【第二報】メール配信サービス「Cuenote FC」に不正アクセス、延べ約5,000万件のメールアドレス等が流出　利用企業も相次ぎ公表

何が起きたのか

メール配信を代行するサービスから、メールアドレスを含む大量のデータが持ち出されました。 ユミルリンクの10月19日の公表によると、10月16日未明に担当者が一部システムへの不正アクセスに気づきました。対象は「Cuenote FC」の専用ASPプラン（利用企業ごとに用意される環境）のうち5システムで、持ち出されたデータは同社の試算で延べ約900万件です（ユミルリンク（外部サイトが新しいタブで開きます））。

その後、さらに45システムに被害が及んでいることが発覚。持ち出されたデータは同社の試算で延べ約5,000万件です（ユミルリンク（外部サイトが新しいタブで開きます））。

アクセス記録からは、プログラムの脆弱性が悪用されたこと、サポート・品質管理担当者の認証情報が盗まれたこと、不正なプログラムが置かれてデータベースからデータが出力されたこと、盗まれた認証情報で他のシステムへのログインも試みられたことが分かっています。同社はサーバーを切り離し、脆弱性を修正し、捜査機関に届け出ました。データの詳細は外部の専門家と調査中です。

「延べ」とあるのは、同じアドレスが複数の利用企業のリストに含まれていれば重複して数えられるためで、人数ではありません（一創（外部サイトが新しいタブで開きます））。

利用企業はどう動いたか

メール配信を同サービスに任せていた企業が、影響の有無を順次公表しています。 NTTPCコミュニケーションズは10月20日、19日にユミルリンクから報告を受けたと公表しました。利用者の情報への影響は確認されていないものの、可能性を否定できないとして、連絡先メールアドレス等の漏えいに注意するよう呼びかけています（NTTPC（外部サイトが新しいタブで開きます））。

山陽新聞社は18日からニュース速報などのメール配信を止め、21日に再開しました。ユミルリンクから、同社が使う環境では情報漏えいは確認されていないとの連絡を受けたためです（山陽新聞社（外部サイトが新しいタブで開きます））。

何に気をつけるべきか

持ち出されたのがメールアドレスである以上、次に警戒すべきは「なりすましメール」です。 ユミルリンクは20日、自社のドメインを使って第三者を装った迷惑メールが複数確認されているとして注意を呼びかけました（ユミルリンク 注意喚起（外部サイトが新しいタブで開きます））。この迷惑メールと今回の流出との関係は示されていません。

編集部は、メール配信やアンケート、予約受付といった「顧客と接する部分」を外部のサービスに任せる企業ほど、委託先の事故が自社の顧客への説明責任につながる点に注意が必要だと考えます。