# ユミルリンク（4372） 当社システムへの不正なアクセスに関するご報告（第二報）

Source: Komori (komori.app) — https://komori.app/company/4372/disclosure/20261026556277
種別: 発生事実
開示日: 2026-10-26
Komoriの読み（0-100）: 63
企業ページ: https://komori.app/company/4372

## 何が変わったか

不正アクセスの調査により、追加で45システムへの不正アクセスとデータ参照・出力が確認され、情報漏洩の対象範囲が拡大した。Cuenote FCでは延べ51,628,280件、Cuenote BASEでは190件の情報について漏洩または閲覧の可能性が示されている。

## 会社が挙げた理由

ライブラリの脆弱性を悪用され、不正プログラムの設置、認証情報の取得、不正ログインおよびデータ出力が行われたため。

## 開示の要点

- 事象の名称: 当社システムへの不正なアクセスに関するご報告（第二報）
- 発生日: 2026年10月16日（当社担当者が不正アクセスを確認した日）
- 認知日・通知受領日: 2026年10月16日（当社担当者が一部システムにおいて不正アクセスが生じていることを確認）
- 対象となる主体: ユミルリンク株式会社
- 対象拠点・対象製品: Cuenote FC、Cuenote BASEおよびその他の当社システム。新たに45システム（Cuenote FC 44システム、Cuenote BASE 1システム）
- 原因: プログラムの脆弱性により認証情報を取得され、不正プログラムを設置され、他システムへの不正ログインおよびデータ出力が行われたこと
- 業績への影響額: 金額は示されていない。漏洩情報はCuenote FCで51,628,280件（延べ件数）、Cuenote BASEで190件
- 計上する会計期間: 2026年12月期
- 業績予想への影響: 2026年12月期の業績に与える影響については、現在精査中
- 訴訟・手続きの種類: サイバー犯罪に関する捜査機関への通報、個人情報漏洩の行政報告
- 裁判所・当局: 警視庁、個人情報保護委員会、一般社団法人日本情報経済社会推進協会（JIPDEC）、独立行政法人情報処理推進機構（IPA）
- 原告: not_disclosed
- 被告: not_disclosed
- 提訴日・処分日: not_disclosed
- 請求額・課徴金額: not_disclosed
- 回収不能または回収遅延のおそれが生じた債権の額: not_disclosed
- 停止した業務: 不正アクセスを確認したサーバ、Cuenote BASE、複数のシステムおよび特定データセンターの全システムを停止。予防措置で停止した他システムは順次再開
- 再開予定日: 2026年10月20日午前1時から、予防措置として停止していた他システムを順次再開
- 調査体制: 外部セキュリティコンサルティング会社および外部専門家の協力を受けて調査。2026年10月16日に不正アクセス対策本部を発足
- 再発防止策: 脆弱性のあるプログラムの修正対応、当社サポート・品質管理担当者の認証情報の削除、不正プログラムの検知体制の整備、認証画面・APIへの接続元IP制限
- 役員の責任: not_disclosed
- 異動前の議決権所有割合: not_disclosed
- 異動後の議決権所有割合: not_disclosed
- 今後の見通し: 外部専門家の協力のもと詳細調査を進め、情報セキュリティ体制のさらなる強化に努める。IPAには全容の解明と原因の特定が完了次第、届け出る予定
- 続報の予定: 新たな事実が判明した時点、または開示すべき事項が生じた場合に、速やかに報告する

## 評価の根拠

- 会社自身が述べる影響の程度はどの水準か。: 記載なし（原文: 「「本件が2026年12月期の業績に与える影響については、現在精査中です。」」）
- この事象は損失をもたらすものか、利益をもたらすものか。: 小幅な下振れ（原文: 「「新たに45システム…において…他のシステムのデータを参照していること、Ⅵ．システムログイン時のセッション情報を取得し不正ログインしていることを確認いたしました。」」）
- 示された影響額は、会社の利益・売上の規模に対してどの程度か。: 相対規模は不明（原文: 「「51,628,280件（延べ件数）」「190件」」）
- 影響が及ぶ範囲はどこまでか。: 複数セグメント（原文: 「「新たに45システム（第1報以降に流出を確認したCuenote FC 44システム、Cuenote BASE1システム）」」）
- 出荷・生産・販売の停止、拠点の閉鎖、サービスの停止が生じたと書かれているか。: あり（原文: 「「不正アクセスを確認したサーバを直ちにネットワークより切り離す」「システムを停止」」）
- 影響額の開示状況はどれか。: 金額の記載なし（原文: 「「本件が2026年12月期の業績に与える影響については、現在精査中です。」」）
- 影響がどの会計期間に計上されるかが明示されているか。: あり（原文: 「「本件が2026年12月期の業績に与える影響については、現在精査中です。」」）
- 事象の発生日または会社が認知した日が、特定の日付で示されているか。: あり（原文: 「「2026年10月16日(金)に当社担当者が一部システムにおいて不正アクセスが生じていることを確認」」）
- 相手方・対象拠点・対象製品・対象契約が固有名で特定されているか。: あり（原文: 「「ユミルリンク株式会社」「Cuenote FC」「Cuenote BASE」」）
- 主要な事実に数値と時期がついているか。: 数値と時期あり（原文: 「「2026年10月16日」「新たに45システム」「51,628,280件（延べ件数）」」）
- 肝心の数値を、別紙・同日開示の他資料・決算短信に委ねているか。: なし（原文: 「「当社サービス一覧と不正アクセス・情報漏洩の有無」および「本事案の経緯」」）
- 事象はどこまで収束しているか。: 調査中（原文: 「「現時点で漏洩件数の調査中であるシステムが16システム存在しており、今後の調査によって延べ件数は増加する可能性がございます。」」）
- この書類は、この事象についての何度目の開示か。: 続報（原文: 「「当社システムへの不正なアクセスに関するご報告（第二報）」「2026年10月19日にお知らせした内容に…報告を更新いたします。」」）
- 前回の開示と比べて、事象は拡大したか、収まったか。: 前回より拡大（原文: 「「新たに45システム…において…データを参照していること、Ⅵ．…不正ログインしていることを確認」」）
- 続報の予定はどう書かれているか。: 続報を約束（原文: 「「今後、開示すべき事項が生じた場合には、速やかにお伝えいたします。」「新たな事実が判明しました時点で、改めてご報告申し上げます」」）
- 第三者委員会・特別調査委員会・外部専門家の関与が示されているか。: あり（原文: 「「外部セキュリティコンサルティング会社に協力を要請」「外部専門家の協力のもと詳細調査を進め」」）
- 影響についての記述はどれだけ断定的か。: 確定を避けている（原文: 「「調査中」「増加する可能性がございます」「現在精査中です」」）
- 事象の原因はどこにあるか。: 内部管理（原文: 「「プログラムの脆弱性により」「脆弱性のあるプログラムの修正対応」「不正プログラムの検知体制の整備」」）
- 事象はどの主体で起きたか。: 提出会社（原文: 「「当社システムへの不正なアクセス」「ユミルリンク株式会社」」）
- 法的・行政的な手続きはどの段階にあるか。: 当局の調査対象（原文: 「「管轄の警視庁へ通報を行っており、今後の捜査に全面的に協力してまいります。」」）
- 当局から期限付きの報告・改善義務が課されたと書かれているか。: なし（原文: 「当局への届出・報告の記載はあるが、期限付き義務の記載はない。」）
- 自社の開示手続きについて、この書類は何を認めているか。: 開示上の問題なし（原文: 「「2026年10月19日にお知らせした内容に、その後の調査で判明した事項と当社の対応を加え、報告を更新いたします。」」）
- 再発防止についてどこまで書かれているか。: 具体的な再発防止策（原文: 「「脆弱性のあるプログラムの修正対応、…認証情報の削除、不正プログラムの検知体制の整備、認証画面・APIへの接続元IP制限」」）
- 株主・顧客・関係者への謝罪の文言があるか。: あり（原文: 「「みなさまに多大なご迷惑とご心配をおかけしますことを心より深くお詫び申し上げます。」」）