適用對象：收到企業或組織電子報或通知郵件的人，以及使用 Ymirlink, Inc. 電子郵件發送服務 Cuenote FC 的企業與組織。本文依據 Ymirlink 及已揭露影響之客戶組織的官方公告撰寫，不涉及攻擊手法的細節。
事件進行中：本文將隨組織發布更多資訊而更新
截至 2026 年 10 月 23 日尚不明確
- 匯出了哪些項目
- 人數為多少（約 900 萬筆累計資料的細分）
- 五個系統分屬哪些客戶企業
- 是哪一個程式、哪種漏洞
- 是否已發生後續傷害（資料遭濫用）
Ymirlink, Inc. 表示，正與外部專家進行詳細調查，發現新事實時將再行公布。該公司表示，對截至 2026 年 12 月為止會計年度業績的影響「仍在檢視中」，若有需要揭露的事項將儘速公布。截至 10 月 23 日，尚未發布第二份報告。
電子報收件人今天應該做什麼
不要開啟聲稱來自寄件者之郵件中的連結
Cuenote FC 是企業與組織用來發送電子報與通知的系統。收件人是向寄件的企業或組織登記電子郵件地址，而非向 Ymirlink 登記。因此，若資料遭到濫用，最可能的形式是冒用寄件企業名義的假郵件。
即使是「請確認您的使用狀況」、「請確認您的客戶資料」或「您的點數即將到期」等郵件，也不要開啟郵件中的連結、附件或 QR Code。如要確認，請透過官方應用程式或您已加入書籤的官方網站（如何辨識假郵件：什麼是網路釣魚？）。
查看您收到電子報之公司的公告
請在下方「已揭露影響的客戶組織」表格中，查看您收到電子報之公司的公告。若公司不在表格中，請查看其官方網站的新聞區。大日本印刷表示，一旦確認有人受影響，將逐一聯絡。
被要求時，不要輸入密碼或卡號
Ymirlink, Inc. 的公告未提及密碼或信用卡。大日本印刷表示，密碼、信用卡資料與購買紀錄並未保存在電子郵件發送系統中。即便如此，知道您姓名與電子郵件地址的人仍可能寄出要求您輸入這些資料的郵件。若郵件要求提供，請透過官方網站確認，不要直接依郵件內容操作。
透過官方網站取消不閱讀的電子報訂閱
訂閱的電子報越多，就越難從中發現假郵件。透過各公司官方網站登入後取消您不閱讀的電子報（而非點選郵件中的連結），有助於您更容易察覺不該出現的郵件。
也請留意寄件者顯示為 @cuenote.jp 的垃圾郵件
10 月 20 日，Ymirlink, Inc. 警告，已有數封以其網域為寄件者、並聲稱來自第三方的垃圾郵件遭到發現。其列舉的例子包括聲稱來自信用卡公司的郵件，主旨為「請確認您的使用狀況」與「請求確認使用明細」，寄件地址為 info@cuenote.jp。該公司表示，從未指示發送此類郵件。其公告並未說明這些垃圾郵件是否與此次未經授權存取有關。公司請收件人刪除此類郵件，不要回覆、不要點選網址或掃描 QR Code；若已開始往來，請聯絡警方。
已揭露影響的客戶組織
使用 Cuenote FC 的企業與組織已發布各自的公告。下表列出本站透過查看各組織官方頁面所確認的組織，僅列入明確提及 Ymirlink 或 Cuenote FC 的公告（截至 2026 年 10 月 23 日）。
各項狀態依照各組織自身的說法填寫。Ymirlink, Inc. 尚未說明受影響的五個系統分屬哪些客戶，因此表中的組織不一定是這五個系統之一。
| 組織 | 使用該服務的用途（依其所述） | 可能受影響的資料（依其所述） | 狀態 | 日期 |
|---|---|---|---|---|
| 大日本印刷（honto） | honto 書店電子報（接受者） | 姓名、電子郵件地址、內部系統 ID。密碼、信用卡資料與購買紀錄並未保存在電子郵件發送系統中。人數仍在調查中 | 可能（公司） | 10 月 21 日 |
| 埼玉縣 | 縣內智慧農業網站「Plat Saitama」電子報（由負責營運該網站的承包商使用） | 669 個對象。組織：組織名稱、聯絡人姓名、電子郵件地址、產業別；個人：姓名、電子郵件地址、產業別 | 可能（縣政府） | 10 月 20 日 |
| Kakuyasu | 給企業客戶（餐廳）的電子報 | 餐廳名稱、公司名稱、姓名、電子郵件地址。尚未確認其資料在範圍內 | 可能（公司） | 10 月 20 日 |
| NTTPC Communications | 其服務的電子郵件發送 | 服務使用者的聯絡電子郵件地址與其他資料。未確認受影響，但無法完全排除 | 可能（公司） | 10 月 20 日 |
| Katabami | 其電子郵件發送 | 未說明（無法排除服務中登錄的資料受影響） | 可能（公司） | 10 月 20 日 |
| 山陽新聞 | 其「Sandeji」新聞網站的六項電子郵件服務，包括即時新聞、天氣與列車延誤通知 | 未說明。Ymirlink 告知其在其使用的環境中未確認到外洩 | 未確認（公司） | 10 月 19–21 日（報告 2–4） |
表中的「可能」並不代表該組織已確認受影響
Kakuyasu 表示，尚未確認其客戶資料在範圍內，但將保護該資料列為優先事項；NTTPC Communications 表示，尚未確認任何影響，但發布公告是為了提醒客戶。大日本印刷表示，Ymirlink 通報 honto 客戶資料可能已外洩。山陽新聞方面，因傳送系統故障，電子郵件發送自 10 月 18 日約 14:15 起停止，其 10 月 21 日的第四份報告宣布已恢復。請確認您收到電子報的公司是否在表中，並留意該公司後續的公告。
發生了什麼（依 Ymirlink, Inc. 的公告）
以下內容依據 Ymirlink, Inc. 2026 年 10 月 19 日的公告（當日 19:05 於 Cuenote 網站更新、補充說明的版本）以及同日提交的適時揭露文件。適時揭露文件僅寫明「電子郵件發送服務」。Cuenote 網站的更新版本則補充說明，受影響的系統為「Cuenote FC 專用 ASP 方案下共計五個系統」。
2026 年 10 月 16 日（週五）凌晨
公司人員確認部分系統遭未經授權存取。發現未經授權存取的伺服器立即與網路中斷連線。發現後（日期未說明）
存取紀錄顯示，攻擊者利用程式漏洞取得公司支援與品質管理人員的憑證，安裝惡意程式並從資料庫匯出資料，同時嘗試使用這些憑證對其他系統進行驗證。公司已製作並套用漏洞修補程式，並刪除其他系統中支援與品質管理人員的資訊。10 月 19 日
公告（第一份報告）與適時揭露。19:05 公告更新，列出受影響的系統（Cuenote FC 專用 ASP 方案下的五個系統）。客戶組織自當日起陸續發布各自的公告。10 月 20 日
發布關於以公司網域為寄件者之垃圾郵件的警告（未說明與此次未經授權存取有關）。
電子郵件收件人
向寄件企業登記電子郵件地址（有時也包括姓名或會員編號）
應做的事：不要開啟聲稱來自寄件者之郵件中的連結
發送郵件的企業與組織（客戶）
管理郵件清單，並登錄於 Cuenote FC 以發送郵件；對個人資料負有責任
應做的事：確認是否受影響，決定通報與通知
Ymirlink（Cuenote FC）
公司估計，包含電子郵件地址在內的約 900 萬筆累計資料，自五個專用 ASP 方案系統遭匯出（公司估計）
受影響客戶與項目仍在調查中
- 服務
- Cuenote FC 電子郵件發送服務專用 ASP 方案下共計五個系統
- 已確認
- 個人資訊因外部未經授權存取而遭取出。五個系統遭未經授權存取並匯出資料
- 筆數
- 估計五個系統共匯出包含電子郵件地址在內的累計約 900 萬筆資料
- 項目
- 「包含電子郵件地址的資訊」。細節仍在調查中
- 所述原因
- 利用程式漏洞取得公司支援與品質管理人員的服務憑證。漏洞細節尚未公開
- 因應
- 中斷伺服器連線、修補有漏洞的程式、刪除人員憑證、建立惡意程式偵測機制、向執法機關報案
- 後續
- 與外部專家進行詳細調查；發現新事實時將再行公布。對截至 2026 年 12 月為止會計年度業績的影響仍在檢視中
- 聯絡窗口
- 未經授權存取的專屬窗口（電話 03-6820-0088，週一至週五 9:00–20:00；公告頁面列有電子郵件聯絡方式）
根據 Cuenote FC 產品頁面，專用 ASP 方案提供「專用資源」，與共用環境運作的 Premium 方案，以及安裝於客戶自有環境的本地端方案不同。公告指出，專用 ASP 方案下的五個系統受影響，並未提及其他方案。
已知與未知的事項
以下為 2026 年 10 月 23 日的狀態。後續若有新資訊，本表的狀態欄將會更新。
| 項目 | 公告所述 | 狀態 |
|---|---|---|
| 個人資訊遭取出 | 已確認個人資訊因外部未經授權存取而遭取出 | 已確認外洩（公司） |
| 受影響系統 | Cuenote FC 專用 ASP 方案下共計五個系統 | 已確認（公司） |
| 筆數 | 估計包含電子郵件地址在內的累計約 900 萬筆資料遭匯出。非人數 | 可能（公司；估計值） |
| 匯出項目 | 「包含電子郵件地址的資訊」。細節仍在調查中 | 調查中 |
| 密碼與信用卡 | Ymirlink 公告未提及（大日本印刷表示，這些資料未保存在電子郵件發送系統中） | 未說明 |
| 五個系統分屬哪些客戶 | 未公開 | 調查中 |
| 對其他方案（Premium、本地端）的影響 | 公告未提及 | 未說明 |
| 原因 | 透過程式漏洞取得人員憑證。漏洞細節未說明 | 調查中 |
| 後續傷害（資料遭濫用） | Ymirlink 公告未提及。大日本印刷與埼玉縣表示，目前尚未確認有濫用情形 | 未確認（大日本印刷、埼玉縣） |
| 向執法機關報案 | 已報案 | 已確認（公司） |
| 對業績的影響 | 檢視中 | 調查中 |
客戶人數無法與 900 萬的數字直接比較
約 900 萬是 Ymirlink, Inc. 對五個系統合計的估計值。埼玉縣的 669 是透過其網站取得資料的對象（包括組織與個人）。兩者的計算方式不同，因此不能相加或相減。
電子郵件地址與相關資料可能被用於什麼
一般而言，當下列資料結合在一起時，可能發生以下幾類濫用情形。這並不代表本案中已發生這些情形。
- 電子郵件地址加上寄件企業名稱：冒充該企業的假郵件會寄到與真正電子報相同的地址，收件人容易誤以為「這是一直寄電子報給我的公司」
- 姓名加上電子郵件地址：假郵件可以包含收件人的真實姓名，因此比大量垃圾郵件更具說服力
- 組織名稱、聯絡人姓名與產業別（針對企業客戶的電子報）：可能被用來製作假發票，或冒充業務往來對象寄送要求變更付款資訊的郵件
- 內部系統 ID：可以偽裝成會員編號（「親愛的顧客，會員編號……」）以顯得可信
另一個由單一發送服務導致多個組織收件人地址外洩的案例，是 2026 年 10 月的 SpeeCAN RAIDEN 災害警報服務未經授權存取事件。在該案中，民眾同樣是透過寄出郵件的組織公告，才得知自己是否受影響。
使用 Cuenote FC 的企業與組織應該做什麼
Ymirlink, Inc. 的公開公告並未包含對客戶企業的具體要求。根據客戶公告，Ymirlink 一直逐一向客戶通報（NTTPC Communications 與大日本印刷表示於 10 月 19 日收到通報；山陽新聞表示，被告知其環境中未確認到外洩）。以下步驟依據客戶組織已在進行的做法，以及個人資訊保護委員會（PPC）的指引整理。
向 Ymirlink 確認您的環境是否屬於五個系統之一
Ymirlink, Inc. 已設立未經授權存取的專屬窗口（電話 03-6820-0088，週一至週五 9:00–20:00；電子郵件聯絡方式列於其公告頁面）。請確認您是否使用專用 ASP 方案，以及是否已收到個別通報；若未收到，請與其聯絡。
列出您登錄於發送系統中的資料
可能受影響的範圍，取決於您登錄於發送系統中的資料。請確認僅為電子郵件地址，還是也包括姓名、會員編號與屬性資料（產業、地區等）。大日本印刷表示，密碼、信用卡資料與購買紀錄並未保存在電子郵件發送系統中。能夠明確說明哪些資料並未保存，有助於讓對收件人的說明更簡潔。
提醒您的收件人
許多可能受影響的組織都請民眾留意自稱來自該組織的可疑郵件，並且不要開啟其中的網址。埼玉縣已向可能受影響的 669 個對象寄送道歉與警示郵件，Kakuyasu 也正向其餐廳客戶發出警示。警示內容應便於與假郵件區分：警示郵件本身不要放連結，並載明您所使用的寄件地址。
決定是否須向 PPC 通報並通知當事人
郵寄清單中的個人資料，屬於負責寄送郵件之企業（委外方）所管理的個人資料。根據 PPC 的指引，若外洩（或可能外洩）可能出於不法目的進行，或涉及超過 1,000 人（行政機關，包括地方政府機關，為超過 100 人），則須通報。一旦知悉應儘速通報；若懷疑有不法目的，須於發現後 60 日內提出通報。PPC 也公布了委外承包商事件的報告範本（外洩因應與參考資料，日文）。
以上為一般性指引；是否適用於您的公司，取決於 Ymirlink 向您通報的內容。如有疑問，請諮詢 PPC 的諮詢專線或律師等專業人士。
決定是否暫停發送，並在恢復時公告
大日本印刷已切斷 honto 系統與電子郵件發送系統之間的連結，以防止損害擴大。若您暫停發送，請在官方網站公告暫停發送的訊息及恢復時間，讓收件人能辨別暫停期間寄來的郵件為假郵件。
本站觀點：發送系統中的資料越少，說明就越簡單
比對各客戶公告可以發現，可能受影響的資料範圍差異很大。大日本印刷在發送系統中僅保存姓名、電子郵件地址與 ID，並能說明其中不含密碼、卡片資料或購買紀錄。相較之下，針對企業客戶或已登錄會員的電子報，還會保存組織名稱、聯絡人姓名與產業別。
要寄送電子郵件，發送系統需要地址以及用於個人化的最少欄位。即使購買紀錄或會員屬性用於鎖定發送對象，也值得思考是否可以僅在該次發送需要時才傳送。
列出發送系統中登錄的欄位
請確認除了地址之外，您是否還保存了姓名、會員編號、屬性資料或與購買相關的資料。停止登錄您未用於個人化或鎖定發送對象的欄位。
確認發送服務商的支援人員可以存取哪些資料
本案中，發送服務商支援與品質管理人員的憑證遭取得，並被用來嘗試對其他系統進行驗證。對於您使用的服務，請在合約或管理主控台中確認服務商人員是否可存取您的環境，以及您是否可以自行查看其操作紀錄。
事先決定由誰接收廠商的事件通報
本案中，客戶組織是在收到發送服務商的通報後才發布公告。請事先決定由誰接收此類通報，並由誰決定是否向 PPC 通報及通知當事人（關於如何看待廠商事件，另請參閱當您的網頁代管服務商遭入侵時）。
資料來源（公開紀錄）
本文事實係依據以下公開資訊。我們未推測未公開的攻擊手法。標題為日文原文的中文翻譯。
- Ymirlink, Inc.，《關於本公司系統遭未經授權存取的報告（第一報，2026 年 10 月 19 日 19:05 更新版）》（2026 年 10 月 19 日）— cuenote.jp
- Ymirlink, Inc.，《關於本公司系統遭未經授權存取的報告（第一報）》（2026 年 10 月 19 日，適時揭露）— ssl4.eir-parts.net
- Ymirlink, Inc.，《警告：請留意冒用本公司網域、假冒第三方的垃圾郵件》（2026 年 10 月 20 日）— ymir.co.jp
- Ymirlink, Inc.，Cuenote FC 產品頁面（方案差異，10 月 23 日查閱）— cuenote.jp
- 大日本印刷股份有限公司，《因委外承包商遭未經授權存取，honto 客戶資訊可能外洩》（2026 年 10 月 21 日）— dnp.co.jp
- 埼玉縣，《因 Ymirlink, Inc. 遭未經授權存取，個人資訊可能外洩》（2026 年 10 月 20 日）— pref.saitama.lg.jp
- Kakuyasu 股份有限公司，《我們所使用的電子郵件發送服務遭未經授權存取及我們的因應》（2026 年 10 月 20 日）— kakuyasu.co.jp
- NTTPC Communications，《因 Ymirlink, Inc. 遭未經授權存取，電子郵件地址等資料可能外洩》（2026 年 10 月 20 日）— nttpc.co.jp
- Katabami 股份有限公司，《我們所使用的電子郵件發送服務遭未經授權存取》（2026 年 10 月 20 日）— katabami.co.jp
- 山陽新聞，《暫停電子郵件發送》（2026 年 10 月 18 日）、《電子郵件發送暫停（第二報）及承包商遭未經授權存取》（10 月 19 日）、《（第三報）》（10 月 20 日）、《電子郵件發送已恢復及承包商遭未經授權存取（第四報）》（10 月 21 日）— 暫停（10 月 18 日） / 第二報 / 第三報 / 第四報
- 個人資訊保護委員會，《外洩因應與參考資料》— ppc.go.jp
- 媒體報導（上市市場與業績展望）：ITmedia NEWS（2026 年 10 月 20 日）— itmedia.co.jp
更新紀錄
2026-10-23：首次發布，依據 Ymirlink, Inc. 2026 年 10 月 19 日公告（19:05 更新版）與適時揭露、2026 年 10 月 20 日的警告，以及六個客戶組織的公告撰寫。待匯出項目、受影響客戶及原因調查結果公布後，本文將再行更新。
延伸閱讀
- 類似案例：SpeeCAN RAIDEN 災害警報服務未經授權存取 / JR 東日本、View Card 與 JR 九州電子郵件地址外洩 / Studio 網站製作工具未經授權存取
- 辨識假郵件：什麼是網路釣魚？ / 您自己的電子郵件地址發出的垃圾郵件
- 確認寄件者（營運者適用）：SPF、DKIM 與 DMARC 基礎
- 其他 2026 年事件：2026 年資料外洩與網路攻擊（日本與全球）