Signal
📡 Signal｜ユミルリンク、配信先情報の流出を延べ4,786万件で確定
ユミルリンクが Cuenote FC の流出を延べ4,786万件で確定。49システムで、脆弱性からの直接侵入と、セッションを盗んだなりすましの CSV 出力の2つの手口が使われた。アイスタイルやエクスプレス予約にも波及。
ユミルリンク (東証グロース 4372) は11月11日、メール配信サービス「Cuenote FC」への不正アクセスについて第三報を出し、外部に持ち出された配信先の情報を延べ47,864,147件と確定した。10月26日の第二報で示した最大試算の延べ約5,162万件から、重複の計上などを除いて絞り込んだ。
数字は小さくなったが、確定値として残るのは約4,786万件だ。メールの配信を1社に任せていた多くの企業の利用者の情報が、委託先の基盤からまとめて出た。
何が確定したか
第三報によると、情報漏えいが起きたのは Cuenote FC の専用 ASP のうち49システムだ。持ち出された配信先情報を項目ごとに数えると、次のようになる (いずれも延べ件数)。
- メールアドレス: 47,864,147件
- 会員 ID: 30,500,167件
- 氏名: 6,665,055件
- 性別: 2,059,658件
- 郵便番号: 1,823,551件
- 都道府県: 1,212,868件
- 生年月日: 949,217件
- 電話番号: 412,794件
このほか、住所 152,868件、ハッシュ化されたパスワード 226,158件、会社名 98,381件、学校名 10,608件、顧客が運用するサービスの認証情報 420,419件 (2026年2月に閉鎖したサービスのもの) も含まれる。顧客管理システム「Cuenote BASE」では、契約企業の担当者の情報 190件が閲覧できる状態だった。クレジットカードなどの決済情報の流出は、現時点で確認されていない。
延べ件数は、同じ人が複数の企業の配信リストに載っていれば重ねて数える。4,786万件は流出した人数ではなく、配信リストの行数に近い数字だ。
2つの手口: 直接の侵入と、なりすましの CSV 出力
第三報は、攻撃の手口を2系統に分けて説明している。
1つ目は、プログラムの脆弱性を突いてサーバに不正プログラムを置き、データベースに直接入る手法だ。攻撃者は管理用の内部ネットワークを伝って別のサーバにも広がった。横展開の原因になったのは、全基盤に共通で置かれていた保守・QA 用のアカウントで、同社は10月18日から削除を始めている。第一報で公表した5システムがこの型だった。
2つ目は、ログイン中の正規利用者のセッション情報を盗み、その利用者になりすまして管理画面に入り、画面にもとからある CSV ダウンロード機能でデータを持ち出す手法だ。不正プログラムも直接の侵入も伴わず、正規の管理者の操作に見える。同社は10月22日からログイン・操作ログの遡及調査を行い、10月25日にこの型によるデータ出力を新たに特定した。第二報で対象が49システムに広がったのはこのためだ。
同社が異常に気づいたのは10月16日の朝6時49分で、担当者が自分のアカウントの異常を検知した。同日10時10分に攻撃元の IP を遮断し、20時46分に起点の脆弱性の修正を全基盤に入れている。
配信を任せた企業へ広がる
Cuenote FC を使っていた企業は、それぞれ自社の利用者に向けて公表を続けている。
- アイスタイル (@cosme) は11月9日、メール配信先の約280万人のメールアドレスなどが漏えいしたと公表した
- エクスプレス予約・スマートEX の会員では、172,735件のメールアドレス・会員 ID・氏名 (カタカナ)・会員種別が漏えいし、対象者には11月5日に個別の連絡が届いた
- これより前には honto や バンダイナムコ が、ユミルリンク経由の漏えいを公表している
同じ時期には、別の配信事業者 アララ でも侵入が起き、最大約380社に影響が広がった。メール配信は企業が外部に任せやすい業務で、1社の基盤に多くの企業のリストが集まる。どちらの事案でも、委託先1社の穴が数十社、数百社の利用者に同時に届く形をとった。
ユミルリンクは再発防止策として、AI を使ったソースコードのレビューと脆弱性の自動検知、共有の管理者権限の撤廃、全サーバの24時間365日の監視を挙げている。
次に見るもの
確認先は、TDnet に出るユミルリンクの「最終報」だ。同社は外部の専門機関からフォレンジック調査の報告書を受け取った段階で最終報を出すとしており、流出した項目の詳細もそこで確定する。もう一つは2026年12月期の業績への影響で、同社は精査中とし、開示すべき事項が出れば公表するとしている。決算短信の特別損失の欄に、この事案の費用がどう載るかを見る。
ことば
- Cuenote FC — ユミルリンクのメール一斉配信サービス。企業はここに会員のメールアドレスなどを預け、メールマガジンや通知を送る。専用環境 (専用 ASP) と共用環境の2つの形で提供されている。
- セッション情報 — ログインした後、利用者を毎回の操作で本人と見分けるための一時的な情報。これを盗まれると、パスワードを知られていなくても本人として操作されてしまう。
🔗 一次ソース
