この記事の要点（確認時刻：2026年10月28日 16:10ごろ）
- メール配信システム「Cuenote（キューノート）」を提供するユミルリンク株式会社のシステムに不正アクセスがあり、Cuenote FC（メールの一斉配信）の49システムで情報が漏えいしました。延べ件数は51,628,280件です（10月26日の第二報）。
- 漏えいした件数をまだ調べているシステムが16あり、件数は今後増える可能性があるとしています。
- Cuenote FCを使っていた会社や自治体が、それぞれ「お詫びとお知らせ」を出しています。下の一覧にまとめました。
- 漏れたのは主にメールアドレスと、会社ごとに登録していた氏名などの付属情報です。どこまで含まれるかは会社ごとに違うため、一覧の「漏れた情報」の欄と各社のお知らせを確かめてください。
- ユミルリンクのドメインを使い、セゾンカードをかたる迷惑メールが確認されています。お知らせを読んだあとに届くメールにも気をつけてください。
ほかの不正アクセス・情報漏えいは → 不正アクセス・情報漏えい チェッカー（サービス名で検索できます）／2026年10月の不正アクセスまとめ
何が起きたか（ユミルリンクの第二報）
ユミルリンクは10月19日に第一報、10月26日に第二報を東京証券取引所の適時開示で公表しました。第二報の内容は次のとおりです。
| サービス | 中身 | 影響 |
|---|---|---|
| Cuenote FC | メールの一斉配信 | ライブラリの脆弱性により、49システムで情報漏えい。延べ51,628,280件。ほかに件数を調査中のシステムが16 |
| Cuenote BASE | ユミルリンクの顧客管理システム | プログラムの脆弱性により、契約企業の情報190件（企業名・氏名・電話・メールアドレス）が見られる状態だった |
| Cuenote SR-S／SMS／Auth／Survey／Push、安否確認サービス | 個別送信メール・SMSなど | 情報漏えいなどの影響はない |
Cuenote FCに入っている情報
- アドレス帳：配信先のメールアドレスと、差し込みや抽出に使う氏名・都道府県・生年月日などの付属情報。どの項目を登録していたかは利用企業ごとに違います。
- 配信記録：一斉送信ごとの通信記録。メールアドレスを含みます。
- Webアクセス記録：メルマガ申し込みページからの登録や、マイページでの更新の記録。
- サービス利用者情報：Cuenoteを使う企業の担当者の氏名・メールアドレス・住所・電話番号。
おもな経緯
- 10月16日 6:49 ユミルリンクの担当者が自分のアカウントの異常に気づき、調査を始める。10:10にライブラリの脆弱性による攻撃と特定
- 10月17日〜18日 不正なプログラムが置かれたシステムを順に停止。18日 14:15 予防のため同じデータセンターの全システムを停止
- 10月19日 警視庁へ通報、個人情報保護委員会へ届出。第一報を公表
- 10月20日 1:00 停止していたほかのシステムを順に再開
- 10月25日 21:45 新たに42システムで不正アクセスとデータ出力の記録を確認
- 10月26日 12:30 新たに影響が分かった42社に連絡。同日、第二報を公表
第二報の時点で、漏えいした個人情報が広く公開された事実や、不正利用された事実は確認されていないとしています。
お詫び・お知らせを出した会社の一覧
Cuenote FC（ユミルリンク）の件として、会社・団体が自分で出したお知らせを並べています。新しい発表を見つけたら追加します。会社名が載っていなくても、その会社が関係ないとは限りません（ユミルリンクは個別に連絡しているため、まだ公表していない会社もあります）。
26件（公表日の新しい順。incidents の更新に合わせて自動で増えます）
| 公表日 | 会社・サービス | 件数 | 漏れた（可能性のある）情報 | 状況 | 出典 |
|---|---|---|---|---|---|
| 2026/10/28 | 株式会社ペルソナ（エイチ・ツー・オー リテイリング株式会社 子会社） 各種メールマガジン・入会サンクスメール・各種お知らせ | 28,052件（2024年11月〜2026年2月入会の会員） | ニュースやイベント案内を受け取っている方のメールアドレス。その他の個人情報は含まれない | 漏えいの可能性 | H2Oリテイリング/ペルソナ 報道資料 |
| 2026/10/28 | 株式会社アニメイト アニメイト通販・ポケットドラマCD（ポケドラ）のメールマガジン | 調査中（ユミルリンクが調査中） | メールアドレス、性別、居住都道府県、アニメイト会員コード。氏名・住所・年齢・電話番号・クレジットカード情報・パスワードは漏えいしていない | 漏えい確認 | アニメイト お詫びとお知らせ（10/28） |
| 2026/10/27 | 株式会社BANDAI SPIRITS（バンダイナムコエンターテインメントと連名） 「THE GUNDAM BASE MEMBERS」（バンダイナムコIDのメールサービス） | 346,247件 | メールアドレス、バンダイナムコID管理用の内部識別子。氏名・住所・購入履歴・ログインパスワード・カード情報は対象外 | 漏えい確認 | バンダイナムコID お知らせ（10/27 21:00） |
| 2026/10/27 | 株式会社りそな銀行・株式会社埼玉りそな銀行・株式会社関西みらい銀行 メール配信（ユミルリンク「Cuenote FC」） | 記載なし（ユミルリンクで調査中） | メールアドレス、メール配信用に採番した管理番号（これだけでは個人を特定できない）。口座番号、暗証番号、パスワード、クレジットカード情報などは含まれない | 漏えいの可能性 | りそな銀行・埼玉りそな銀行・関西みらい銀行 お知らせ（10/27、PDF） |
| 2026/10/27 | 株式会社宣伝会議 メールマガジン配信（ユミルリンク「Cuenote FC」） | 記載なし（ユミルリンクで確認中） | メールアドレス、氏名、勤務先（会社名・部署名・役職）、職種、都道府県。カード情報は含まれない | 漏えいの可能性 | 宣伝会議（10/27 PR TIMES） |
| 2026/10/27 | 株式会社ソースネクスト Cuenote FCで配信していた同社からのメール | 記載なし（現時点では確定しておらず確認中） | Cuenote FCに登録されていたお客様の個人情報（メールアドレス等）。パスワードおよびクレジットカード情報は含まれない。10/15公表の自社サイト不正アクセスとは別事案 | 漏えいの可能性 | ソースネクスト お知らせ |
| 2026/10/27 | 株式会社インプレス メールマガジン等 | 記載なし（被害件数・対象者を調査中） | メールアドレス、氏名（一部）、会社名（一部）。クレジットカード情報・口座情報・パスワードは保存しておらず対象外 | 漏えいの可能性 | インプレス ニュースリリース |
| 2026/10/27 | エヌ・ティ・ティ・ピー・シー コミュニケーションズ株式会社（NTTPC） 各種サービスのお客さま向けメール配信 | 記載なし | サービス利用者の連絡先メールアドレス等（ユミルリンクから漏えい対象に含まれると報告、詳細確認中）。含まれない情報の記載なし。第一報は2026-10-20 | 漏えいの可能性 | NTTPC インフォメーション |
| 2026/10/27 | 株式会社さとふる ふるさと納税サイト「さとふる」の一部メール配信 | 確認中 | さとふるが保存していた情報の一部（項目は確認中）。クレジットカード等の情報はこのシステムで保管していないため漏えいの恐れなし | 漏えい確認 | 会津若松市（さとふるの公表内容を掲載、10/27）・さとふる お知らせ |
| 2026/10/26 | 株式会社毎日新聞社 ニュース速報・朝昼夕ニュースレター・各種メールマガジン・お知らせのメール配信 | 記載なし | ニュースやイベントの案内をメールで受け取っている人のメールアドレス等。クレジットカード情報は含まれない | 漏えいの可能性 | 毎日新聞社 お知らせ（10/26） |
| 2026/10/26 | 株式会社朝日新聞社 メール配信（ユミルリンク「Cuenote FC」のアドレス帳） | 確認中 | Cuenoteに登録していたアドレス帳（メールアドレスや氏名など、実際に出力された項目は確認中）。クレジットカード情報・ログインパスワードは含まれない | 漏えいの可能性 | 朝日新聞社 お知らせ（10/26、10/27追記） |
| 2026/10/26 | サイボウズ株式会社 各種お知らせのメール配信（一部） | 記載なし（影響範囲は確認できていない） | 各種お知らせの配信先として登録されたメールアドレス等 | 漏えいの可能性 | サイボウズ お知らせ（10/26） |
| 2026/10/26 | バリューコマース株式会社 お客さま向けのメール配信（ユミルリンク「Cuenote FC」） | 調査中 | Cuenote FCに登録していたアドレス帳データ（項目は調査中） | 漏えいの可能性 | バリューコマース お知らせ（10/26） |
| 2026/10/26 | 株式会社日本能率協会マネジメントセンター メール配信（ユミルリンク「Cuenote」） | 確認中 | Cuenoteで扱っていた情報の一部（項目・件数は確認中） | 漏えい確認 | 日本能率協会マネジメントセンター お知らせ（10/26、PDF） |
| 2026/10/26 | 株式会社アスマーク アンケート依頼・メールマガジン・サービス連絡のメール配信（D style web など） | 調査中（ユミルリンクが特定作業中） | メールアドレス・氏名を中心とした配信先の登録情報。配信内容によっては所属企業名等 | 漏えいの可能性 | アスマーク お知らせ（第一報、10/26）・D style web お知らせ |
| 2026/10/26 | 東海旅客鉄道（JR東海）・西日本旅客鉄道（JR西日本）・九州旅客鉄道（JR九州） 新幹線ネット予約「エクスプレス予約」「スマートEX」のお知らせメール | ユミルリンクで確認中 | メールアドレス、会員ID、氏名（カタカナ）、会員種別。漢字の氏名・生年月日・住所・電話番号・カード番号・有効期限などは漏えいの可能性なし | 漏えい確認 | JR東海・JR西日本・JR九州 お知らせ（10/26、PDF） |
| 2026/10/26 | 株式会社かたばみ Cuenote FC によるメール配信 | 記載なし | 記載なし（当社登録情報について不正アクセス・流出の事実は確認されていない。初報は2026-10-20） | 不正アクセスのみ | かたばみ ニュース |
| 2026/10/23 | 株式会社アイスタイル 一部のメール配信（@cosme など） | 記載なし | 記載なし（クレジットカード情報は本件システムで保持・送信していない） | 不正アクセスのみ | アイスタイル お知らせ（10/23）・@cosme お知らせ |
| 2026/10/23 | 野村證券株式会社 金融機関等向けポートフォリオ管理ツール「i-Port」の加入者向けメール配信 | 記載なし（対象の金融機関等に個別に案内） | メールアドレス等（ポートフォリオ・証券取引口座の情報は含まない） | 漏えいの可能性 | 野村ホールディングス お知らせ（10/23） |
| 2026/10/22 | 緑邦産業株式会社 Cuenote FC による配信メール | 記載なし | 記載なし（続報で当社利用環境での情報漏洩は確認されていないとの連絡） | 不正アクセスのみ | 緑邦産業 ニュース |
| 2026/10/21 | 大日本印刷株式会社 ハイブリッド型総合書店「honto」のメールマガジン | 調査中 | hontoメールマガジンの配信を許諾している人の氏名、メールアドレス、システム内部の識別番号。パスワード、クレジットカード情報、購入履歴はメール配信システムで保有していない | 漏えいの可能性 | 大日本印刷 お知らせ（10/21、PDF）・honto お知らせ |
| 2026/10/21 | 株式会社オークファン オークファン／オークファンプロPlus のメール配信 | 記載なし | メールアドレス。クレジットカード情報は含まれない（2026-10-26更新） | 漏えいの可能性 | オークファン ヘルプ |
| 2026/10/20 | 埼玉県 ホームページ「ぷらっとさいたま -スマート農業導入ナビ-」 | 669者 | 法人：法人名、担当者名、担当者のメールアドレス、業種。個人：氏名、メールアドレス、業種 | 漏えいの可能性 | 埼玉県 報道発表（10/20） |
| 2026/10/20 | 株式会社カクヤス 飲食店向けメールマガジン | 記載なし | 漏えいの可能性がある情報：飲食店名、社名、氏名、メールアドレス。ただしカクヤス登録情報が被害対象に含まれるとの確認はされていない（10/22更新） | 漏えいの可能性 | カクヤス プロナビ |
| 2026/10/20 | 一般社団法人 運輸デジタルビジネス協議会（TDBC） 会員向けメール配信 | 記載なし | 当初は一部会員の個人情報が取得・閲覧された可能性としたが、提供事業者から情報漏えいは確認されていないと連絡 | 不正アクセスのみ | TDBC ニュース |
| 2026/10/20 | 株式会社山陽新聞社 ニュース速報・気象情報・列車遅延情報・朝夕ニュースレター・記者セレクト・ファジアーノ速報 | 記載なし | 当社利用環境では情報漏えいは確認されていない（第3報）。会員情報も漏えい未確認 | 不正アクセスのみ | さんデジ お知らせ（第3報） |
件数の「記載なし」「調査中」は、その会社のお知らせに件数が書かれていないものです。状況の「漏えいの可能性」「漏えい確認」は、各社のお知らせの書き方に合わせています。
メールが届いた人がやること
- お知らせのメールが本物か確かめる。メールのリンクは押さず、その会社の公式サイトを自分で開いて、同じお知らせが出ているかを見てください。この一覧の「出典」からも公式ページを開けます。
- セゾンカードなどをかたるメールに気をつける。ユミルリンクは、件名「ご利用確認のお願い」「利用内容確認のご依頼」、差出人「セゾンカード<[email protected]>」などの迷惑メールを確認したとしています。カード番号やパスワードを入れる画面に誘導されても入力しないでください。
- パスワードの使い回しをやめる。Cuenote FCに入っていたのは主にメールアドレスなどで、各社とも「カード情報やログインパスワードは含まれない」としている例が多いです。それでも、同じメールアドレスと同じパスワードをいろいろなサービスで使っているなら、この機会に変えておくと安心です。
- メルマガを止めたいときは、その会社のサイトから配信停止の手続きをしてください。届いたメールの中のリンクから操作する前に、公式サイトの案内と同じかを確かめてください。
Cuenote FCを使っていた会社の担当者がやること
ユミルリンクから連絡を受けた会社は、自社の顧客に向けてお知らせを出すかどうか、個人情報保護委員会へ報告するかどうかを決める必要があります。委託先で起きた漏えいでも、顧客の情報を預かっている会社（委託元）にも報告と本人への通知の義務がかかる場合があります。
- 何が出たかを確かめる：自社のアドレス帳に、メールアドレスのほかに何の項目を登録していたか（氏名・生年月日・会員番号・勤務先など）。
- 件数を確かめる：ユミルリンクから伝えられた件数と、自社の配信リストの件数。
- 報告・通知が必要か判断する：個人情報保護委員会への速報（おおむね3〜5日以内）と確報（30日以内、不正の目的によるおそれがある場合は60日以内）、本人への通知。
- お知らせを出す：何が漏れたか、何が漏れていないか、利用者にお願いしたいこと、問い合わせ先。先に出した会社のお知らせは上の一覧から読めます。
- なりすましメールに備える：自社名をかたる偽メールが出る前提で、問い合わせ窓口の案内とFAQを用意しておく。
委託先から漏えいの連絡が来た会社の方へ
Webセキュリティ診断センターでは、委託先で起きた漏えいについて、影響範囲の整理、利用者へのお詫び・お知らせ文の作成、個人情報保護委員会への報告の準備を手伝っています。自社のWebサイトやメール配信の設定に、ほかに危ないところがないかの確認もできます。相談はこちら
Webセキュリティ診断センターでは、委託先で起きた漏えいについて、影響範囲の整理、利用者へのお詫び・お知らせ文の作成、個人情報保護委員会への報告の準備を手伝っています。自社のWebサイトやメール配信の設定に、ほかに危ないところがないかの確認もできます。相談はこちら
よくある質問
Cuenoteを使っていた会社は全部で何社ですか？
ユミルリンクは、情報が出たシステムを49としていますが、会社名の一覧は公表していません。この記事の一覧は、各社が自分で出したお知らせを集めたものです。
クレジットカードの情報は漏れましたか？
一覧の多くの会社は「カード情報は含まれない」としています。ただし項目は会社ごとに違うため、自分が登録している会社のお知らせを確かめてください。
原因はPHPの脆弱性ですか？
ユミルリンクは「ライブラリの脆弱性」「プログラムの脆弱性」としていますが、どのソフトの、どの脆弱性かは公表していません。PHPの脆弱性（php2shell）が原因だとは書かれていません。
ユミルリンクへの問い合わせ先は？
不正アクセス専用の窓口があります。電話 03-6820-0088（平日9:00〜20:00）、メール [email protected] です。自分の情報が入っていたかどうかは、メルマガを受け取っていた会社に問い合わせるほうが早いことが多いです。
参考にした情報
- ユミルリンク「当社システムへの不正なアクセスに関するご報告（第二報）」（PDF、2026年10月26日）
- ユミルリンク 第一報（PDF、2026年10月19日）
- 各社のお知らせ（一覧の出典欄）
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」
