【23 Daily】itmedia.co.jp の報道によると、東京都渋谷区に拠点を置くメール配信サービス企業ユミルリンクは、2026年11月11日に約4786万件の個人情報が不正アクセスにより流出したことを発表した。これは、10月26日時点で公表していた最大約5162万件という推計から精査して修正された数値である。流出は同社のメール配信サービスを利用する複数の企業に影響を及ぼし、JR東海や化粧品口コミサイト「@cosme」を運営するアイスタイルなどが含まれている。
ユミルリンクのメール配信システムに不正侵入、大規模な情報流出に
ユミルリンクは、この流出事件がメール配信サービス「Cuenote FC」の49システムに及ぶことを明らかにした。流出したデータは、メールアドレス4786万件以上、会員ID約3050万件、氏名約666万件、性別約205万件、生年月日約94万件、電話番号約41万件、郵便番号約182万件など多岐にわたる。住所やハッシュ化されたパスワード、会社名・学校名、顧客が運用していたサービスの認証情報も含まれている。
10月26日時点では顧客管理システム「Cuenote BASE」においても、契約企業名や氏名、電話番号、メールアドレス190件が外部から閲覧可能な状態にあったことが判明している。
攻撃者はシステム脆弱性を悪用し正規利用者になりすましてデータ取得
ユミルリンクによると、攻撃者はシステムの脆弱性を利用してサーバに不正プログラムを仕込み、データベースにアクセス。さらに利用者のログイン状態を示す情報を盗んで正規利用者を装い、管理画面からデータを持ち出した。10月16日に不正アクセスを察知し、順次脆弱性の修正や不正プログラムの除去を実施している。
現在、「Cuenote FC」の一部システムや「Cuenote BASE」を除き主要なサービスは復旧している。再発防止策として、AIを活用したソースコードレビューや24時間365日の監視体制を導入予定で、外部機関による最終調査結果も改めて公表するという。
被害企業が相次ぎ情報漏洩を公表、影響の大きさが浮き彫りに
アイスタイルは11月9日に約280万人の顧客情報の流出を公表。JR東海など3社は11月5日、新幹線予約サービス「スマートEX」「エクスプレス予約」で計約17万件の会員情報が漏洩と発表した。複数の大手企業が被害を認めており、本件の影響範囲の広さが示された。
編集部の視点：大規模個資流出が示すメール系サービスのセキュリティ課題と起業リスク
ユミルリンクのシステム脆弱性による約4800万件の個人情報流出は、多数の大企業や利用者に深刻な影響をもたらした。起業家にとって、この事案はメール関連や顧客データ管理システムにおける脆弱性管理、利用者権限制御の重要性を改めて示している。AIを使った継続的なソースコードレビューや24時間監視体制の導入は防御強化の有効手段である。検証手段としてはペネトレーションテストや攻撃シミュレーションが挙げられ、弱点の把握や異常検知能力の評価に役立つ。メール系サービスや大量個資取扱い事業に関わる新興企業は、この種の大規模なセキュリティ事件を防ぐための体制構築に注力すべきである。