ユミルリンクのCuenote FCで延べ約900万件を出力、契約していない人にも関わりうる上流構造

2026年10月21日

この記事のポイント

いつ：10月16日(金)未明に不正アクセスを確認し、19日に第一報を公表（同日19時5分に更新版）
何が：メール配信サービス「Cuenote FC」の専用ASPプラン5システムで、メールアドレスを含む情報が延べ約900万件出力されたと同社が試算
誰に：ユミルリンクと直接契約していなくても、利用企業から配信を受けていれば関係しうる。20日時点で確認できた範囲では、名指しで公表した利用先はNTTPCのみ
なぜ重要：「延べ」は件数で人数ではなく、「5」はシステム数で企業の数ではない。人数・利用先の数・出力された項目の詳細は未公表
読者がすること：確かめられるのは登録した各サービスからの告知。心当たりのないメールのURLや添付は開かない（NTTPCの呼びかけ）

配信を請け負う会社に、宛先が預けられている

10月19日、ユミルリンク株式会社は、メール配信サービス「Cuenote FC」の専用ASPプラン5システムで不正アクセスとデータ出力を確認したと公表しました。メールアドレスを含む情報が延べ約900万件出力されたと、同社は試算しています。

関わる立場は三つです。読者が会員登録や利用をする「登録先のサービス」、そのサービスからメールの配信を請け負う「ユミルリンクのような事業者」、そして読者自身です。ユミルリンクは、企業が会員や顧客に送るメールの配信を代行するため、宛先のメールアドレスがその仕組みの中に預けられます。事故が起きたのは各サービスの手元ではなく、配信を請け負う側のシステムです。

読者の側から見えるのは登録先のサービス名までで、その先の配信事業者を自分で知る手がかりは、通常ありません。契約していない事業者の事故が自分に関わりうるのは、この見えにくさのためです。

実例がNTTPCです。同社は各種サービスのメール配信にCuenote FCを利用していたと公表しています。読者がユミルリンクと契約していなくても、登録したサービスがここから配信していれば無関係とは言えません。

利用者が契約していない上流の事業者で起き、登録先を通じて自分に関わりうる点は、防災メール基盤で起きた不正アクセスと同型です。違いは、あちらが防災メールの基盤、今回がメール配信そのものを請け負う事業者という点です。

10月16日未明に確認、19日に第一報——報道では、サポート・品質管理担当者の認証情報が入口

ユミルリンクは10月19日に「当社システムへの不正なアクセスに関するご報告（第一報）」を公表しました。流れは次のとおりです。

日付	出来事
10月16日(金)未明	担当者が一部システムで不正アクセスを確認
10月19日 17時05分	第一報を公表
10月19日 19時05分	更新版を掲載
10月20日	NTTPCが、利用者の連絡先メールアドレス等が漏えいした可能性を公表

ITmedia NEWSの報道によると、手口は、まずプログラムの脆弱性（作りの欠陥）を突かれ、サポート・品質管理担当者のサービスへの認証情報（ログインに使うIDやパスワードなど）が取得されたというものです。その後、不正プログラムでデータベースからデータが出力され、取得した認証情報で他システムへの認証も試みられました。

対応として、同社は該当サーバをネットワークから切り離し、脆弱性の修正と担当者の認証情報の削除、不正プログラムの検知体制の整備を進めました。捜査機関へも届け出ています。外部専門家と詳細調査を続け、新事実が判明した時点で改めて報告するとしています（株探）。2026年12月期の業績への影響は精査中とされています。

「延べ約900万件」と「5システム」をどう読むか——人数にも企業数にも換算できない

ユミルリンクは、メールアドレスを含む情報が延べ約900万件出力されたと試算しています（INTERNET Watch）。「延べ」は件数の数え方です。重複を除いた人数もアドレスの種類数も公表されておらず、「900万人分」とは読めません。件数と人数が別物だった例は、会員番号の数を人数と取り違えないよう整理した記事でも扱っています。

対象は「専用ASPプラン」（ASPは、事業者のサーバ上の仕組みを利用企業がネット経由で使う形態）の合計5システムです。この「5」はシステムの数であり、被害を受けた企業の数ではありません。どの利用企業のどの情報が含まれるかも明らかにされていません（SmartScope）。

公表の言葉は立場ごとに違います。ユミルリンクの公表は「出力」、NTTPCは「漏えいした可能性」、報道の見出しは「漏えいか」「流出か」です。いずれの表現も、漏えいが確定したことを示すものではありません。

名指しで公表したのはNTTPCだけ——Cuenote FCの利用先に全数も一覧もない

20日時点で、Cuenote FCの利用を明示して影響を公表した組織として確認できたのはNTTPCのみです。同社は、サービス利用者の連絡先メールアドレス等が漏えいした可能性があると公表しました。現時点で影響は確認できていないものの可能性は否定できないとして、送信元が不明なメールや心当たりのないメールのURLへのアクセス、添付ファイルの開封を控えるよう呼びかけています。

注意したいのは、公表がない組織が「利用していない」とは限らない点です。Cuenote FCを使う企業・自治体の全数と一覧は明らかになっていません。

確かめる先は、登録した各サービスの告知

Cuenote FCの利用先は全数も一覧も公表されていないため、読者の側からユミルリンクの利用先を調べる手がかりは、今のところありません。エンドユーザーへの個別通知の有無も公表されておらず、個人が「対象か」を照会できる公式の窓口も、20日時点では見つかっていません。

入口になるのは、送信元のサービス名が付いた告知です。自分が会員登録や利用をしているサービスから今回の件に触れたお知らせが届いたら、その案内に沿って確認します。NTTPCの注意喚起は、その一例です。

二次被害（不正利用やフィッシング等）は、現時点で確認の報告はありません。それでも、NTTPCの呼びかけにならい、心当たりのないメールのURLや添付は開かないのが安全です。送信元の表示だけで信用しないでください。

侵入はいつからか、どの項目が出たか——20日時点で白紙のままの部分

読者の判断に効く点のうち、20日時点で公表されていないものは次のとおりです。

項目	20日時点
侵入の開始日・期間	公表されていない
メールアドレス以外の項目	氏名・電話番号・住所などを含むかは調査中
個人への通知	個別通知の有無は公表されていない
利用先の全数・一覧	公表されていない
重複を除いた人数	公表されていない

10月16日は不正アクセスを確認した日であり、侵入が始まった日ではありません。「メールアドレスを含む情報」の中身は調査中で、氏名や電話番号などを含むとも含まないとも言えません。