2つの配信サービスが、続けて破られた

事件の概要

2026/10/16
ユミルリンクが不正アクセスを確認
ライブラリの脆弱性を突かれ、サポート担当者の認証情報を取られていました。同じ日の夜に脆弱性を修正しています。
2026/10/19
第一報は「5システム・約900万件」
警視庁と個人情報保護委員会に報告し、公表しました。
2026/10/26
第二報で49システム・延べ約5,163万件に
件数を調べている途中のシステムが、まだ16あるとしています。
10/27〜30
利用していた企業の公表が続く
ソースネクスト、毎日新聞社、H2Oグループ、朝日新聞社、ライフカードなどが、自社の顧客の情報が含まれていたと公表しました。
2026/10/28
別の配信サービス「アララメッセージ」にも不正アクセス
アララが不正アクセスを確認し、サーバーをネットワークから切り離して配信を止めました。
2026/10/29
アララは約301万件の持ち出しを公表
原因は「Webサーバーの脆弱性を第三者に悪用された」としています。再開の時期は未定です。

5162.8万件

「Cuenote FC」で持ち出しが確認された、メールアドレスなどの延べ件数（49システム、10月26日時点）。

301万件

「アララメッセージ」で外部に持ち出されたメールアドレス。メールアドレス以外の流出は確認されていないとしています。

配信サービスに預けているもの

メルマガを送るには、送り先の名簿を配信サービスに預けます。ユミルリンクは、持ち出しの対象を次の4つに分けて説明しています。メールアドレスだけ、ではありません。

アドレス帳メールアドレスに加えて、氏名・都道府県・生年月日など、各社が登録した項目。

配信の記録いつ、どのアドレスに、どのメールを送ったか。

Webのアクセス記録メールの中のリンクから、誰がどのページを開いたか。

利用企業の担当者の情報配信サービスを使っている会社の、担当者の氏名・メールアドレス・住所・電話番号。

アドレス帳にどんな項目が入っていたかは、利用していた会社ごとに違います。誕生日を入れていた会社もあれば、メールアドレスだけの会社もあります。何を預けていたかが、そのまま被害の大きさになりました。

実際にユミルリンクは、同社などをかたる「ご利用確認のお願い」といった件名のなりすましメールを確認したと公表しています。漏れた名簿には「この人はこの会社の顧客」という情報が付いているため、もっともらしいメールが作れてしまいます。

メルマガやお知らせメールは、中小企業でも配信サービスを使うのがふつうです。配信サービスが破られることを止める手立ては、利用者の側にはほとんどありません。できるのは、預けるものを減らすことと、漏れたあとの被害を小さくすることです。

名簿を預けている会社の4つ

ドメインを入力するだけで、なりすましメールを防ぐ設定を含めて無料で診断します。

※ 本記事は公表された情報と公的統計に基づく一般向けの解説です。攻撃の再現手順は扱いません。各社の最新の発表もあわせてご確認ください。