ユミルリンク不正アクセスで900万件流出か｜Cuenoteの対象者と確認方法

2026年10月19日、メール配信サービス「Cuenote（キューノート）」を運営するユミルリンクが、不正アクセスを受けたと公表したよ。メールアドレスを含む情報が、延べ約900万件も外部に出力されたと試算されているんだ。「自分も対象なの？」と気になるよね。ただ、10月20日時点では、対象の企業や個人を網羅した一覧は公表されていないよ。

ユミルリンク「Cuenote」で何が起きた？最新情報まとめ

結論から言うと、不正アクセスがあったのはCuenoteの全サービスではなく、「Cuenote FC 専用ASPプラン」のうちの5システムだよ。10月20日時点で、公式サイトに第二報は出ていなかったよ（私が公式ページを見た時点の確認）。

日付と公式発表でわかっていること

まず、確定していることだけを表にしてみたよ。

項目	内容
不正アクセスを確認	2026年10月16日（金）未明
公表	2026年10月19日（第一報。同日19時05分に補足を追記した更新版）
対象サービス	Cuenote FC 専用ASPプラン
対象システム	合計5システム
データ出力の規模	メールアドレスを含む情報を延べ約900万件出力したと試算
確認された対応	対象サーバーの切り離し、脆弱性（システムの弱点）の修正、担当者の認証情報の削除、捜査機関への届出
調査中の事項	出力されたデータの詳細、影響を受けた顧客企業、影響の詳細（外部専門家と調査予定）

詳しくは、ユミルリンクの公式発表（当社システムへの不正なアクセスに関するご報告）で確認できるよ。

「Cuenote」って何？知らない人向けに説明

Cuenoteは、企業や自治体が「お知らせメール」「メルマガ」「予約の案内」などを、たくさんの人に一斉に送るときに使うサービスだよ。つまり、みんなが直接使うアプリではなくて、メールを送る側の企業の裏側で動いている仕組みなんだ。

だから、「Cuenoteなんて登録した覚えがない」という人がほとんどだと思う。私もそうだった。でも、通販サイトや会員サービスのメールを受け取っているなら、知らないところで関係している可能性はゼロとは言えないんだよね。

「専用ASPプラン」の5システムとは

ASP（エーエスピー）は、インターネット経由でソフトを貸し出す仕組みのこと。「専用」は、特定の企業のために独立した環境を用意するプランだよ。今回はその専用環境のうち5システムが対象で、Cuenote全体の利用企業すべてが被害を受けたとは、公表されていないよ。

自分のメールアドレスは流出した？対象者の確認方法

結論として、10月20日時点では、一般の人が「自分は対象か」を自分で調べられる専用の確認ページは見当たらないよ。確認の入り口は、普段メールを受け取っているサービス側からのお知らせになるんだ。

対象はCuenote FCの5システム

対象は「Cuenote FC 専用ASPプラン」の5システムだけ。どのシステムをどの企業が使っているかは、公表されていないよ。だから、「この会社のメールを受け取っているから対象」とも「対象ではない」とも、今は言えないんだ。

Cuenote利用企業の一覧は公表されている？

現時点では、公表されていないよ。公式発表にも、影響を受けた顧客企業は調査中とされているんだ。ニュースの見出しや噂だけで「あの会社が対象」と決めつけるのは避けようね。

個人利用者はどこで確認できる？

ユミルリンクは企業向けのサービスなので、個人が直接「自分のアドレスが入っているか」を照会する窓口は、公式発表からは確認できなかったよ。私なら、次の順番で確認するかな。

• 普段使っている通販・会員サービス・予約サービスの公式サイトの「お知らせ」欄を見る
• 公式アプリや、自分で登録したブックマークから直接アクセスして確認する
• サービス提供企業から届いた連絡（公式サイトにも同じ内容があるか）を確かめる
• 心当たりのない案内メールの中のリンクからは、確認しない

この「公式サイトに同じお知らせがあるか」の確認が大事だよ。情報漏えいのお知らせの形をした偽メールも、あとで出回りやすいからね。同じように「自分は対象？」を確認する流れは、タイムズカー情報漏洩の確認と対処の記事でもまとめているので、参考にしてみてね。

公式通知が届いていなくても対象の可能性はある？

あるよ。調査が終わって、企業が本人に連絡するまでには時間がかかるからね。10月20日時点では、どの企業のデータが出力されたかも調査中なんだ。

反対に、「通知が来ないから確実に安全」とも言えないよ。大事なのは、不安になりすぎず、でも油断もしないこと。続報が出るまでは、次の章の対策をやっておけば十分だと思う。

約900万件の情報流出とは？何が漏れたのか

結論から言うと、わかっているのは「メールアドレスを含む情報が延べ約900万件出力されたと試算された」ことだけ。氏名や住所などが含まれているかは、調査中だよ。

「延べ約900万件」と「900万人」は違う

「延べ」は、同じものが何回出てきても、その回数をぜんぶ足した数え方のこと。同じ人のメールアドレスが複数のリストに入っていれば、その人は何回も数えられるんだ。だから、「900万件＝900万人の被害」とは言えないよ。

逆に、実際の人数がどれくらいになるかは、10月20日時点では公表されていないんだ。ここは続報を待つところだね。似た「自分は対象？」の確認の考え方は、東京メトロの情報漏洩の記事も参考になるよ。

延べ件数を実人数に計算してみた

イメージしやすいように、あくまで仮の数字で計算してみたよ（実際の数字ではありません）。

• A社のリスト：40万件
• B社のリスト：35万件
• C社のリスト：25万件
• 3社の合計（延べ件数）：40万＋35万＋25万＝100万件

ここで、AとBの両方に登録している人が10万人、BとCの両方に登録している人が5万人いたとするよ。

• 重複して数えている分：10万＋5万＝15万件
• 実人数：100万件－15万件＝85万人

つまり、延べ100万件でも、実際の人は85万人になるわけだね。ただ、今回の900万件にあてはめた場合に、どれくらい減るのかは、データの中身が明らかになっていないので計算できないよ。私も最初は「900万人」と読んでしまいそうになったから、数字の見方には気をつけたいところ。

情報の種類ごとに整理：確認された情報・調査中の情報

情報の種類	現時点の状況
メールアドレス	含む情報が出力されたと試算（確認済み）
氏名	調査中・現時点では公表されていません
住所	調査中・現時点では公表されていません
電話番号	調査中・現時点では公表されていません
パスワード	調査中・現時点では公表されていません
クレジットカード情報	調査中・現時点では公表されていません

「公表されていない」は「漏れていない」という意味ではないし、「漏れた」という意味でもないよ。わからないものは、わからないまま受け止めるのがいちばん安全なんだ。

今すぐできる5つの対策

結論として、今回の公表だけでは、全員がすぐパスワードを変えなければいけない状況とは言えないよ。まずは「不審なメールに引っかからないこと」が最優先だね。

対策1・2：不審メールのリンクを開かない／公式サイトでお知らせを確認する

情報漏えいのニュースが出ると、それに便乗して「不正アクセスがありました。確認してください」という偽メールが送られてくることがあるんだ。メール内のリンクは開かないでね。

確認したいときは、自分のスマホにある公式アプリか、ブックマーク済みの公式サイトから入って、お知らせ欄を見るのが確実だよ。最近のアカウント乗っ取りや詐欺の手口は、楽天をかたるアカウント乗っ取りと詐欺の記事でも詳しく書いているので、あわせて見てみてね。

対策3・4：パスワードの使い回しを見直す／多要素認証を使う

パスワードの流出は、現時点で確認されていないよ。だから「今すぐ全部変えて！」とは言わない。ただ、複数のサービスで同じパスワードを使い回しているなら、この機会に見直すチャンスだと思うよ。

とくに、メールアドレスや銀行、通販など、大切なアカウントには「多要素認証」を設定しておこう。多要素認証は、パスワードに加えて、スマホに届く確認コードなどでもう1回本人確認する仕組みのこと。パスワードが万が一知られても、ログインされにくくなるんだ。

対策5：不審な請求や個人情報の入力要求に警戒する

「未払いの料金があります」「カード情報を再確認してください」といった連絡も要注意。今回の件でクレジットカード情報が漏れたとは公表されていないので、こうした連絡を見たら、あわてず一度立ち止まってね。

警戒したい文面の例は、次のようなものだよ。

• 「不正アクセスのため、今すぐパスワードを変更してください」
• 「アカウントが停止されます。24時間以内に確認を」
• 「カード情報の再入力が必要です」

私は、こういうメールが届いたら、必ずメール内のリンクではなく公式アプリから確認することにしているよ。

不正アクセスはなぜ起きた？確認された4段階

結論として、公式発表では、システムの弱点を突かれ、担当者の認証情報が取られ、データが出力されたという流れが示されているよ。ここでは、公式で確認された範囲と、一般的な説明を分けて書くね。

公式発表で確認された4つの流れ

公式発表の内容を整理すると、次の4段階だよ。

1. プログラムの脆弱性（システムの弱点）が悪用された
2. サポート・品質管理担当者のサービスへの認証情報（ログインに使う情報）が取得された
3. 不正プログラムが設置され、データベースから情報が出力された
4. 取得した認証情報を使って、別のシステムへの認証が試みられたことが確認された

「他システムへの認証試行」は侵害成立とは限らない

4つめの「認証を試みた」は、あくまで試みたということ。公式発表では、試行先すべてに入られたとまでは書かれていないよ。ここは「別のシステムも全部被害に遭った」と読まないように注意したいところ。

一般的な攻撃手法との違いを分けて理解する

一般論として、サイバー攻撃では、まず小さな弱点から入り、次に管理者や担当者の権限を手に入れ、そこからデータを持ち出す、という流れがよく知られているよ。ただ、これは一般的な説明であって、今回の事案の詳細がこのとおりだと決まったわけではないんだ。調査の結果は、外部専門家の分析を待つ必要があるね。

Cuenoteを使っている企業は何をすべき？

結論として、まず自社の契約環境が対象の5システムに当たるかを、ユミルリンクに確認することだよ。個人向けの対策を先に書いたけれど、企業の担当者の人はここからが本番だね。

対象環境の確認と登録情報の棚卸し

最初にやるのは、次の2つ。

• 自社が使っているCuenoteが「Cuenote FC 専用ASPプラン」の対象システムかどうかを、ユミルリンクの窓口に確認する
• 該当しそうなら、Cuenoteに登録していた情報（メールアドレス、氏名、属性情報など）を洗い出す

問い合わせ先は、このあとの章にまとめてあるよ。

個人情報保護委員会への報告ルール

個人データの漏えいなどが起きた、または起きたおそれがある場合、報告が必要になるケースがあるよ。個人情報保護委員会の案内では、期限の目安は次のとおり。

区分	期限の目安
速報	事態を知った日から概ね3〜5日以内
確報	原則30日以内
不正の目的によるおそれがある場合の確報	60日以内

ただし、委託元（Cuenoteを使う企業）と委託先（ユミルリンク）の間では、報告の役割分担や、代わりに報告する仕組みが使われる場合もあるよ。「全企業が必ず別々に報告する」と決めつけず、個人情報保護委員会の案内（漏えい等の対応とお役立ち資料）と契約内容を確認して、ユミルリンクとも調整してね。判断に迷うときは、専門家に相談しよう。

報告期限を日付で計算してみた

日付の感覚をつかむために、仮に「2026年10月16日に事態を知った」として、Pythonで日付を足し算してみたよ。

• 速報（3〜5日以内）：10月16日＋3日＝10月19日、＋5日＝10月21日
• 確報（30日以内）：10月16日＋30日＝11月15日
• 不正目的のおそれがある場合の確報（60日以内）：10月16日＋60日＝12月15日

これは「機械的な日付計算」だよ。実際の起算日は、各社が事態を知った日で変わるし、委託元が連絡を受けた日はユミルリンクの公表日と異なる場合もあるんだ。なので、自社の状況に合わせて、正確な日付を確認してね。

利用者への通知と注意喚起の検討

報告対象になる場合は、本人への通知も必要になるよ。通知の前に、どの情報が出力されたのかを確認する必要があるので、ユミルリンクの調査結果を待ちながら、先に公式サイトでの注意喚起（「不審なメールにご注意ください」など）を準備しておくと、二次被害を減らしやすいと思う。

問い合わせ先はどこ？

結論として、公式発表で案内されているのは、不正アクセス専用の窓口だよ（10月20日時点の公式発表による。念のため、連絡前に公式ページで最新の内容を確認してね）。

不正アクセス専用窓口の連絡先

項目	内容
窓口名	ユミルリンク株式会社 不正アクセス専用お問い合わせ窓口
電話	03-6820-0088
電話の受付時間	平日 9:00〜20:00
メール	support@cuenote.ne.jp
メールの受付	24時間受付。返信は平日 9:00〜19:00に順次対応

問い合わせる前に準備しておくこと

窓口の主な対象は、サービスの利用企業と考えられるよ。企業の担当者は、契約している環境の情報や、Cuenoteに登録している項目をメモしてから連絡すると、話がスムーズだと思う。

一般の人はまずどこに聞けばいい？

私なら、ユミルリンクに電話する前に、自分が登録しているサービスの運営企業のお知らせを確認するよ。個人からの問い合わせがどこまで受け付けられるかは公式発表からは読み取れないので、そこは無理に決めつけないでおくね。

まとめ｜今後の続報で確認したいこと

この記事は速報として書いていて、続報が出たら内容を更新する可能性があるよ。今回のポイントを整理すると、次のとおり。

• 対象は「Cuenote FC 専用ASPプラン」の5システム
• メールアドレスを含む情報が延べ約900万件出力されたと試算されている
• 延べ件数は実人数ではなく、影響を受けた企業も調査中
• 氏名・住所・パスワード・カード情報などは、現時点では公表されていない
• まずは不審なメールに注意して、公式サイトのお知らせを確認する

今後の焦点は、次の5つだと思う。

• 影響を受けた企業はどこか
• 実際の人数はどれくらいか
• どんな項目が出力されたのか
• 二次被害（なりすましメールなど）は確認されるか
• 再発防止策はどうなるか

続報は、ユミルリンクの公式サイトで確認してね。

よくある質問

Q. 900万人が被害に遭ったの？

そうとは言えないよ。「延べ約900万件」は重複を含む件数で、実人数ではないんだ。実際に何人分なのかは、10月20日時点では公表されていないので、続報を待とうね。

Q. Cuenoteとは何？

企業や自治体がメルマガやお知らせメールを一斉に送るためのサービスだよ。個人が直接使うものではなく、メールを送る企業の裏側で動いているんだ。

Q. 自分が対象か確認できる？

一般の人が自分で調べる専用ページは、10月20日時点では見当たらないよ。普段メールを受け取るサービスの公式お知らせを、公式アプリやブックマークから確認するのがおすすめ。

Q. どの企業のデータが流出した？

影響を受けた顧客企業は調査中で、一覧は公表されていないよ。ネットの噂だけで企業名を決めつけないようにしようね。

Q. 氏名や住所も漏れた？

確認されているのは、メールアドレスを含む情報が出力されたと試算されていることだけ。氏名や住所は、現時点では公表されていません。調査中だよ。

Q. パスワードは変更すべき？

パスワードの流出は、現時点で確認されていないよ。ただ、同じパスワードを複数のサービスで使い回しているなら、この機会に見直すと安心。重要なアカウントは多要素認証も使ってね。

Q. クレジットカードは大丈夫？

カード情報が流出したという公表はなく、調査中の項目だよ。ただ、カード情報の入力を求めるメールは、リンクを開かずに公式アプリから確認してね。

Q. 怪しいメールが届いたらどうする？

メール内のリンクは開かず、添付ファイルも開かないでね。心配なら公式アプリやブックマークから公式サイトを開いて、お知らせを確認しよう。不審な請求は、消費生活センターなどにも相談できるよ。

Q. 今後どこで続報を確認できる？

ユミルリンクの公式サイトのお知らせで確認できるよ。公式発表では、新たな事実が判明した時点で改めて報告するとされているんだ。

Q. Cuenoteを使っている企業はまず何をすればいい？

自社の契約環境が対象の5システムに当たるか、ユミルリンクの専用窓口に確認しよう。該当しそうなら、登録情報を棚卸しして、個人情報保護委員会への報告が必要かも早めに検討してね。

おすすめアイテム

パスワード管理は1Password

今回のニュースで私が改めて気になったのは、「どこかで情報が漏れても、ほかのサービスに被害を広げないようにできるか」ということ。パスワード管理ツールの1Passwordなら、サイトごとに別々の長いパスワードを作って覚えてくれるので、使い回しによる被害の広がりを抑えやすくなるよ。

ビサイユのトートバッグ

お知らせの確認やメールの整理を、外出先でスマホ片手にこなす日もあるよね。ビサイユのトートバッグは超軽量で撥水加工つき、スキミング防止ポケットも付いているから、通勤やお出かけの荷物をまとめて持ち歩くのにちょうどいいよ。

軽量ショルダーBCS-140

財布とスマホだけで身軽に出かけたい日の相棒に、というのが私からの提案。軽量ショルダーBCS-140は撥水加工とスキミング防止に加えて収納もしっかりしていて、街歩きにも旅行にも使いやすいよ。