日本脆弱性総合ポータル

ユミルリンク：メール配信サービスへの不正アクセスで顧客の個人情報が流出した可能性

重要度
約900万件
公表日
2026.10.19
原因の分類
自社実装の脆弱性、認証情報・シークレット
対策可能性
判定保留

この記事の3行まとめ

  1. メール配信サービスに不正アクセスがあり、個人情報が外部へ持ち出された。
  2. プログラムの脆弱性が悪用され、担当者の認証情報が取得された。
  3. 身に覚えのないメールや不審なURLには注意が呼びかけられている。

ユミルリンクが運営するメール配信サービスの一部サーバーが外部から不正アクセスを受け、個人情報が外部に持ち出されたと同社が公表した。侵入にはプログラムの脆弱性が使われ、サポート・品質管理担当者のサービス認証情報が取得された。5システムでメールアドレスを含む情報延べ約900万件が出力されたと試算されている。埼玉県の委託先が利用するメールマガジンシステムも対象に含まれ、669者分の情報が流出した可能性がある。同社のサービスを使う宣伝会議も、顧客の個人情報が流出した可能性があると公表した。

確認された経路・公表元の推定

  1. プログラムの脆弱性を悪用され、サポート・品質管理担当者のサービス認証情報が取得された。
  2. 不正プログラムが設置され、データベースからデータが出力された。
  3. 取得した担当者の認証情報を使い、他システムへの認証が試みられた。
  4. 2026年10月16日(金)未明、担当者が不正アクセスを確認し、サーバーをネットワークから切り離した。
  5. 10月20日、委託先のナレッジクライマーから埼玉県へ、ユミルリンクのサーバーへの不正アクセスと個人情報流出の可能性が報告された。
  6. 10月21日、ユミルリンクは顧客の宣伝会議に対し、「弊社のシステムは対象外」と回答した。
  7. 10月26日、ユミルリンクから訂正通知があり、宣伝会議は、アドレス帳データが流出した可能性が高いと確認した。

根拠の要点

ユミルリンクは、当該システムのアクセス記録を確認した結果、プログラムの脆弱性を悪用して認証情報の取得、不正プログラムの設置、データ出力が行われたと説明している。埼玉県は委託先からの報告として流出の可能性を記している。宣伝会議は、ユミルリンクからの訂正通知を受けて、アドレス帳データが流出した可能性が高いと確認した。侵入の日時や脆弱性の種類は示されていない。

資料の基準時点：2026年10月27日発表の続報時点

当時、対策できたのか

判定保留

侵入口となったプログラムの脆弱性の種類、対象プログラム、修正版の提供時期、攻撃時点で既知だったかは資料に記載がない。ユミルリンクは脆弱性修正プログラムの作成と適用を述べるだけで、対策の欠落も発覚時の未発見も資料からは判断できない。

公表された対策

  • 不正アクセスを確認したサーバーを直ちにネットワークから切り離した
  • 脆弱性修正プログラムを作成し適用した
  • 他システムからサポート・品質管理担当者の情報を削除した
  • 脆弱性のあるプログラムの修正対応を行う
  • サポート・品質管理担当者の認証情報を削除した
  • 不正プログラムの検知体制を整備する
  • 捜査機関への届出を行った
  • ユミルリンクは不正アクセス専用の問い合わせ窓口を設置した
  • 埼玉県は流出の可能性がある669者へメールでお詫びと注意喚起を行い、流出状況を確認する
  • 宣伝会議は顧客に身に覚えのないメールや不審なURLへの注意を呼びかけ、個人情報保護委員会へ速報を実施するとした

この事例を理解するための動画

まだ分からないこと

  • 侵入に使われたプログラムの脆弱性の種類と、対象プログラムの特定
  • 侵入の開始日時（資料は2026年10月16日未明の検知を示すのみ）
  • 不正プログラムの内容と、取得した認証情報による他システムへの認証試行が成功したか
  • 流出したデータの詳細と、5システムそれぞれの内容（調査中）
  • 約900万件は試算であり、確定した件数ではない
  • 県が挙げた669者は現時点の数字で、約900万件との関係は不明
  • 宣伝会議の顧客の対象件数（ユミルリンクで確認中）と、流出の確定
  • ユミルリンクが当初「対象外」と回答した理由
  • 本件が2026年12月期の業績に与える影響（精査中）

関連する事例

同じ原因分類の事例

事例の一覧に戻る