事案の概要データ
| 公表日 | 2026年10月19日 |
|---|---|
| 不正アクセスの確認 | 2026年10月16日 未明 |
| 出力された情報 | 5システムからメールアドレスを含む情報 延べ約900万件（試算） |
| 侵入経路 | プログラムの脆弱性からサポート・品質管理担当者の認証情報を取得された |
| 手口 | 不正プログラムによるデータベースの出力。さらにその認証情報で他システムへの認証試行も確認 |
| 外部持ち出し | 個人情報の外部持ち出しを確認済み |
| 注意 | 延べ件数であり、一意の人数ではない。利用企業ごとの範囲・件数は未公表 |
| 利用企業の公表（10月21日） | 大日本印刷（honto）が、メルマガ配信を許諾している顧客の氏名・メールアドレス・内部識別番号に漏えいの可能性があると公表（件数は調査中） |
図解：この事故の構造
何が起きたのか
ユミルリンクは2026年10月19日、メール配信サービスへの不正アクセスを10月16日未明に確認したことを公表しました。
経路は、プログラムの脆弱性を突かれてサポート・品質管理担当者の認証情報を取得されたことです。攻撃者はその認証情報を使い、不正プログラムによってデータベースの内容を出力しました。さらに、取得した認証情報で他のシステムへの認証試行も行われていたことが確認されています。
出力されたのは5つのシステムから、メールアドレスを含む情報 延べ約900万件（試算）です。個人情報の外部持ち出しも確認されています。
メール配信基盤が狙われる意味
メール配信サービスは、企業がメールマガジンや通知メールを大量に送るための仕組みです。つまり、利用企業の顧客リストがそこに預けられています。
1社の配信基盤が破られると、その上に乗っている全企業の宛先リストが同時に流出します。延べ約900万件という規模は、この構造から生まれたものです。
さらに厄介なのは、流出するのが「メールアドレスのリスト」であることです。配信基盤から盗まれたリストは、そのままフィッシングメールの送信先リストになります。しかも「この企業のメールマガジンを購読している人」と分かっているため、その企業を装えば開封率が上がります。
2026年10月は、こうした共通基盤型の事案が繰り返されました。10月5〜7日のスカラコミュニケーションズ、10月13日のアルカディア、10月16日のStudio、そして本件です。
利用企業は何をすべきか
このサービスを使っている企業は、まず提供元からの連絡を確認し、自社の宛先リストが対象かを把握してください。
そのうえで、自社の顧客・会員に対して「当社を装う不審なメールにご注意ください」という案内を出すことが必要になります。自社が攻撃されたわけではなくても、顧客に届くのは自社名のメールだからです。
また、配信サービスの管理画面のパスワード変更と多要素認証の設定も行ってください。本件では担当者の認証情報が他システムへの認証試行にも使われており、認証情報の使い回しが被害を広げます。
延べ約900万件という数字は、同じ人が複数のシステムに登録されていれば重複して数えられます。一意の人数ではない点にも注意が必要です。
時系列で見る経過
- 2026年10月16日 未明不正アクセスを確認
- 2026年10月プログラムの脆弱性から担当者の認証情報が取得され、不正プログラムでDBが出力されたことを確認
- 2026年10月取得された認証情報で他システムへの認証試行も確認
- 2026年10月19日5システムから延べ約900万件が出力されたと試算し、公表
- 2026年10月19日大日本印刷へ委託先から報告
- 2026年10月21日大日本印刷（honto）が、メルマガ配信許諾顧客の情報に漏えいの可能性があると公表
中小企業が学ぶべきポイント
- メール配信基盤が破られると、利用企業すべての宛先リストが同時に流出する。
- 流出した宛先リストは、そのままフィッシングの送信先になる。しかも自社名を装われる。
- 配信サービスの管理画面に多要素認証をかける。認証情報を使い回さない。
- 自社が攻撃されていなくても、顧客に届くのは自社名のメール。注意喚起を出す。
- 「延べ件数」は一意の人数ではない。数字の意味を確認する。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。