ユミルリンク不正アクセスで900万件、ふるさとチョイスと関係は？

ユミルリンクの不正アクセスで何が起きたのか

ユミルリンクは、企業や官公庁向けにメール・SMS・Webプッシュ通知などの配信サービス「Cuenote（キューノート）」を提供している会社です。2026年8月に公表した決算説明資料では、Cuenoteの有効契約数は2,900を超えるとし、メッセージ送信数は2025年の実績で年955億通と示しています（2026年12月期 第2四半期決算説明資料）。会員向けのメールマガジンや予約確認メールなど、利用者が日ごろ受け取るメールの「裏側」を担う立場です。

同社の第一報によると、10月16日（金）未明に担当者が一部システムで不正アクセスが起きていることに気づきました。アクセス記録を調べた結果、次の4点を確認したとしています。

1. プログラムの脆弱性を突かれた入口はソフトウェアの弱点（脆弱性）でした。どのプログラムかは公表されていません。
2. サポート・品質管理担当者の認証情報を取得された社内の担当者がサービスにログインするための情報を奪われました。
3. 不正プログラムを置かれ、データベースからデータを出力されたこれが「外部への持ち出し」にあたる部分です。
4. 奪った認証情報で他のシステムへのログインを試みられた被害の横展開を狙う動きで、同社は他システムから担当者の情報を削除したとしています。

同社は不正アクセスを確認したサーバーをすぐにネットワークから切り離し、脆弱性の修正、担当者の認証情報の削除、不正プログラムの検知体制の整備を進め、捜査機関に届け出たと説明しています。今後は外部の専門家と詳しい調査を進めるとのことです。

• 8月14日決算説明資料で「有効契約数2,900超」全サービスが増収となり、第2四半期の売上高は過去最高額と説明。
• 10月16日（金）未明一部システムで不正アクセスを確認サーバーをネットワークから切り離し、拡大防止策を実施。
• 10月19日（月）17:05適時開示「不正なアクセスに関するご報告（第一報）」5システムで不正アクセスとデータ出力、延べ約900万件と試算。
• 10月19日（月）19:05公式サイトに更新版を掲載影響のあるシステムを「Cuenote FC 専用ASPプランのうち、合計5システム」と赤字で追記。
• 10月20日（火）朝利用企業名・漏えい項目は未公表出力されたデータの詳細は調査中。

影響は「Cuenote FC 専用ASPプラン」の5システム

19日の夜に公式サイトで追記されたのが、影響範囲の具体的な名前です。対象は、メール配信システム「Cuenote FC」のうち「専用ASPプラン」の合計5システムとされました。

Cuenote FCの料金ページでは、専用ASPプランを「サーバー・IPアドレスを独占」するプランとし、宛先のアドレス数が15万件を超える利用者向けと案内しています。つまり、大量のメールを送る大口の利用企業が、自社専用のサーバーで使う形態です。

ここから読めることは2つあります。1つ目は、影響を受けた利用企業はそれほど多くないことです。1社がサーバーを独占するプランで5システムなので、多くても5社前後とみられます（同社は社数を公表していません）。2つ目は、1システムあたりの規模が大きいことです。延べ約900万件を5で割ると、1システムあたり平均で約180万件になります。宛先15万件超が目安のプランなので、大規模な会員基盤を持つ企業や団体の配信データだったと考えられます。

ふるさとチョイスなど10月19日の不正アクセスとの関係は？

10月19日は、ユミルリンクのほかにも不正アクセスや情報漏えいの公表が相次ぎました。東京証券取引所の適時開示（TDnet）だけでも、タイトルに「不正アクセス」「不正なアクセス」を含む開示がこの日6件出ています。同じ日に並んだことで「どれもユミルリンクが原因では」という受け止めも広がりましたが、各社の公式発表の文面で確かめると、話はそう単純ではありません。

下の表は、10月19日に公表された主な11の企業・団体（ユミルリンクを除く）の発表を当ブログで読み、原因や経路の説明と、ユミルリンク・Cuenoteへの言及の有無をまとめたものです。

各社の10月19日付の公式発表（東邦HD・Joshin・ジグザグ・LiNKX・andUSはTDnetの開示資料、ジェトロはサイト停止中の告知ページ）から作成。阪急阪神百貨店の件数は第一報の表記。2026年10月20日朝時点。

結果は、11件すべてがユミルリンクにもCuenoteにも触れていませんでした。しかも、ニフティは自社の管理用ツール、八十二長野銀行は職員へのフィッシングメール、スカイマークは管理画面の設定ミス、ジェトロは自機構のウェブサイトと、それぞれ別の原因をはっきり書いています。

ふるさとチョイスは「調査中」で、原因はまだ書かれていない

注目されたのが、ふるさと納税サイト「ふるさとチョイス」です。運営するトラストバンクは19日、不正アクセスの疑いがある事象を検知したとして関連サービスを一時停止し、調査していると公表しました。ただし、お知らせには原因や経路、件数の記載はありません。

TBS NEWS DIGは10月20日未明の記事で、トラストバンクによると19日午前にサーバーへの不正アクセスの疑いを確認し、個人情報が流出したかどうかは調査中だと報じました。記事の見出しには「約900万件の個人情報が流出か」とありますが、本文では「一方、」としてユミルリンクの発表を別の話題として並べて紹介しており、両者の関係には触れていません（TBS NEWS DIG）。

なぜ利用企業の名前はまだ出てこないのか

今回、多くの人が知りたいのは「自分が登録しているどのサービスが関係するのか」です。ところがユミルリンクの発表には、利用企業の名前がありません。これは、個人情報保護法の仕組みと関係しています。

個人情報保護法の26条は、一定の漏えいが起きたときに個人情報保護委員会への報告と本人への通知を義務づけています。ただし、ほかの会社から個人データの取り扱いを委託された会社が、委託元の会社にその事態を通知した場合は、委託された側の報告義務はなくなり、本人への通知も委託元が行う形になります（26条1項ただし書・2項）。

メール配信サービスは、企業が持つ会員のメールアドレスを預かって配信を代行するのが仕事です。一般には、この「委託」の関係にあたると考えられます。そうであれば、ユミルリンクは利用企業に事態を知らせ、利用企業がそれぞれ自社の会員に通知し、国に報告する流れになります。利用企業の名前が利用企業自身の発表で明らかになるのは、このためです。

10月19日の東邦HDの開示にも、この仕組みが表れています。子会社エンタッチの事案について、個人情報保護委員会への報告は「東邦薬品からの業務委託に基づくものについては、東邦薬品から報告を実施」と書かれています（東邦HDの開示）。委託を受けた側ではなく、委託した側が報告しているわけです。

委託先の事故は「利用企業ごとに後から」公表される

同じ週にちょうどよい実例があります。サイト制作サービス「Studio」を提供するStudio社のクラウド環境への不正アクセスでは、Studio社から連絡を受けた利用企業が自社の発表として公表しました。TDnetだけでも、10月16日にLink-Uグループ、19日にLiNKXとandUSの3社が「Studio株式会社で発生した不正アクセス」に関する開示を出しています。

Link-Uグループ（10/16）・LiNKX（10/19）・andUS（10/19）の適時開示とユミルリンクの発表から作成。

また、個人情報保護法の施行規則は、不正アクセスのように不正の目的で行われたおそれがある漏えいや、本人の数が1,000人を超える漏えいを報告の対象とし、委託元への通知は「速やかに」、国への詳しい報告（確報）は不正目的のおそれがある場合知った日から60日以内と定めています。仮に10月16日を起点にすると、60日後は12月15日です。利用企業の公表は、各社が調査を進めながら順に出てくると見られます。

自分のメールアドレスは対象？今できること

10月20日朝の時点で、「自分のアドレスが含まれているか」を利用者が自分で調べる方法は公表されていません。対象になっていれば、配信を委託していた利用企業から連絡が来るのが基本の流れです。その前提で、今のうちにできることをまとめます。

• 心当たりのないメールのリンクや添付ファイルを開かない。漏れたのがメールアドレスなら、いちばん起きやすいのは、本物そっくりの「なりすましメール」です。
• 「情報漏えいのお詫び」をうたうメールこそ慎重に。お詫びや返金、ポイント付与を装ってログインやカード情報の入力を求めるのは典型的な手口です。メール内のリンクではなく、公式アプリやブックマークから確認しましょう。
• よく使うサービスのお知らせ欄を時々確認する。利用企業が公表すれば、まず自社サイトのお知らせに載ります。
• 同じパスワードの使い回しをやめる。今回の発表にパスワードの記載はありませんが、別のサービスで漏れた情報と組み合わされる「なりすましログイン」への備えになります。

ユミルリンクは不正アクセス専用の問い合わせ窓口（電話03-6820-0088、平日9時〜20時／メール support@cuenote.ne.jp）を設けています。ただし、同社は配信を請け負う立場なので、個別の登録の有無は利用企業でないと答えられない場合もあると考えられます。

不正アクセスの報道（X）

日本経済新聞とテレ朝NEWSは10月19日、ユミルリンクのメール配信サービスに不正アクセスがあり、延べ約900万件の個人情報が漏えいした可能性があると伝えました。どの利用企業が影響を受けたかは、10月20日朝時点で公表されていません。

ユミルリンクに不正アクセス　メアドなど個人情報900万件流出かhttps://t.co/JKrwRPHPcE

— 日本経済新聞 電子版（日経電子版） (@nikkei) October 19, 2026

不正アクセスで個人情報延べ900万件漏えいか　メール配信サービス「ユミルリンク」 https://t.co/CBUw1cJVeS

— テレ朝NEWS (@tv_asahi_news) October 19, 2026

ユミルリンクの不正アクセスに関するよくある質問

あわせて読みたい

参考資料

• ユミルリンク「当社システムへの不正なアクセスに関するご報告（第一報）」2026年10月19日（TDnet）
• Cuenote「当社システムへの不正なアクセスに関するご報告（第一報 2026年10月19日 19:05更新版）」
• Cuenote FC 料金プラン（専用ASPプラン）
• ユミルリンク「2026年12月期 第2四半期決算説明資料」2026年8月14日
• トラストバンク「不正アクセスの疑いに伴うサービス一時停止のお知らせ」2026年10月19日
• ニフティ「【第一報】当社回線申込・受付管理システムへの不正アクセスの発生について」2026年10月19日
• 八十二長野銀行「不正アクセスによるお客さま情報漏えいのお詫びとご報告（第２報）」2026年10月19日
• スカイマーク「新卒・既卒採用お問い合わせフォームでお預かりした個人情報の取り扱いに関するお詫びとお知らせ」2026年10月19日
• ジェトロ「当機構ウェブサイトへの不正アクセスについて」（ウェブサイト停止のお知らせ）
• H2Oリテイリング・阪急阪神百貨店「第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ」2026年10月19日
• Link-Uグループ「Studio株式会社で発生した不正アクセスに伴う個人情報漏えいの可能性に関するお知らせ」2026年10月16日
• e-Gov法令検索「個人情報の保護に関する法律」26条
• e-Gov法令検索「個人情報の保護に関する法律施行規則」7〜10条
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」
• TBS NEWS DIG「『ふるさとチョイス』が不正アクセス疑いでサービスを一時停止」2026年10月20日 4:26配信
• テレ朝NEWS「不正アクセスで個人情報延べ900万件漏えいか メール配信サービス『ユミルリンク』」2026年10月19日

アイキャッチ写真：Christopher Bowns「Virginia Tech – data center」／Wikimedia Commons（CC BY-SA 2.0）を明るさ調整・トリミングし、文字を加えて使用しています。