企業や自治体のメール配信を請け負うユミルリンクは10月26日、不正アクセスの第二報を出し、メール配信サービス「Cuenote FC」から流出した情報が延べ51,628,280件にのぼると明らかにした。10月19日の第一報では5システム・延べ約900万件としていたが、その後の調査で、漏えいの痕跡が見つかったシステムは49に増えた。
このサービスを自分で使った覚えがなくても、対象になりうる。店や鉄道会社、自治体のメールマガジンを受け取っていれば、その宛先リストを預かっていたのがユミルリンクだった、という形で名前が載るからだ。
Cuenote FC に預けられていたもの
Cuenote FC は、企業がメールマガジンやお知らせを一斉に送るための仕組みだ。第二報によると、ここには次のような情報が記録される。
- アドレス帳: 配信先のメールアドレスと、差し込みや抽出に使う氏名・都道府県・生年月日などの付属情報 (中身は利用企業ごとに違う)
- 配信記録: 一斉送信ごとの通信記録とメールアドレス
- Web アクセス記録: メールマガジンの申し込みページやマイページでの登録・更新の記録
- 利用企業の担当者の情報: 氏名、メールアドレス、住所、電話番号
件数は延べで、同じ人が複数の企業のリストに入っていれば重ねて数えられる。どの付属情報が出たかは利用企業ごとに違い、同社は調査が終わり次第報告するとしている。さらに16のシステムで件数を調べている最中で、延べ件数は今後増える可能性があるという。
「影響なし」から一転した利用企業
実例は同じ日に出た。JR東海・JR西日本・JR九州は10月26日、新幹線のネット予約「エクスプレス予約」と「スマートEX」で、会員のメールアドレス、会員ID、カタカナの氏名、会員種別が漏えいしたと発表した。3社によると、10月16日の時点ではユミルリンクから利用者に影響はないと報告を受けていたが、26日になって、個人情報が第三者に閲覧または取得されたと連絡があったという。
ユミルリンクは、新たに影響が分かった利用企業に26日12時30分までに連絡したとしている。そこから会員へ知らせるのは各企業で、時間差がある。自分が対象かどうかは、ユミルリンクではなく、メールを受け取っていた店や団体のお知らせで分かることになる。
すでに届いている偽メール
第二報は、同社のドメインを使って第三者をかたる迷惑メールが複数確認されていることも明かした。例として、送信者名が「セゾンカード」「SAISON」、送信元アドレスが info@cuenote.jp、件名が「ご利用確認のお願い」「利用内容確認のご依頼」というものを挙げている。
本物の配信サービスのドメインから届くと、送信元アドレスだけで見分けるのは難しい。ユミルリンクは、身に覚えのない連絡の URL を開かず、添付ファイルも開かず、パスワードなどを入力しないよう求めている。同じパスワードを別のサービスで使い回している場合は、変更も勧めている。
次に確かめたいのは、Cuenote の公式サイトに載るユミルリンクの次の報告と、利用企業それぞれのお知らせだ。調べている途中の16システムの件数が、そこで示されるかどうかを見ておきたい。
ことば
- Cuenote FC — ユミルリンクのメール一斉配信サービス。企業や自治体がメールマガジンや案内を送る裏側で使われ、受け取る側からは配信元の事業者の名前が見えにくい。
- 延べ件数 — 同じメールアドレスが複数のリストや記録にあれば、その回数分を数えた件数。実際の人数より多くなるが、どれだけ重なっているかはまだ示されていない。
先月、あなたの受信箱にメールマガジンを送ってきた会社や団体は、いくつあっただろうか？
