ユミルリンクの不正アクセス、漏えい50システムに拡大 第二報で延べ5,162万件超と発表

　ユミルリンクは10月26日、同社システムへの不正アクセスに関する第二報を発表した。メール配信サービス「Cuenote FC」の49システムと、顧客管理システム「Cuenote BASE」の1システムで、情報漏えいが確認されたという。10月19日の第一報では5システムで延べ約900万件の出力と試算していたが、対象は大幅に広がった。

　Cuenote FCで漏えいが確認された延べ件数は5,162万8,280件。メールアドレスなどの出力が確認されたという。ただし、このうち16システムは漏えい件数を調査中で、今後の調査で延べ件数が増える可能性があるとしている。不正アクセスが試みられたシステムは計81で、内訳は複数企業が利用する3システムと、単一企業が利用する78システムだった。

　Cuenote BASEでは、同社サービスの契約者情報が閲覧可能な状態になり、企業名、氏名、電話番号、メールアドレスの計190件が流出した。

　同社によると、10月16日に担当者が不正アクセスを確認した。プログラムの脆弱性を突かれ、サポート・品質管理担当者の認証情報を取得されたうえ、不正プログラムによってデータベースからデータが出力されていた。この認証情報を使って、他のシステムへの認証も試みられていたという。第一報以降に新たに45システムで、不正プログラムを介した他システムのデータ参照や、セッション情報を取得した不正ログインが確認された。

　同社は不正アクセスを確認したサーバをネットワークから切り離し、脆弱性の修正プログラムを適用した。警視庁、個人情報保護委員会、JIPDECへ届け出ており、IPAへは原因の特定が完了次第届け出る予定という。対象の顧客には同社から直接連絡している。

　漏えいした個人情報が不特定多数に公開された事実や、不正利用は、現時点で確認されていないという。一方、同社のドメインを使って第三者をかたる迷惑メールが複数確認されており、詐欺の可能性があるとして注意を呼びかけている。

　同社のサービスをめぐっては、野村證券が10月23日、メール配信を委託する先での不正アクセスを公表している。