ユミルリンク情報漏洩5162万件超｜対象企業一覧と自分が該当するか確認する方法

この記事の3行まとめ

2026年10月26日の第二報で、漏えいの痕跡は49システム、漏えいの恐れがある件数は延べ5,162万8,280件。16システムは調査中。
5,162万8,280件は延べ件数で、被害を受けた人の数ではない。自分が対象かは利用先企業の発表や個別通知で確認する。
カードやパスワードの扱いは企業ごとに異なる。氏名入りの偽メール・SMSに警戒し、公式サイトやアプリから確認しよう。

2026年10月26日、ユミルリンクはメール配信サービス「Cuenote FC」への不正アクセスについて第二報を公表したよ。49システムで情報が外部に出力された痕跡が確認され、漏えいの恐れがある件数は延べ5,162万8,280件。10月19日の第一報（約900万件）から大幅に増えていて、まだ16システムの件数調査が続いているんだ。

ここで大事なのは「延べ件数」という点だよ。同じ人のメールアドレスが複数の企業のリストに入っていれば、その分だけ別々に数えられる。だから5,162万人が被害を受けた、という意味ではないんだ。

ニュースを見て、私が最初に思ったのは「ユミルリンクなんて会社、登録した覚えがない」ということだった。同じ気持ちの人は多いと思う。ユミルリンクは企業向けのメール配信サービスを提供している会社で、私たち消費者が直接契約しているわけじゃないんだよね。通販サイトやメルマガを出している企業が、配信を任せている先なんだ。

この記事では、公式発表で確認できたことだけを整理して、「何が起きたのか」「自分は対象なのか」「今日から何をすればいいのか」を順番にまとめるよ。

読者の疑問	現時点の回答
何件漏洩した？	延べ5,162万8,280件（漏えいの恐れがある件数）
何が漏れた？	メールアドレス、氏名、登録属性など。企業ごとに異なる
自分が対象か？	利用企業・団体の公式発表や個別通知で確認
カードは大丈夫？	本件のメール配信システムでカード情報が流出したとの発表は確認されていない
パスワード変更は？	利用先の発表を確認。漏洩や不正利用の疑いがあれば変更
今すぐすることは？	偽メール・SMSに警戒し、公式サイトを直接確認

※2026年10月26日時点。調査により変更される可能性があります

ユミルリンクの情報漏洩は何が起きた？5162万件超に拡大

まずは事件の全体像から見ていくよ。数字が大きいので、「確認されたこと」と「調査中のこと」を分けて読むのがコツだよ。

10月19日の約900万件から大幅拡大

ユミルリンクの公式発表によると、最初に異変に気づいたのは2026年10月16日の未明だった。担当者が一部のシステムで不正アクセスを確認したんだ。

原因として説明されているのは、プログラムの脆弱性を悪用されたこと。サポート・品質管理を担当する人のサービス認証情報が取得され、不正なプログラムが設置されて、データベースからデータが出力された、という流れだよ。取得された担当者の認証情報を使って、ほかのシステムへの認証も試みられたと書かれている。

10月19日の第一報の時点では、対象は「Cuenote FC」の専用ASPプランのうち5システム。メールアドレスを含む情報が、延べ約900万件出力されたと試算されていた。このときは出力データの詳しい項目までは示されていなかったよ。

第一報のあと、ユミルリンクは不正アクセスを受けたサーバをネットワークから切り離し、脆弱性の修正プログラムを適用している。捜査機関にも届け出て、外部の専門家と調査を進めているよ。

そして10月26日の第二報で、数字が一気に変わった。10月25日に新たに確認された42システムの利用企業への連絡は、26日の12時30分までに完了したとも書かれていて、調査が日ごとに広がっているのがわかるよね。

項目	第一報（10月19日）	第二報（10月26日）
対象システム	5システム	49システム（いずれも単一企業利用）
件数	延べ約900万件（試算）	延べ5,162万8,280件
調査中	詳細は調査中	16システムの件数を調査中
追加で判明	なし	顧客管理システム「Cuenote BASE」で190件

49システムで流出の痕跡、16システムは調査中

第二報の中身を、もう少し丁寧に読んでみるね。

情報漏えいの痕跡が確認されたのは49システムで、そのすべてが「単一の企業が使っているシステム」だった。複数の企業が共同で使うシステムで漏えいの痕跡があったものは、0システムと説明されているよ。

ここで注意したいのは、49システムが49社と同じ意味とは限らない点だよ。公式発表は「システム」という単位で数えていて、1つの企業が複数のシステムを使っているケースもありうる。私も最初は「49社」と読み違えそうになったから、数え方には気をつけたいところ。

もう一つ大事なのが、件数を調査中のシステムが16システムあること。第二報には、調査が進めば延べ件数が増える可能性があると書かれているよ。つまり5,162万8,280件は「現時点で数えられた分」で、最終的な数字ではないんだ。

なお、不正アクセスが試みられたシステムとして、複数企業利用が3システム、単一企業利用が78システムという数字も示されている。試みられたことと、実際にデータが出力されたことは別の話だから、混ぜて読まないようにしよう。

メールアドレス・氏名など漏洩情報の種類

では、何が漏れた恐れがあるのか。第二報はCuenote FCについて、次の4種類を挙げているよ。

アドレス帳：配信先のメールアドレス、氏名・都道府県・生年月日などの付属情報（付属情報は企業ごとに異なる）
配信記録：一斉送信ごとの通信記録とメールアドレス
Webアクセス記録：申し込みページからの登録記録、マイページでの更新記録
サービス利用者情報：利用企業の担当者の氏名、メールアドレス、住所、電話番号

つまり、同じ「漏えいの恐れ」でも、人によって中身が違う。メールアドレスだけの人もいれば、氏名や生年月日まで含まれる人もいる、ということだよ。付属情報の詳細は、調査が終わってから報告されるとされているよ。

また、顧客管理システム「Cuenote BASE」では、契約者の情報が閲覧可能な状態になっていて、件数は190件。項目は企業名、氏名、電話番号、メールアドレスだよ。

なお、ユミルリンクの第二報の時点では、漏えいした個人情報が不特定多数に公開された事実や、不正利用の事実は確認されていないと説明されている。ただし「確認されていない」は「起きない」という意味ではないから、次の章以降で書く対策は続けてほしいな。

第一報と第二報の数字を計算してみた

数字が大きすぎて実感がわかなかったので、私は発表の数字を使って自分で計算してみたよ。Pythonで検算した結果だから、安心してね。

第一報の約900万件→第二報の51,628,280件：51,628,280÷9,000,000＝約5.7倍
増えた分：51,628,280−9,000,000＝42,628,280件（約4,263万件増）
件数が確定している分を49システムで単純に割ると：51,628,280÷49＝約105万件。ただしこれは平均を出しただけの目安で、実際は企業ごとに規模がまったく違うはず
人口を仮に1億2,000万人として割ると：51,628,280÷120,000,000＝約0.43件。これも延べ件数の規模感をつかむための目安で、実人数を表す数字ではない

こうして並べてみると、一週間たらずで約5.7倍に膨らんだことがわかるよね。しかも16システムはまだ集計中。数字がさらに動く可能性は十分にあるから、続報を待つのが大切だと私は感じたよ。

ユミルリンク情報漏洩の対象企業・サービス一覧

「自分が使っているサービスは入っているの？」というのがいちばん気になるところだよね。ここでは、各社が自分たちで公式に発表した内容のうち、私が一次資料で確認できたものだけを載せるよ。

honto（大日本印刷）

総合書店「honto」を運営する大日本印刷（DNP）は、2026年10月21日に発表したよ。10月19日にユミルリンクから報告を受け、メール配信システムに保存されていた「honto」の顧客情報が外部に漏えいした可能性がある、という内容だった。

漏えいの可能性があると報告を受けている対象は、hontoのメールマガジンの配信を許諾している顧客の氏名、メールアドレス、システム内部の識別番号。件数は調査中とされているよ。

DNPは、メール配信システムでは、パスワード、クレジットカード情報、購入履歴を保有していないと説明している。DNPグループ自身のシステムへの不正アクセスは確認されていないとも書かれているよ。被害拡大を防ぐため、hontoのシステムとメール配信システムとの連携は遮断された。対象と判明した顧客には個別に連絡する予定だよ。

つまりhontoの場合、「メルマガ配信を許諾していた人」が対象で、会員全員が一律に対象というわけではないんだ。

ある県の事業者向けポータル（自治体）

ある県が運営する事業者向けの情報ポータルも、2026年10月20日18時に発表している。流出の可能性がある情報は、法人の場合は法人名、担当者名、担当者のメールアドレス、業種。個人の場合は氏名、メールアドレス、業種だよ。

対象は669者。県は対象者にメールでお詫びと注意喚起を行う方針で、発表の時点で不正利用は確認されていないとしているよ。

自治体のメールが関係している例を見ると、「企業だけの話じゃない」ということがよくわかる。事業者向けのポータルだから、読者のほとんどには関係しないかもしれないけれど、公的機関も同じ仕組みを使っているという点は知っておいてほしいな。

NTTPCコミュニケーションズ

NTTPCコミュニケーションズは、2026年10月20日に発表したよ。10月19日に、メール配信に使っているユミルリンクの「Cuenote FC」で第三者による不正アクセスがあったと報告を受けたそうだ。

漏えいの可能性があるのは、サービスに登録された連絡先メールアドレス等。件数は発表文に書かれていない。NTTPCのサービス利用者の情報への影響は、現時点で確認されていないとしつつ、可能性を完全には否定できないとも書かれているよ。

利用者への案内は、送信元が不明なメールや心当たりのないメールに注意して、本文のURLへのアクセスや添付ファイルの開封を控えること。新しい事実がわかれば、公式サイトで知らせるという。

アスマーク・メルマガ配信などの利用企業

市場調査会社のアスマークは、2026年10月26日に第一報を出している。対象は、アスマークからのアンケート依頼、メールマガジン、サービス連絡の配信先に登録されていた人で、お客様やお取引先の担当者、アンケートモニターが含まれる可能性があるとされているよ。

情報の中身は「メールアドレスおよび氏名を中心とした配信先の登録情報」で、配信内容によっては所属企業名などが含まれる可能性がある。詳細な項目や件数は、ユミルリンクが特定作業中で、確定したら知らせるそうだ。

アスマークは「当社がメールで、パスワード、クレジットカード番号、銀行口座情報等の入力をお願いすることはありません」とも明記している。アンケートモニターをしている人や、メルマガの購読者は、いったん公式サイトを確認してみよう。

全49システムの企業名は公開されている？

結論から言うと、49システムの利用企業名がまとめて公開されているわけではないよ。ユミルリンクの公式発表は、システムの数と件数を示す形で、個々の顧客名を並べてはいない。企業名は、各社が自分で発表したものに限られるんだ。

だから「対象企業一覧」といっても、現時点で確認できるのは、上で紹介した各社の発表に限られる。今後、新たに発表する企業が出てくる可能性が高いよ。

ニュースやSNSでは、本件とは別の不正アクセスの話題が混ざって語られることもある。この記事では、ユミルリンクの件との関係が各社の公式発表で確認できないものは、対象に含めていないよ。一覧に載っていない＝安全、という意味ではないことも覚えておいてね。

自分の情報は漏れた？対象者の確認方法

「自分が対象かどうか」は、ユミルリンクに聞いても教えてもらえない。ユミルリンクは企業向けの会社だから、窓口も契約企業向けなんだよね。確認できるのは、自分が登録していた企業や団体の側だよ。

企業からの個別通知を確認する

私がおすすめする確認手順は、次の4つだよ。

自分が利用している企業・自治体の公式サイトを確認する
「重要なお知らせ」「セキュリティのお知らせ」を探す
登録しているメールアドレス宛の通知を確認する
不審なメールからはログインせず、必要なら公式窓口に問い合わせる

ポイントは、メールの中のリンクではなく、ブックマークや検索から公式サイトに入ること。hontoのように、対象と判明した人には個別に連絡するとしている企業が多いけれど、その連絡メールを装った偽物が届く可能性もあるからね。

私は自分のメールボックスで「重要なお知らせ」「不正アクセス」と検索して、心当たりのある企業から通知が来ていないか見てみたよ。慣れるとたった数分で終わるし、安心感が全然違うんだ。

別の企業の情報漏えいでも、確認の流れは似ているよ。たとえば運送会社の件を扱ったこちらも、対象かどうかの調べ方の参考になると思う。今回のユミルリンクの件とは別の事案だけど、考え方は共通しているよ。

→ 佐川急便の情報漏洩、自分は対象？

メルマガに登録した覚えがなくても対象になる？

なりうるよ。たとえば通販サイトで買い物をしたとき、「お知らせメールを受け取る」にチェックが入ったままだったり、アンケートの応募でメールアドレスを預けたりすると、企業側が配信リストに入れていることがあるんだ。

そのリストの置き場所が、ユミルリンクのシステムだった場合に、今回の影響を受ける可能性がある。ただし「どの企業がユミルリンクを使っているか」は、利用者側からは見えない。だから、覚えがあるかどうかではなく、企業の発表と個別通知を待つのが確実だよ。

hontoの例では、メールマガジンの配信を許諾している人が対象と説明されている。つまり、配信を許諾したかどうかが一つの目安になるケースもあるんだ。

退会済みのサービスや古い登録情報は？

これは、公式発表だけでははっきりしない部分だよ。退会したあとの配信リストをどう扱っていたかは、企業によって違うからね。

hontoについても、過去に配信を止めた人や退会した人が対象に含まれるかどうかは、私が確認した範囲では発表に書かれていなかった。こういうとき、「たぶん大丈夫」と決めつけるのはよくないよね。気になるサービスがあれば、公式サイトのお知らせを見るか、問い合わせてみるのがいいと思う。

通知が届かない場合はどうする？

対象者の確定には時間がかかる。アスマークの発表のように、ユミルリンクから対象者リストと件数をもらってから、各社が個別に連絡する流れだからね。

通知が来ないからといって、すぐに焦る必要はないよ。まずは公式サイトのお知らせを定期的に見ること。それでも不安なら、企業の公式窓口に問い合わせてみよう。ただし、各社とも調査の最中で窓口が混み合うこともあるから、急ぎでなければお知らせが出るのを待つのも一つの方法だよ。

不審な電話やメールで困ったときは、警察の相談専用電話「#9110」も使えるよ。

パスワードやクレジットカードは変更すべき？

「パスワードを全部変えなきゃ？」「カードを止めるべき？」と不安になるよね。結論を先に言うと、全員が全部やる必要はないけれど、「全員が何もしなくていい」と言い切ることもできないよ。

パスワード変更が必要になるケース

ユミルリンクが第二報で書いているのは、同社のサービス（Cuenoteなど）のログインパスワードの変更を推奨する、という内容だよ。他のサービスで同じパスワードを使い回している場合は、そちらも変えて、できれば二段階認証を設定してほしい、という呼びかけになっている。これは主にCuenoteを使っている企業の担当者に向けた案内だね。

では、私たち一般の利用者はどうか。DNPの発表では、メール配信システムではパスワードを保有していないとされていて、hontoの場合はパスワードが漏えいの対象に含まれるとは書かれていない。ただし、これは「honto」についての説明だよ。ほかの企業が同じ状況とは限らないんだ。

だから私は、こう判断することにしたよ。

利用先から「パスワードの変更をお願いします」と案内が来たら、すぐ変える
案内がなくても、同じパスワードをいくつものサイトで使い回しているなら、この機会に見直す
変更するときは、メールのリンクではなく公式サイトやアプリから行う

こうした情報漏洩のたびに、「何をすればいいか」を整理しておくと迷いにくいよ。ほかの事案をまとめたこちらも、手順の参考になると思う。

→ タイムズカー情報漏洩で何をすればいい？

クレジットカードの情報は対象？

ユミルリンクの第二報が挙げている漏えいの恐れのある情報は、メールアドレス、氏名、付属情報、配信記録、Webアクセス記録、利用企業の担当者情報などだよ。クレジットカード番号は、その項目の中には出てこない。

ただし、ユミルリンク自身は「カード情報は含まれない」と明記しているわけではないんだ。カードについてはっきり書いているのは、DNPで、メール配信システムではクレジットカード情報を保有していないと発表している。アスマークも、メールでカード番号の入力を求めることはないと案内しているよ。

つまり、現時点で「本件でカード情報が流出した」という発表は私が調べた範囲では確認できていない。けれど、企業ごとに事情が違う可能性は残る。心配なら、カードの利用明細をいつもより少し丁寧に見て、身に覚えのない請求がないか確認するといいと思うよ。カードを止めたり、再発行したりすることを、慌ててする必要はないよ。

氏名入りの偽メールやSMSに注意

私がいちばん気をつけたいのは、ここだよ。氏名やメールアドレスが漏れた可能性があると、「それっぽいメール」が作りやすくなるからね。

ユミルリンクは、注意を呼びかけている迷惑メールの例を公表している。件名は「ご利用確認のお願い」「利用内容確認のご依頼」、送信元名は「セゾンカード」「SAISON」などで、アドレスはinfo@cuenote.jpと書かれていた。ユミルリンクの発表を見る限り、同社が利用者に対して、メールやSMS、電話でパスワード、認証コード、クレジットカード情報などを直接尋ねることはないとされているよ。

DNPも、hontoや関係者を装った不審なメールが送られてくる可能性があるとして、URLへのアクセスや添付ファイルの開封、パスワードなどの入力をしないよう呼びかけている。NTTPCも、心当たりのないメールに注意するよう案内しているよ。

実際に偽メールが届いたり、被害が出たりしたかどうかは、今のところ確認できていない。でも、起きていないから安心、と決めつけるのは違うよね。偽メールかなと思ったら、次のルールを心に置いておこう。

メールやSMSのリンクは押さない。公式アプリかブックマークから開く
「至急」「アカウント停止」など、急がせる言葉には特に気をつける
パスワード、認証コード、カード番号を求められたら、まず疑う

フィッシング対策の全体像は、こちらにまとめているよ。別の事案の記事だけど、手口の見分け方は今回にも通じるよ。

なぜメール配信サービスから情報が漏れた？

読者のみなさんからすると、「なんで知らない会社から私の情報が漏れるの？」というのが正直な疑問だよね。ここでは仕組みを整理するよ。

Cuenote FCとは何か

Cuenote FCは、ユミルリンクが提供している企業向けのメール配信サービスだよ。企業は、お客様のメールアドレスや氏名のリスト（アドレス帳）を預けて、メルマガやお知らせメールを一斉に送るんだ。

ユミルリンクは、東証グロース市場に上場している会社で、メッセージング事業を主力にしている。企業の側にとっては、自分たちでメール配信の仕組みを作るより、専門の会社に任せたほうが楽で確実、というのが利点だよ。

だから私たちは、通販サイトや自治体のメールを受け取っていても、その裏でどの会社のシステムが使われているかを知らないことが多い。これが、今回「ユミルリンクに登録した覚えがない」という声が出る理由だよ。

システムの脆弱性と不正アクセスの仕組み

公式発表によると、攻撃のきっかけは、プログラムの脆弱性と、担当者の認証情報だった。脆弱性を悪用されて担当者のサービス認証情報が取られ、不正なプログラムが設置されて、データベースからデータが出力されたんだ。

ここで私が大切だと思ったのは、利用者のパスワードを破られたのではなく、サービスを提供する側の仕組みが突破された、という点だよ。私たち個人が気をつけていても、防ぎきれない場所での出来事なんだよね。だからこそ、事故が起きたあとの「備え」が大事になる。

どんな脆弱性だったのか、具体的な名称などは、私が確認した範囲では公表されていない。原因の詳細は、外部の専門家による調査の結果を待つことになりそうだよ。攻撃者が誰なのか、盗まれたデータが売られているのか、といったことも、現時点では確認されていないよ。憶測で語られている話には、飛びつかないでおこう。

なぜ複数の企業や自治体に影響する？

1つのメール配信システムには、たくさんのお客様のリストが入っている。これは企業向けのクラウドサービスの特徴だよね。システムが突破されると、そこに預けられていた複数の企業の情報が、同時に影響を受けるおそれがある。

今回の第二報で、システムが5から49に増えたのも、同じ構造から来ている。調べが進むほど、「あの会社も使っていた」という発表が増えていくんだ。

利用者にとっては、同じ会社のサービスを使っていないのに、別々のサービスからのお知らせが同じ日に何通も届く、ということが起きうる。その違和感は、実際に起きていることを反映しているのかもしれないよ。

そして、個人情報の管理責任は、基本的にリストを預けた企業や団体の側にあると言われている。だから通知は、ユミルリンクからではなく、普段利用している企業から届くはずなんだ。

まとめ｜今後の公式発表を確認しよう

最後に、ポイントを整理するよ。

2026年10月26日の第二報で、漏えいの痕跡は49システム、漏えいの恐れがある件数は延べ5,162万8,280件。まだ16システムが調査中
5,162万8,280件は延べ件数であって、被害を受けた人の数ではない
自分が対象かどうかは、利用している企業や自治体の公式発表と個別通知で確認する
カードやパスワードの扱いは企業ごとに違う。hontoのようにメール配信システムでは保有していないと発表した例もある
氏名やメールアドレスが漏れた可能性がある以上、偽メール・偽SMSへの警戒がいちばん大事

私は今回、ニュースを追うほど「待つしかない部分」が多いと感じたよ。でも、待つ間にできることもある。不審なメールのリンクを押さない、公式サイトから確認する、パスワードの使い回しを見直す。この3つだけでも、ずいぶん違うはず。

ユミルリンクの公式サイトは、続報が出るたびに更新されている。調査が進めば、件数も項目も変わる可能性があるから、気になる人はときどき確認してみてね。ご自身の状況や被害に関する判断は、各社の案内や専門の窓口にご相談ください。

よくある質問

Q. GmailやYahoo!メールでも影響を受けますか？

メールサービスの種類は関係ないよ。影響を受けるかどうかは、メールアドレスを登録していた企業や団体がユミルリンクのシステムを使っていたかで決まる。GmailでもYahoo!メールでも、対象企業に登録していれば可能性はあるんだ。

Q. ユミルリンクに登録した覚えがないのですが？

ユミルリンクは企業向けの会社だから、個人が直接登録することはまずないよ。あなたが利用していた通販サイトや団体が、メール配信をユミルリンクに任せていた場合に、間接的に影響を受ける可能性があるんだ。なお、検索で「ユメルリンク」と入力される方もいるけれど、正しくは「ユミルリンク」だよ。

Q. メルマガを解除すれば安全になりますか？

解除しても、すでに出力された可能性のある情報が戻るわけではないよ。ただ、今後の不要な配信を減らせるという意味はある。解除メールの装いをした偽メールもあるから、解除はメール内のリンクではなく、公式サイトや会員ページから行おう。

Q. 49社の企業名をすべて確認できますか？

できないよ。公式発表は49「システム」という単位で、すべての利用企業名は公表されていない。企業名は、各社が自分で発表したものだけが確認できるよ。49システムが49社とも限らない。

Q. 退会済みのサイトも対象ですか？

公式発表だけでははっきりしないよ。退会後も配信リストを保管していた場合は、対象になる可能性がある。気になるサービスは、公式サイトのお知らせを確認するか、問い合わせてみてね。

Q. 漏洩による補償はありますか？

現時点で、補償についての案内は、私が確認した発表の中には見当たらなかったよ。補償の有無や内容は、対象になった企業ごとに判断されるので、通知やお知らせを待とう。

Q. 迷惑メールが来ていなければ安心ですか？

そうとは言い切れないよ。ユミルリンクの第二報の時点では、不正利用の事実は確認されていないけれど、調査は続いている。メールが届いていなくても、偽メールやSMSへの警戒は続けておくのが安心だね。

Q. パスワードは今すぐ変えるべきですか？

利用先から変更の案内があれば、すぐ変えよう。案内がなくても、同じパスワードを複数のサイトで使い回しているなら、見直すいい機会だよ。変更は、メールのリンクではなく公式サイトやアプリから行ってね。

Q. ユミルリンクの「Cuenote」とは何ですか？

ユミルリンクが提供する、企業向けのメール配信サービスの名前だよ。企業が顧客のメールアドレスのリストを預けて、メルマガやお知らせを一斉に送るために使っているんだ。今回の事案では、その中の「Cuenote FC」が対象になっているよ。

Q. 不審なメールが届いたらどうすればいいですか？

リンクは押さず、添付ファイルも開かずに、そのまま削除しよう。不安なら、公式サイトやアプリから自分のアカウントの状況を確認してね。被害にあったかもしれないと思ったら、警察の相談専用電話「#9110」や、利用先の窓口に相談しよう。