委託先のメール配信基盤に、どんな顧客情報を持たせていたか

2026年10月、メール配信サービス「Cuenote FC」への不正アクセスにより、多数の利用企業の顧客情報が被害の対象になりました。企業ごとに漏えい内容が異なったのは、配信基盤で扱っていた情報が違ったためです。

ユミルリンクメール配信基盤と顧客情報2026年10月の事案約2分で読めます出典・公表資料

メール配信基盤への攻撃が、多数の企業に波及した

攻撃の起点は、ライブラリの脆弱性でした。攻撃者は担当者の認証情報を取得し、別システムへのアクセスやデータの持ち出しにも利用しました。Cuenote FCでは49システムで情報漏えいの痕跡が確認され、対象は延べ約5,163万件に広がりました。

ユミルリンクは脆弱性の修正、サポート用アカウントの削除、接続元IP制限などを実施しました。悪用されたライブラリ名や脆弱性の番号は公表されていません。[1]

野村證券では「i-Port」加入者のメールアドレスなど、H2Oリテイリング傘下のペルソナではメールアドレスが漏えいした可能性があります。朝日新聞社も対象の9割超はメールアドレスのみですが、一部に氏名・学校名などが含まれていました。[2][4][6]

毎日新聞社ではメールアドレス・氏名など、JR各社のスマートEXでは、メールアドレスに加え会員ID・氏名（カタカナ）・会員種別の漏えいを確認しています。[3][5]

さらに、マップカメラでは、メールアドレスに加えてポイント残高・有効期限・都道府県名も流出した可能性があります。送信先以外の顧客情報も配信基盤に保存していたことで、その情報まで被害の対象になりました。[7]

メール配信を委託する際は、どの処理を自社側で行い、どの情報を外部で扱うかを設計する必要があります。

例えば、ポイントの失効案内は、自社側で対象者を選び、本文を作ってから配信を任せる方法も考えられます。配信基盤側で対象者の抽出や本文への差し込みを行うなら、顧客情報を登録する分だけ、保存・アクセスの管理も必要になります。

発注元は、外部で扱う情報と漏えい時の影響を踏まえ、保存期間やアクセス制御、サービスに求める安全性を要件として決めておく必要があります。既存の配信基盤も、登録項目とデータ連携を確認するところから見直せます。