保護法と個人情報保護委員会の用語ページでも説明しています。

報告の期限

ガイドラインでは、まず「速報」を、事態を知ってから概ね3〜5日以内に出します。そのあと「確報」を、知った日から30日以内、不正の目的によるおそれがある場合は60日以内に出します。報告は委員会のWebの報告フォームから行えます。業種によっては、所管の省庁が報告先になる場合があります。

ユミルリンクの発表には、委託元の報告をどう扱うかは書かれていません。連絡を受けた会社は、同社が委託元の名前を入れて報告しているのか、自社で別に出す必要があるのかを確認してください。

顧客への案内

報告対象になる場合は、本人への通知も「当該事態の状況に応じて速やかに」行う必要があります。メールアドレスしか分からず個別に通知しにくい場合は、事案の公表や、本人が自分の情報が対象か確かめられる問い合わせ窓口の公表といった代替措置が認められています。案内文には、次の点を入れると読者が動きやすくなります。

• 何が起きたか（委託先で不正アクセスがあったこと、委託先の名前）
• 漏れた、または漏れたおそれのある項目
• 自社を名乗る不審なメールの特徴と、自社がメールで尋ねないこと（パスワード、カード番号など）
• 問い合わせ窓口と受付時間

案内のメールを送るときは、偽メールと区別できるよう、URLを入れずに「公式サイトのお知らせをご確認ください」とする方法もあります。漏えい時の動き方は情報漏えいが起きたときにまとめています。

08ユミルリンクの対応

同社は、脆弱性のあるプログラムの修正、サポート・品質管理担当者の認証情報の削除、不正プログラムの検知体制の整備、管理画面やAPI（ほかのシステムとつなぐ口）への接続元IPの制限を行ったとしています。外部の専門家の協力を得て詳しい調査を続けるとしています。

公的機関には、警視庁、個人情報保護委員会、JIPDECに届け出ています。情報処理推進機構（IPA）には、全容の解明と原因の特定が終わりしだい届け出る予定です。

適時開示では、2026年12月期の業績への影響は精査中で、開示すべきことが出れば速やかに知らせるとしています。利用企業への補償や返金の方針は、10月29日時点で発表されていません。

09まだ分かっていないこと

• 最終的な件数：16システムは件数を調べている途中で、延べ件数は増える可能性があると同社は書いています
• 会社ごとに漏れた項目：アドレス帳の項目は会社ごとに違うため、調査が終わりしだい報告するとしています
• 脆弱性の中身：どのライブラリの、どの脆弱性かは公表されていません
• 影響を受けた会社の名前：ユミルリンクは利用企業の名前を公表していません。利用企業それぞれの発表を待つことになります
• 補償の方針：利用企業や読者への補償は発表されていません
• 迷惑メールとの関係：同社ドメインを使った迷惑メールと今回の漏えいの関係は、発表には書かれていません

10同じことを防ぐには（委託先の選び方と契約）

外部のサービスに配信を任せること自体は合理的です。大事なのは任せ方です。個人情報保護委員会のガイドラインは、委託元がすべき「委託先の監督」として、適切な委託先の選定、委託契約の締結、委託先での取扱状況の把握の3つを挙げています。これを中小企業向けに言い直すと、次のようになります。

選ぶとき

• 管理画面やAPIに接続元IPの制限や二段階認証をかけられるか。今回、同社はIP制限のない環境にあとから制限をかけています。自社で設定できる機能があるなら、最初から使っておきます
• ISMSやプライバシーマークなど、外部の認証を持っているか（ISMS認証、プライバシーマーク）。ただし認証があれば事故が起きないわけではありません
• 事故のときに、どの範囲を、いつまでに知らせてくれるかが決まっているか

契約するとき

• 漏えいやそのおそれが分かったとき、何時間以内に委託元に知らせるか
• 委託元の報告や本人通知に必要な情報（対象者、項目、件数）を出してもらえるか
• 調査費用や案内の費用、損害をどちらが負担するか
• 委託先がさらに別の会社に任せる場合（再委託）の扱い

使うとき

• 配信に要らない項目（生年月日、住所など）はアドレス帳に入れない。入れていなければ漏れません
• 退会者や長く開封のない読者のデータは定期的に消す
• 管理画面のアカウントを人ごとに分け、異動・退職時にすぐ消す
• どの会社にどの個人データを預けているかを一覧にしておく。今回のように「うちは使っていたか」をすぐ答えられます

あわせて、自社のドメインを名乗る偽メールを減らすために、送信ドメイン認証のDMARCを設定しておくと、読者側で偽物を弾きやすくなります。メールの対策製品はメールセキュリティ・訓練で比べられます。取引先から対策を求められたときの考え方は取引先から対策を求められたにあります。

11よくある質問

12今後の予定と更新方針

ユミルリンクは、新しい事実が分かった時点で改めて報告するとしています。続報では、調査中の16システムの件数、会社ごとに漏れた項目、IPAへの届け出、業績への影響が出てくる見込みです。次の報告の日時は示されていません。

この記事は、同社の続報や、影響を受けた会社の公式発表が出たら、日付を明記して更新します。数字はすべて公式の発表で確かめたものだけを載せ、報道だけで伝えられている情報は載せません。