Cuenote第二報5162万8280件は延べ件数、49システムと対象外サービスを分ける

資料で確認できること

Cuenote FCは49システムで出力を確認、16システムは件数を調査中

公式第二報では、Cuenote FCの単一企業向け78システムのうち49システムで情報漏えいの痕跡を確認し、漏えいのおそれがある情報を5162万8280件（延べ件数）としています。複数企業が利用する3システムでは、漏えいの痕跡と件数はいずれも0とされています。

49システムのうち16システムは件数の調査中で、延べ件数が増える可能性があります。10月25日に新たに42システムの不正アクセスとデータ出力記録を確認し、対象42社には26日12時30分までに連絡したと説明しています。

• 資料 01ユミルリンク株式会社：当社システムへの不正なアクセスに関するご報告（第二報）

資料で確認できること

10月16日に確認、脆弱性・認証情報・不正プログラムを調査

会社は10月16日6時49分に担当者のアカウント異常を把握し、同日10時10分にライブラリの脆弱性を利用した攻撃を特定したとしています。その後、サポート・品質管理担当者の認証情報の取得、不正プログラムの設置、データベースからの出力、他システムへの認証の試みを確認しました。

脆弱性修正、認証情報の削除、不正プログラムの検知、接続元IP制限などを進め、警視庁、個人情報保護委員会、JIPDECへ届け出たと説明しています。これらの対策実施と、全容の解明が完了したことは同じではありません。

• 資料 01ユミルリンク株式会社：当社システムへの不正なアクセスに関するご報告（第二報）

当事者の説明

登録情報は利用企業ごとに異なる　アドレス帳・配信記録などが対象

Cuenote FCには、配信先メールアドレス、差し込みや抽出に使う氏名・都道府県・生年月日などの付属情報、通信先サーバーとの配信記録、申込ページやマイページの更新記録、サービス利用企業の担当者情報などが登録・記録されます。

会社は、アドレス帳の登録項目は利用企業ごとに異なるため、調査後に報告するとしています。列挙されたすべての項目が、すべての対象システムや登録者について漏えいしたと確定したわけではありません。

• 資料 01ユミルリンク株式会社：当社システムへの不正なアクセスに関するご報告（第二報）

当事者の説明

Cuenote BASEは190件　6サービスは影響なしと説明

顧客管理システムCuenote BASEでは、契約者情報190件が閲覧可能な状態だったと説明しています。項目は企業名、氏名、電話番号、メールアドレスです。FCの延べ件数とBASEの契約者情報を一つの単位にまとめてはいけません。

Cuenote SR-S、Cuenote SMS、Cuenote Auth、Cuenote Survey、Cuenote Push、安否確認サービスについて、会社は情報漏えいなどの影響はないとしています。Cuenoteという名称だけで、全サービスに同じ影響があったと広げる根拠はありません。

• 資料 01ユミルリンク株式会社：当社システムへの不正なアクセスに関するご報告（第二報）

当事者の説明

不特定多数への公開・不正利用は未確認、送信元を装う迷惑メールは確認

第二報の時点で、漏えいした個人情報が不特定多数へ公開された事実や、本事案に起因する個人情報の不正利用は確認されていないとしています。未確認は『起きていないと証明された』ことと同じではないため、続報が必要です。

一方、会社のドメインを利用して第三者を装う迷惑メールが複数確認されたと公表しています。表示名や送信元だけで正規と判断せず、本文のリンクや添付ファイルを開かないこと、会社がメール・SMS・電話でパスワード、認証コード、カード情報を直接尋ねないとの注意を確認してください。

• 資料 01ユミルリンク株式会社：当社システムへの不正なアクセスに関するご報告（第二報）

未確認の点

固有人数、企業ごとの項目、16システムの件数、二次利用は未確定

10月28日の確認時点で、延べ件数に対応する固有の人数・メールアドレス数、対象企業ごとの登録項目、調査中16システムの件数、すべての侵入経路と時間帯、情報の二次利用、追加の影響は公開資料だけでは確定できません。

会社から個別連絡がない利用企業については、第二報時点でその利用環境の漏えいが確認されていないと説明されています。これは、今後の調査結果まで含めた恒久的な非対象の保証ではないため、利用企業からの最新案内を確認します。

• 資料 01ユミルリンク株式会社：当社システムへの不正なアクセスに関するご報告（第二報）

確認の範囲

このコラムの確認範囲

本稿は2026年10月28日に取得したユミルリンクの10月26日付公式第二報を確認しました。JBJは同社、利用企業、登録者、専門家、関係機関、攻撃者へ直接取材しておらず、システム、ログ、流出データ、個別通知を独立に確認していません。掲載画像は共通基盤と影響範囲を整理する説明用イメージで、実際の職員・利用者・設備・画面・メール・被害記録ではありません。

• 資料 01ユミルリンク株式会社：当社システムへの不正なアクセスに関するご報告（第二報）

JBJの見解

確認された漏えいを重く扱い、延べ件数を人数へ置き換えない

49システムでメールアドレスなどの出力が確認されたことは重大です。利用企業と情報を登録された人が、対象範囲、通知、二次被害への対応を確認できるよう、調査結果と更新を継続して示す必要があります。

一方、5162万8280件は会社が『延べ件数』と明記した数字です。同じ人やアドレスに関する複数の記録が含まれる可能性があり、5162万8280人、同数の被害者、同数の不正利用が確認されたという意味ではありません。数字を小さく扱わず、単位も変えないことが重要です。

JBJの見解

利用サービス、配信登録、通知、不審な連絡を分けて保存する

利用企業は、契約サービス、対象システムに関する通知、登録項目、配信先への案内、公式第二報のURLと確認日時、問い合わせ対応を整理してください。登録者は、どの企業の配信に登録したか、届いた案内、不審なメールやSMSを分けて残します。

Cuenoteのログインパスワードを使い回している場合は、会社の案内に沿って変更し、可能なら二段階認証を設定します。パスワード、認証コード、カード情報、第三者のメールアドレス一覧を公開投稿や相談本文へ載せないでください。

• 資料 01ユミルリンク株式会社：当社システムへの不正なアクセスに関するご報告（第二報）