Convika
無料で始める

ユミルリンク（Cuenote）5,162 万件：自分は対象？届いたメールの見分け方

Convika Team読了目安: 17 分

  • security
  • incident
  • data-breach
  • phishing
目次

情報は 2026 年 10 月 27 日 3 時 30 分（日本時間）時点です。ユミルリンクの第二報（10 月 26 日）と、利用を公表した各社のお知らせを 3 時 22〜30 分に読みました。ユミルリンクは「延べ件数は増加する可能性」があると書いており、各社の件数もまだ出そろっていません。最新は各出典で確かめてください。

ユミルリンクは 10 月 26 日の第二報で、メール配信サービス「Cuenote FC」の 49 システムから、メールアドレスなどの情報が延べ 51,628,280 件漏えいしたと発表しました。自分が対象かどうかは、多くの場合、使っているサービスからの個別の連絡でわかります。名前とメールアドレスを知った相手から偽メールが届きやすくなるので、メールのリンクは押さず、公式アプリかブックマークから開いてください。送信元が info@cuenote.jp の「セゾンカード」名のメールは、ユミルリンク自身が詐欺の可能性があると注意を呼びかけています。

この記事は、ニュースを見て「自分のアドレスも漏れた？」と気になった人と、届いたメールが本物か迷っている人に向けて書いています。後半に、Cuenote FC でメールを送っていた会社の担当者向けの節もあります。

何が起きたか

ユミルリンクによると、10 月 16 日 6 時 49 分、担当者が「システム01」の自分のアカウントの異常に気づき、調べると不正アクセスが見つかりました。攻撃者は、ライブラリ（プログラム）の脆弱性を使ってユミルリンクのサポート・品質管理担当者の認証情報を手に入れ、不正なプログラムを置いてデータベースからデータを出力していました。その認証情報とログイン時のセッション情報を使って、ほかのシステムにも入っています。

第一報（10 月 19 日）第二報（10 月 26 日）
漏えいを確認したシステム5 システムCuenote FC 49 システム、Cuenote BASE 1 システム（閲覧可能な状態）
件数メールアドレスを含む情報、延べ約 900 万件（試算）Cuenote FC で延べ 51,628,280 件。Cuenote BASE で 190 件
まだ数えているシステム—16 システム。「延べ件数は増加する可能性」がある

延べ件数は人数ではありません。同じ人のアドレスが、別の会社のシステムや、アドレス帳と配信記録の両方に入っていれば、その分だけ数えられます。

第二報では、不正アクセスが試みられたシステムは 81 あり、漏えいの跡が見つかった 49 システムは、どれも 1 社だけで使う専用のシステムでした。複数の会社で共同で使う 3 システムからの漏えいは 0 件です。Cuenote BASE は Cuenote を契約した会社の担当者の情報を管理するシステムで、190 件（企業名・氏名・電話・メールアドレス）が見られる状態でした。

ほかのサービス（Cuenote SR-S・SMS・Auth・Survey・Push・安否確認サービス）は「情報漏洩など影響はありません」としています。

漏れた可能性がある情報

ユミルリンクは、Cuenote FC に登録・記録される情報として次の 4 つを挙げ、アドレス帳の中身は会社ごとに違うので「調査が完了し次第ご報告」するとしています。

  • アドレス帳: 配信先のメールアドレスと、差し込みや抽出に使う氏名・都道府県・生年月日などの情報。何を登録していたかは、利用する会社ごとに違います
  • 配信記録: 一斉送信ごとの、送信先サーバーとの通信記録。メールアドレスを含みます
  • Web アクセス記録: メールマガジンの申し込みページからの登録や、マイページでの更新の記録
  • サービス利用者情報: Cuenote FC を使う会社の担当者の氏名・メールアドレス・住所・電話番号

10 月 26 日の時点で、漏えいした情報が広く公開された事実や、不正に使われた事実は「確認されておりません」と書いています。

どのサービスが対象か

ユミルリンクは、利用している会社の名前を出していません。次の表は、自社のお知らせでユミルリンクか Cuenote FC の利用を書いた会社だけを、そのお知らせから並べたものです（10 月 27 日 3 時 22〜30 分に確認）。ほかにも、まだ公表していない会社や、この表に入れられなかった会社があります。

会社・サービス（お知らせの日付）漏えいした（可能性がある）情報件数含まれないと書いてある情報
JR 東海・JR 西日本・JR 九州「エクスプレス予約」「スマートＥＸ」（3 社連名、10 月 26 日）メールアドレス、会員 ID、氏名（カタカナ）、会員種別「ユミルリンク株式会社にて確認中」上記以外の氏名、生年月日、住所、電話番号、クレジットカード番号、有効期限
大日本印刷（DNP）「honto」（10 月 21 日）メールマガジンの配信を許諾しているお客様の氏名、メールアドレス、システム内部の識別番号調査中パスワード、クレジットカード情報、購入履歴（メール配信システムでは持っていない）
野村證券「i-Port」、金融機関などが使うポートフォリオ管理ツール（10 月 23 日）加入者のメールアドレス等書かれていないポートフォリオの情報、証券取引口座の情報
埼玉県「ぷらっとさいたま -スマート農業導入ナビ-」、運営の委託先がユミルリンクのシステムを利用（10 月 20 日）法人は会社名・担当者名・メールアドレス・業種、個人は氏名・メールアドレス・業種669 者—
アスマーク「D style web」、アンケートモニターなど（第一報、10 月 26 日）主に配信先のアドレス帳のメールアドレスと氏名。配信によっては会社名ユミルリンクが特定中—
NTTPC（10 月 20 日）各サービスに登録した連絡先メールアドレス等（漏えいした可能性があるとして注意を呼びかけ）書かれていない。お客さまの情報への「影響は確認できておりません」が、可能性を「完全には否定できない」として公表—

新幹線の予約サービスの件数は、朝日新聞が 10 月 26 日 22 時 12 分の記事で「会員 17 万件分」と報じています。ただ、3 社のお知らせ（3 時 24 分に読んだ版）は、件数を「ユミルリンク株式会社にて確認中」としています。JR 3 社によると、対象になるおそれがあるのは、Cuenote FC で一部の会員に送った販売促進のメールや、熊本地震の影響で発車時刻が変わったことを知らせるメールなどを受け取った会員です。JR 東海が持つ予約システムからの漏えいは確認されていません。

H2O リテイリングの 126 万件のお知らせに、ユミルリンクの名前はない

TBS NEWS DIG（10 月 26 日）は、ユミルリンクのシステムを利用していた会社としてエイチ・ツー・オー リテイリングの名前を挙げ、見出しに阪急百貨店と書いています。ただ、エイチ・ツー・オー リテイリングが 10 月 19 日に出した「約 126 万件」のお知らせは、「阪急百貨店・阪神百貨店予約サイト」を経由して自社の顧客管理システムに不正アクセスがあった件です。このお知らせには、ユミルリンクの名前も、ユミルリンクの件と関係があるかどうかも書かれていません（3 時 26 分に確認）。H2O ID の 126 万件を、ユミルリンクの件数に足さないでください。

自分は対象か

自分のアドレスが入っているかを、受信者が自分で調べる方法はありません。ユミルリンクのお知らせにも調べ方は書かれておらず、ユミルリンクは対象の可能性がある利用企業に直接連絡しています。第二報では、新しく見つかった 42 システム（42 社）に 10 月 26 日 12 時 30 分までに連絡しました。

連絡を受けた会社が、対象の人に知らせます。JR 3 社は「電子メールその他の適切な方法により個別にご連絡」、honto は対象とわかった人へ「個別にご連絡」、野村證券は対象の金融機関などに「個別にご案内」すると書いています。埼玉県は、669 者におわびと注意のメールを送りました。

当てはまりそうかの目安は次のとおりです。

  • 上の表のサービスから、メールマガジンやお知らせメールを受け取っていた
  • 使っているサービスから、ユミルリンクや Cuenote の名前が入ったおわびのメールや手紙が届いた
  • アドレスを登録していない会社の名前で、急に「ご利用確認」などのメールが届くようになった（これだけでは決められません。漏えいと関係のない迷惑メールも毎日届きます）

「対象のお知らせが届いた」というメール自体が偽物のこともあります。おわびのメールが届いたら、メールのリンクではなく、その会社のサイトを自分で開いて、同じお知らせが載っているかを確かめてください。

届いたメールの見分け方

ユミルリンクの第二報は、ユミルリンクのドメインを使い、第三者になりすました迷惑メールが複数見つかっていると書いています。ユミルリンクも、名前を使われた第三者も送信を指示しておらず、「詐欺の可能性がありますので、十分にご注意ください」としています。

見るところ第二報が挙げた迷惑メールの例
件名「ご利用確認のお願い」「利用内容確認のご依頼」
送信者名と送信元アドレスセゾンカード＜info@cuenote.jp＞、SAISON＜info@cuenote.jp＞

送信者名は、だれでも好きな名前にできます。＜＞の中のアドレスの @ より右（ドメイン）が、その会社の挙げるドメインでなければ、偽物を疑う手がかりになります。ただし、送信元のアドレスまで本物らしく偽ったメールもあり、知っているドメインから届いたことは本物の証拠になりません。各社が自分のメールについて書いていることは次のとおりです。

  • セゾンカード: 第三者の利用が疑われる取引の確認は SMS で行い、「当社からご利用確認としてメールでお客様にご連絡をすることはございません」としています（2024 年 10 月 8 日のお知らせ）。よくある質問では、自社のメールを @mail.saisoncard.co.jp・@mail2.saisoncard.co.jp・@cs.saisoncard.co.jp・@saisonid.com から送っていると書いています（ほかにもメールでの案内がある、とも書いています）。cuenote.jp は入っていません。
  • エクスプレス予約・スマートＥＸ: メールで添付ファイルを開かせたり、URL を指定してクレジットカードの情報やパスワードを入力させたり、返信を求めたりすることは「ありません」としています（2025 年 7 月 25 日更新のお知らせ）。偽メールはデザインをまねていて「見た目での判断が困難」とも書いています。
  • ユミルリンク: メールや SMS、電話で、パスワード・認証コード・クレジットカード情報などを直接たずねることは「一切ございません」としています。

見た目や送信元がそっくりでも、メールのリンクからは開かず、公式アプリか自分で保存したブックマークからサービスを開く、と決めておくのがいちばん確かです。メールの中のリンクから入ったページは、本物と同じに見えても偽のサイトのことがあります。

今日すること

1. メールのリンクを押さず、公式アプリかブックマークから開く

「ご利用確認」「パスワードの再登録」などのメールが届いたら、リンクも添付ファイルも開かず、返信もしないでください。確かめたいときは、ふだん使っている公式アプリか、自分で保存したブックマークからサービスを開きます。

2. 入力してしまったら、すぐにカード会社とサービスに連絡する

偽のサイトにクレジットカードの情報を入れたときは、エクスプレス予約・スマートＥＸのお知らせのとおり、自分でカード会社に電話して利用停止などの手続きをしてください。パスワードを入れたときは、本物のサイトを自分で開いて、すぐにパスワードを変えます。

3. 同じパスワードを使い回している所を変える

今回漏れたと書かれているのはメールアドレスや氏名で、パスワードが漏れたと書いた会社はありません。それでも、アドレスを知った相手は、よくあるパスワードを試してログインしようとします。ユミルリンクは、同じパスワードをほかのサービスでも使っているなら変え、できれば二段階認証を使うよう勧めています。エクスプレス予約・スマートＥＸも、パスワードを複数のサービスで使い回さないよう求めています。

4. 対象のお知らせが届いたら、会社のサイトで同じ内容を確かめる

「あなたの情報が漏えいしました」というメールや手紙が届いたら、その会社のサイトを自分で開き、同じお知らせが出ているかを見てください。問い合わせは、お知らせに書かれた窓口へ。ユミルリンクの窓口は、電話 03-6820-0088（平日 9 時〜20 時）と support@cuenote.ne.jp です。

Cuenote FC でメールを送っていた会社の担当者へ

ユミルリンクは、対象の可能性がある利用企業に直接連絡し、10 月 26 日 12 時 30 分までに新たな 42 社にも連絡したと書いています。連絡が来ていなくても、自社が使っているのが専用のシステムか共用のシステムかを、営業担当か上の窓口に確かめてください。

個人情報保護委員会への報告と本人への通知

個人情報保護法 26 条 1 項は、個人の権利利益を害するおそれが大きい漏えいなどが起きたとき、個人情報取扱事業者に個人情報保護委員会への報告を求めています。報告が要るのは、個人情報保護委員会の案内によると、要配慮個人情報が含まれるとき、財産的な被害が出るおそれがあるとき、不正の目的による（おそれがある）とき、1,000 人を超えるときの 4 つです。今回は第三者の不正アクセスなので、人数が少なくても 3 つ目に当たるかを確かめてください。

同じ条文のただし書きで、委託を受けた事業者（ここではユミルリンク）は、委託した事業者に知らせれば、自分で委員会に報告しなくてよいとされています。つまり、配信を委託した会社が、自社として報告する立場です。報告は、発覚から 3〜5 日以内をめどにした速報と、30 日以内（不正の目的によるものは 60 日以内）の確報の 2 回です。26 条 2 項は、原則として本人への通知も求めています。

JR 3 社は 10 月 26 日に委員会へ報告し、対象者に個別に連絡するとしています。どこまでが報告・通知の対象になるかは、自社が Cuenote FC に何を登録していたかで変わります。アドレス帳の中身を確かめ、ユミルリンクから件数と項目の報告を受け取ってください。

よくある質問

ユミルリンクの漏えいは何件ですか？

10 月 26 日の第二報で、Cuenote FC の 49 システムから延べ 51,628,280 件、Cuenote BASE から 190 件です。16 システムはまだ数えていて、延べ件数は増える可能性があるとしています。延べ件数なので、人数とは違います。

Cuenote とは何ですか？

ユミルリンクが提供するメール配信などのサービスの名前です。漏えいしたのは、一斉送信のメール配信サービス「Cuenote FC」と、Cuenote を契約した会社の担当者の情報を管理する「Cuenote BASE」です。ほかの Cuenote のサービスに影響はないとしています。

自分のメールアドレスが漏れたか調べられますか？

ユミルリンクのお知らせに、受信者が自分で調べる方法は書かれていません。ユミルリンクは利用企業に連絡し、利用企業が対象の人に個別に知らせる流れです。使っているサービスのお知らせと、そこからの連絡を確かめてください。

JR の新幹線予約は対象ですか？

「エクスプレス予約」と「スマートＥＸ」の会員のうち、Cuenote FC で配信したメールを受け取った一部の会員が対象です。JR 東海・JR 西日本・JR 九州は 10 月 26 日の連名のお知らせで、メールアドレス・会員 ID・氏名（カタカナ）・会員種別が漏えいしたと書いています。生年月日・住所・電話番号・クレジットカード番号などは「漏えいの可能性はありません」としています。件数は、お知らせでは確認中です。

クレジットカードの番号は漏れましたか？

表に入れた会社で、カード番号が漏れたと書いた会社はありません。JR 3 社はカード番号と有効期限は漏えいの可能性がないとし、honto はメール配信システムにクレジットカード情報を持っていないとしています。

info@cuenote.jp から「セゾンカード」のメールが届きました。本物ですか？

ユミルリンクは、info@cuenote.jp から「セゾンカード」「SAISON」の名前で届く「ご利用確認のお願い」「利用内容確認のご依頼」を、詐欺の可能性がある迷惑メールの例として挙げています。セゾンカードは、ご利用確認をメールでは送らないとしています。リンクを押さずに削除してください。

パスワードを変えたほうがいいですか？

漏れたと書かれているのはメールアドレスや氏名で、パスワードではありません。ただ、同じパスワードをいくつものサービスで使っているなら、この機会に変えてください。ユミルリンクも、使い回しているパスワードの変更と二段階認証を勧めています。

H2O リテイリングの 126 万件と同じ事件ですか？

H2O リテイリングの 10 月 19 日のお知らせは、百貨店の予約サイトを経由して自社の顧客管理システムに不正アクセスがあった件です。ユミルリンクの名前も、関係があるかどうかも書かれていません。

ほかの漏えいのニュース

同じ 10 月 26 日には、楽天トラベルも海外ホテル予約サイトの一部のページと多言語予約サイトへの不正アクセスを発表しています。対象の人と含まれる情報は楽天トラベル不正アクセス 260 万件：対象の人と今することにまとめています。

出典

更新の記録

  • 2026 年 10 月 27 日: 公開。出典は 10 月 27 日 3 時 22〜31 分（日本時間）に読んだものです。

関連記事

記事を共有する