※2026年10月26日時点の発表・報道をもとにまとめています。件数は「延べ」で、調査が続いているため今後変わる可能性があります。
企業や自治体のメール配信を手がけるユミルリンクが、不正アクセスによる情報漏えいを発表しました。19日の第一報では「約900万件」だった数字が、26日には延べ5162万件に膨らみました。なぜここまで増えたのか、何が漏れたのか、時系列で整理します。
まず押さえたい要点
- 漏えい件数は第一報の約900万件から、延べ5162万件へ拡大
- 不正に出力されていたのは49システム。うち16システムは件数を調査中
- 漏えいしたのはメールアドレスや氏名、会員IDなど。パスワードやカード情報の有無は、公表資料では確認できていない
時系列：10月16日の検知から26日まで
- 10月16日：ユミルリンクが一部システムへの不正アクセスを確認し、サーバをネットワークから切り離した
- 10月19日：第一報を公表。5システムで不正アクセスとデータ出力を確認し、延べ約900万件と試算
- 10月20日：報道が始まり、埼玉県が669者の情報が流出した可能性を発表
- 10月22日：野村證券が、委託先のユミルリンクからの報告を受けたと公表（10月23日付の発表）
- 10月26日：調査の結果、延べ5162万件と発表。JR東海・JR西日本・JR九州も影響を公表
なぜ件数が増えたのか
第一報の時点で確認されていたのは、「Cuenote FC」の専用ASPプラン5システムでした。その後の調査で、不正アクセスが確認されたシステムが広がり、対象が計49システムになったと報じられています。49システムはいずれも、単一の企業が利用するシステムだったとされています。
ここで注意したいのは、5162万件が「人数」ではなく「延べ件数」だという点です。同じメールアドレスが複数の配信システムに登録されていれば、重ねて数えられます。実際に何人分かは、現時点では分かりません。
漏えいした情報の項目
- メールアドレス
- 氏名、生年月日（配信先の情報として）
- 会員ID（JR各社の新幹線予約サービスの例）
- 配信記録
項目は利用企業ごとに異なります。埼玉県の発表では、法人は法人名・担当者名・メールアドレス・業種、個人は氏名・メールアドレス・業種が対象とされています。
すでに影響を公表している主な組織
- JR東海・JR西日本・JR九州（新幹線のネット予約サービス。JR東海は現時点で約17万件との報告）
- 埼玉県、山形県警
- エイチ・ツー・オー リテイリング（阪急百貨店などを運営）
- 野村證券（金融機関向けツール「i-Port」のメール配信。ポートフォリオや取引口座の情報は対象外と説明）
- 毎日新聞社、NTTPCコミュニケーションズなど
ユミルリンクを使っていた組織の全体一覧は、公式にはまとまって公表されていません。各組織が個別に発表している状況です。
不審メールがすでに確認されている
ユミルリンクは、同社のドメインを悪用して、クレジットカード会社などを装った不審なメールが確認されていると注意を呼びかけています。便乗した連絡が、これから増えるおそれがあります。
次にやること
自分が対象かどうかの確認方法はユミルリンク流出、自分は対象？届いたらまず確認に、新幹線の予約サービスを使っている人向けの内容はスマートEX・エクスプレス予約の利用者は何をすべきかにまとめました。
まとめ
ユミルリンクの漏えいは、第一報から1週間で5倍以上に膨らみました。まだ16システムで件数の調査が続いており、数字が増える可能性があります。パスワードの変更と、不審メールへの警戒が、今すぐできる基本の備えです。続報があれば、確認できた事実を追記します。
コメント