目次
対象：企業や団体からメールマガジン・お知らせメールを受け取っている人と、ユミルリンク株式会社のメール配信サービス「Cuenote FC」を使っている企業・団体。本記事はユミルリンク株式会社と、影響を公表した利用企業・団体の公式発表にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月23日時点まだ分かっていないこと
- 出力されたデータの項目
- 対象の人数（延べ約900万件の内訳）
- 5システムがどの利用企業のものか
- どのプログラムのどんな脆弱性だったか
- 二次被害（情報の悪用）の有無
ユミルリンク株式会社は、外部専門家の協力のもとで詳しい調査を進め、新たな事実が判明した時点で改めて報告するとしています。2026年12月期の業績への影響は「現在精査中」で、開示すべき事項が生じた場合は速やかに知らせるとしています。10月23日時点で、第2報は出ていません。
メールマガジンを受け取っている人が今日やること
配信元の企業を名乗るメールのリンクを開かない
Cuenote FCは、企業や団体がメールマガジンやお知らせを送るための仕組みです。メールを受け取る人は、ユミルリンクではなく、配信元の企業や団体に自分のメールアドレスを登録しています。そのため、悪用されるとすれば、配信元の企業の名前を使った偽のメールの形が考えられます。
「ご利用確認のお願い」「お客様情報の確認」「ポイントの失効」のようなメールでも、本文のリンクや添付ファイル、QRコードは開かないでください。確かめるときは、公式アプリか、ブックマークした公式サイトから開きます（見分け方は フィッシングとは）。
受け取っているメルマガの企業のお知らせを確かめる
下の「影響を公表した利用企業・団体」の表で、メールマガジンを受け取っている企業のお知らせを開いてください。表にない企業は、その公式サイトのお知らせ欄を確認します。大日本印刷は、対象と分かった人には個別に連絡するとしています。
パスワードやカード番号を求められても入力しない
ユミルリンク株式会社の発表には、パスワードやクレジットカードについての記載はありません。大日本印刷は、パスワード、クレジットカード情報、購入履歴はメール配信システムでは持っていないとしています。それでも、名前とメールアドレスを知っている相手は、それらを入力させるメールを作れます。入力を求めるメールが来たら、メールからではなく公式サイトから確かめます。
読んでいないメルマガは、公式サイトから配信を止める
登録しているメールマガジンが多いほど、偽物が紛れても気づきにくくなります。読んでいないメルマガは、メールの中のリンクではなく、各社の公式サイトにログインして配信を止めておくと、届くはずのないメールに気づきやすくなります。
@cuenote.jp を送信元に表示した迷惑メールにも注意
ユミルリンク株式会社は10月20日、同社のドメインを送信元に表示し、第三者を名乗る迷惑メールが複数確認されているとして注意を呼びかけました。例として、クレジットカード会社を名乗り、件名が「ご利用確認のお願い」「利用内容確認のご依頼」、送信元が info@cuenote.jp のメールを挙げています。同社はこのようなメールの送信を指示することはないとしています。この迷惑メールと不正アクセスとの関係は、同社のお知らせには書かれていません。受け取ったら返信やURL・QRコードの操作をせずに削除し、やり取りを始めてしまったときは警察に相談するよう求めています。
影響を公表した利用企業・団体
Cuenote FCを使う企業・団体が、それぞれお知らせを出しています。以下は、当サイトが各社・各団体の公式ページを開いて内容を確認したもので、お知らせの中でユミルリンクまたはCuenote FCの名前を挙げているものだけです（2026年10月23日時点）。
各社の状態は、各社の言葉どおりに書いています。ユミルリンク株式会社は対象の5システムがどの企業のものかを公表しておらず、表の企業がその5システムに含まれるとは限りません。
| 企業・団体 | 配信に使っていたもの（各社の発表） | 対象になりうる情報（各社の発表） | 状態 | 発表日 |
|---|---|---|---|---|
| 大日本印刷（honto） | 総合書店「honto」のメールマガジン（配信を許諾している人） | 氏名、メールアドレス、システム内部の識別番号。パスワード、クレジットカード情報、購入履歴はメール配信システムで持っていない。件数は調査中 | 可能性（同社） | 10月21日 |
| 埼玉県 | 県のサイト「ぷらっとさいたま -スマート農業導入ナビ-」のメールマガジン（サイトの管理運営を受託した事業者が利用） | 669者。法人は法人名・担当者名・メールアドレス・業種、個人は氏名・メールアドレス・業種 | 可能性（県） | 10月20日 |
| カクヤス | 取引先（飲食店）向けのメールマガジン | 飲食店名、社名、氏名、メールアドレス。対象に含まれるとの情報は確認できていない | 可能性（同社） | 10月20日 |
| NTTPCコミュニケーションズ | 各種サービスのメール配信 | サービス利用者の連絡先メールアドレス等。影響は確認できていないが、可能性を完全には否定できない | 可能性（同社） | 10月20日 |
| かたばみ | 同社のメール配信 | 記載なし（同サービスに登録している情報が影響を受けた可能性を否定できない） | 可能性（同社） | 10月20日 |
| 山陽新聞社 | 「さんデジ」のニュース速報、気象情報、列車遅延情報など6つのメール配信 | 記載なし。ユミルリンクから、利用している環境では情報漏えいは確認されていないとの連絡を受けた | 確認されていない（同社） | 10月19日〜21日（第2〜4報） |
表の「可能性」は、まだ対象と決まったという意味ではない
カクヤスは、取引先の情報が対象に含まれるとの情報は確認できていないが、情報保護を優先して対応を進めているとし、NTTPCコミュニケーションズは、影響は確認できていないものの注意喚起を目的に公表したとしています。大日本印刷は、ユミルリンクから「honto」の情報が漏えいした可能性があるとの報告を受けたとしています。山陽新聞社では10月18日午後2時15分ごろから配信システムの障害でメール配信が止まり、10月21日の第4報で復旧を知らせました。受け取っているメルマガの企業が表にあるかを見たうえで、その企業の続報を待ってください。
何が起きたのか（ユミルリンク株式会社の発表より）
以下は、ユミルリンク株式会社の2026年10月19日の発表（Cuenoteのサイトでは同日19時05分に補足を追記した版）と、同日の適時開示にもとづきます。適時開示の文書では「メール配信サービス」とだけ書かれており、Cuenoteのサイトの更新版で、影響のあるシステムが「Cuenote FC 専用ASPプランのうち、合計5システム」と追記されました。
2026年10月16日（金）未明
同社の担当者が、一部のシステムで不正アクセスが生じていることを確認。不正アクセスを確認したサーバを直ちにネットワークから切り離した。確認後（日付の記載なし）
アクセス記録から、プログラムの脆弱性によって同社のサポート・品質管理担当者の認証情報が取得されたこと、不正なプログラムが設置されデータベースからデータが出力されたこと、その認証情報で他のシステムへの認証が試みられたことを確認。脆弱性の修正プログラムを作って適用し、他のシステムから担当者の情報を削除した。10月19日
発表（第一報）と適時開示。同日19時05分に、影響のあるシステム（Cuenote FC 専用ASPプランの5システム）を追記した版に更新。利用企業も同日以降、各自のお知らせを出し始めた。10月20日
同社のドメインを送信元に表示した迷惑メールについての注意喚起を公開（不正アクセスとの関係の記載なし）。
メールの受信者
配信元の企業にメールアドレスを登録している（氏名や会員番号を登録している場合もある）
やること：配信元を名乗るメールのリンクを開かない
配信元の企業・団体（利用企業）
配信リストを管理し、Cuenote FCに登録してメールを送る。個人データを管理する立場
やること：対象かを確かめ、報告・通知の要否を判断
ユミルリンク（Cuenote FC）
専用ASPプランの5システムから、メールアドレスを含む情報が延べ約900万件出力された（同社の試算）
対象の企業と項目は調査中
- サービス
- メール配信サービス「Cuenote FC」の専用ASPプランのうち、合計5システム
- 確認したこと
- 外部からの不正アクセスにより、個人情報が外部に持ち出されたこと。5システムへの不正アクセスとデータの出力
- 件数
- 5システムについて、メールアドレスを含む情報が延べ約900万件出力されたと試算
- 項目
- 「メールアドレスを含む情報」。詳細は調査中
- 原因として説明されたこと
- プログラムの脆弱性により、同社のサポート・品質管理担当者のサービスへの認証情報が取得された。脆弱性の詳しい内容は公表されていない
- 対応
- サーバの切り離し、脆弱性のあるプログラムの修正、担当者の認証情報の削除、不正プログラムの検知体制の整備、捜査機関への届出
- 今後
- 外部専門家の協力のもとで詳しく調べ、新たな事実が分かった時点で報告。2026年12月期の業績への影響は精査中
- 問い合わせ
- 不正アクセス専用の問い合わせ窓口（電話 03-6820-0088、平日9時〜20時。メールの窓口も発表ページに記載）
Cuenote FCの製品ページによれば、専用ASPプランは「専用リソースの提供」によるプランで、共用環境で提供するプレミアムプランや、利用者の環境に組み込むオンプレミスプランとは別のものです。発表では、影響のあるシステムを専用ASPプランの5システムとしており、他のプランへの影響についての記載はありません。
分かっていること・分かっていないこと
2026年10月23日時点の状態です。続報が出たら、この表の状態欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 個人情報の持ち出し | 外部からの不正アクセスにより、個人情報が外部に持ち出されたことを確認 | 漏えいを確認（同社） |
| 対象のシステム | Cuenote FC 専用ASPプランのうち、合計5システム | 確定（同社） |
| 件数 | メールアドレスを含む情報が延べ約900万件出力されたと試算。人数ではない | 可能性（同社。試算） |
| 出力された項目 | 「メールアドレスを含む情報」。詳細は調査中 | 調査中 |
| パスワード・クレジットカード | ユミルリンクの発表に記載なし（大日本印刷は、メール配信システムで持っていないとしている） | 記載なし |
| 5システムがどの利用企業のものか | 公表されていない | 調査中 |
| 他のプラン（プレミアム・オンプレミス）への影響 | 発表に記載なし | 記載なし |
| 原因 | プログラムの脆弱性によるサポート・品質管理担当者の認証情報の取得。脆弱性の詳しい内容は記載なし | 調査中 |
| 二次被害（情報の悪用） | ユミルリンクの発表に記載なし。大日本印刷・埼玉県は、現時点で不正利用は確認されていないとしている | 確認されていない（大日本印刷・埼玉県） |
| 捜査機関への届出 | 届け出済み | 確定（同社） |
| 業績への影響 | 精査中 | 調査中 |
利用企業の件数と、延べ約900万件は比べられない
延べ約900万件は、5システム全体についてユミルリンク株式会社が試算した件数です。埼玉県の669者は、県が自分のサイトの登録者について示した数です。数え方が違うので、足したり引いたりできません。
メールアドレスなどで何が起きうるか
一般に、次の組み合わせがそろうと、次のような悪用が起きえます。今回それが起きたという意味ではありません。
- メールアドレス＋配信元の企業名：その企業を名乗る偽のメールが、本物のメルマガと同じ宛先に届く。受け取る人は「いつもメルマガが来る会社」と思い込みやすい
- 氏名＋メールアドレス：本文に本名を入れた偽メールが作れ、一斉送信の迷惑メールより信じやすくなる
- 法人名・担当者名・業種（取引先向けのメルマガの場合）：取引先を装った請求や、支払先の変更を求めるメールの材料になる
- システム内部の識別番号：会員番号のように見せて、「会員番号◯◯のお客様」と本物らしく装う材料になる
1つの配信サービスから、それを使う多数の組織の宛先が漏れた事案には、2026年10月の 防災メール配信「SpeeCAN RAIDEN」への不正アクセス もあります。そこでも、自分が対象かは、メールを受け取っている組織のお知らせで確かめる形でした。
Cuenote FCを使っている企業・団体がやること
ユミルリンク株式会社の公開の発表には、利用企業に向けた具体的なお願いは書かれていません。利用企業のお知らせによれば、同社から利用企業への個別の報告が行われています（NTTPCコミュニケーションズと大日本印刷は10月19日に報告を受けたとし、山陽新聞社は自社の環境で漏えいが確認されていないとの連絡を受けたとしています）。以下は、利用企業がすでに取っている対応と、個人情報保護委員会の案内にもとづく順番です。
自社の環境が5システムに含まれるかを、ユミルリンクに確かめる
ユミルリンク株式会社は、不正アクセス専用の問い合わせ窓口を設けています（電話 03-6820-0088、平日9時〜20時。メールの窓口は 同社の発表ページ に記載）。専用ASPプランを使っているか、個別の報告が届いているかを確かめ、届いていなければ問い合わせます。
配信システムに何を登録していたかを洗い出す
対象になりうる情報は、配信システムに何を登録していたかで決まります。メールアドレスだけか、氏名や会員番号、属性（業種・地域など）も入れていたかを確かめてください。大日本印刷は、パスワード、クレジットカード情報、購入履歴はメール配信システムでは持っていないと明記しています。持っていない項目を言えることは、受信者への説明を短くします。
受信者に注意を呼びかける
対象の可能性がある企業の多くは、自社を名乗る不審なメールに注意し、URLを開かないよう呼びかけています。埼玉県は対象の可能性がある669者にメールでお詫びと注意喚起を送り、カクヤスは取引先の飲食店に順次注意を呼びかけています。呼びかけのメールそのものにリンクを入れない、送信元のアドレスを明記するなど、偽物と区別しやすい形にします。
個人情報保護委員会への報告と、本人への通知が必要かを判断する
配信リストの個人データは、メールを配信している企業（委託元）が管理する個人データです。個人情報保護委員会の案内によれば、不正の目的で行われたおそれがある漏えい等（そのおそれを含む）や、本人の数が1,000人を超える漏えい等（行政機関・地方公共団体の機関などは100人超）は報告の対象で、発覚したらまず速やかに報告し、不正の目的によるおそれがある場合は発覚日から60日以内に報告します。同委員会は、委託先で起きた事案の記入例も載せています（漏えい等の対応とお役立ち資料）。
これは一般の案内で、自社が対象かの判断は、ユミルリンクからの報告の内容によります。判断に迷う場合は、同委員会の窓口や弁護士などの専門家に相談してください。
配信を止めるかを決め、再開を知らせる
大日本印刷は、被害の拡大を防ぐため「honto」のシステムとメール配信システムとの連携を遮断しています。止める場合は、受信者に「配信を止めている」「再開した」と公式サイトで知らせると、止めている間に届くメールが偽物だと気づきやすくなります。
当サイトの視点：配信システムに入れる項目は、少ないほど説明が短くなる
今回、利用企業のお知らせを並べると、対象になりうる情報の幅に差があります。大日本印刷はメール配信システムに氏名・メールアドレス・識別番号だけを置き、パスワードやカード情報、購入履歴は持っていないと書けました。一方、取引先向けや登録型のメルマガでは、法人名・担当者名・業種なども一緒に登録されていました。
メールを送るだけなら、配信システムに必要なのは宛先と、差し込みに使う最小限の項目です。購入履歴や会員の属性を配信の絞り込みに使う場合も、必要なときだけ一時的に渡す形にできないかを検討する価値があります。
配信システムに登録している項目を一覧にする
宛先のほかに、氏名、会員番号、属性、購入に関する情報などを入れていないかを確かめます。差し込みや絞り込みに使っていない項目は、登録をやめます。
配信事業者のサポート担当者が、どこまで見られるかを確かめる
今回の発表では、配信事業者のサポート・品質管理担当者の認証情報が取得され、それで他のシステムへの認証が試みられていました。自社が使うサービスで、事業者の担当者が自社の環境に入れる権限があるか、その操作の記録を自社でも見られるかを、契約や管理画面で確かめておきます。
委託先から報告を受ける窓口と手順を決めておく
今回、利用企業は配信事業者からの報告を受けてお知らせを出しています。だれが報告を受け、だれが個人情報保護委員会への報告と本人への通知を判断するかを、事前に決めておきます（委託先の管理の考え方は レンタルサーバーが不正アクセスされたとき も参照）。
出典（公開記録）
本記事の事実関係は以下の公開情報にもとづきます。公表されていない不正アクセスの手口は推測していません。
- ユミルリンク株式会社「当社システムへの不正なアクセスに関するご報告（第一報 2026年10月19日 19:05更新版）」（2026年10月19日） — cuenote.jp
- ユミルリンク株式会社「当社システムへの不正なアクセスに関するご報告（第一報）」（2026年10月19日、適時開示） — ssl4.eir-parts.net
- ユミルリンク株式会社「【注意喚起】当社ドメイン、第三者を騙った迷惑メールにご注意ください」（2026年10月20日） — ymir.co.jp
- ユミルリンク株式会社「Cuenote FC」製品ページ（プランの違い、10月23日に確認） — cuenote.jp
- 大日本印刷株式会社「外部委託先への不正アクセスによる「honto」のお客様情報漏えいの可能性について」（2026年10月21日） — dnp.co.jp
- 埼玉県「ユミルリンク株式会社で発生した不正アクセスに伴う個人情報流出の可能性について」（2026年10月20日） — pref.saitama.lg.jp
- 株式会社カクヤス「当社利用のメール配信サービスにおける不正アクセス事案と当社の対応について」（2026年10月20日） — kakuyasu.co.jp
- NTTPCコミュニケーションズ「ユミルリンク株式会社で発生した不正アクセスに伴うメールアドレス等の漏えいの可能性について」（2026年10月20日） — nttpc.co.jp
- 株式会社かたばみ「当社が利用するメール配信サービスにおける不正アクセス事案について」（2026年10月20日） — katabami.co.jp
- 山陽新聞社「メール配信サービスの一時停止について」（2026年10月18日）、「メール配信サービスの停止（第２報）および委託先における不正アクセスについて」（10月19日）、「（第３報）」（10月20日）、「メール配信サービス再開および委託先における不正アクセスについて（第４報）」（10月21日） — 一時停止（10月18日） ／ 第2報 ／ 第3報 ／ 第4報
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」 — ppc.go.jp
- 報道（上場市場・業績見通しの確認）：ITmedia NEWS（2026年10月20日） — itmedia.co.jp
更新履歴
2026-10-23：初版。ユミルリンク株式会社の10月19日の発表（19時05分の更新版）と適時開示、10月20日の注意喚起と、利用企業・団体6件のお知らせにもとづく。出力された項目、対象の利用企業、原因の調査結果が公表され次第更新します。
次に読む
- 同じ型の事案：防災メール配信「SpeeCAN RAIDEN」への不正アクセス ／ JR東日本・ビューカード・JR九州のメールアドレス漏えい ／ Web制作サービス「Studio」への不正アクセス
- 偽メールの見分け方：フィッシングとは ／ 自分のアドレスから迷惑メールが届いたとき
- 送信元の確かめ方（運営者向け）：SPF・DKIM・DMARCの基本
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）
よくある質問
Qユミルリンクの件で何が漏れたのですか？
ユミルリンク株式会社の2026年10月19日の発表によれば、メール配信サービス「Cuenote FC」の専用ASPプランのうち5システムが不正アクセスを受け、メールアドレスを含む情報が延べ約900万件出力されたと同社は試算しています。個人情報が外部に持ち出されたことは確認済みです。どの項目が含まれるかなど、出力されたデータの詳細は調査中です。利用企業のお知らせでは、大日本印刷が「honto」の氏名・メールアドレス・システム内部の識別番号、埼玉県が法人名・担当者名・氏名・メールアドレス・業種、カクヤスが飲食店名・社名・氏名・メールアドレスを、対象になりうる情報として挙げています。
Q延べ約900万件は、900万人分ということですか？
そうとは限りません。ユミルリンク株式会社は「延べ約900万件」が出力されたと「試算」していると書いています。一般に、延べの件数は、同じ人のメールアドレスが複数の配信リストや複数のシステムに入っていれば、その分を重ねて数えた数です。人数や確定した件数ではありません。何人分か、どの企業の利用者かは公表されていません。
Q自分が対象かどうかは、どうすれば分かりますか？
Cuenote FCは、企業や団体がメールマガジンやお知らせを送るために使うサービスです。受け取る側からは、どの配信元がCuenote FCを使っているか分かりにくく、ユミルリンク株式会社も対象の企業名を公表していません。本文の表に、影響を公表した利用企業・団体のうち当サイトが公式ページで確認したものを載せています。表にない企業でも、メールマガジンを受け取っている企業のお知らせ欄を確かめてください。大日本印刷は、対象と分かった人には個別に連絡するとしています。
Qパスワードやクレジットカードの情報は漏れましたか？
ユミルリンク株式会社の発表には、パスワードやクレジットカードについての記載はありません。出力されたデータの詳細は調査中です。利用企業のうち大日本印刷は、パスワード、クレジットカード情報、購入履歴はメール配信システムでは持っていないとしています。他の企業も、パスワードやカードを対象の情報に挙げていません。メールアドレスと名前を知った相手から、パスワードやカード番号を入力させる偽のメールが届く可能性のほうに注意してください。
Q原因は何ですか？
ユミルリンク株式会社によれば、アクセス記録から、プログラムの脆弱性によって同社のサポート・品質管理担当者の認証情報が取得され、不正なプログラムが設置されてデータベースからデータが出力されたことを確認しました。その認証情報で他のシステムへの認証も試みられていました。どのプログラムのどんな脆弱性かは公表されていません。同社は外部専門家の協力のもとで詳しい調査を進め、新たな事実が分かった時点で改めて報告するとしています。
Qメールマガジンの配信元を名乗るメールが来たらどうすればいいですか？
本文のリンクや添付ファイルは開かず、公式アプリやブックマークした公式サイトから確かめてください。大日本印刷、山陽新聞社、NTTPCコミュニケーションズ、カクヤスは、配信元を名乗る不審なメールや心当たりのないメールに注意し、URLを開かないよう呼びかけています。ユミルリンク株式会社も10月20日、同社のドメイン（@cuenote.jp）を送信元に表示し、クレジットカード会社を名乗る迷惑メールが確認されているとして注意を呼びかけました。この迷惑メールと不正アクセスとの関係は、同社のお知らせには書かれていません。