当社システムへの不正なアクセスに関するご報告（第三報）
ユミルリンク株式会社（提出会社）
メール配信サービスCuenote FC、顧客管理システムCuenote BASE、メール配信エンジンCuenote SR-S、Cuenote SMS、Cuenote Auth、Cuenote Survey、Cuenote Push、安否確認サービス。情報漏洩が確認されたのはCuenote FCおよびCuenote BASE。
（06:49、当社担当者が運用管理システム上の自身のアカウントの異常を検知した日）
同日（当社担当者が異常を検知）
26日後会社が最初の日付としている日から、この開示までに26日かかっています。
プログラムの脆弱性等を突かれたこと、攻撃者が初期侵害拠点から窃取した有効なセッション情報を悪用したこと、正規の管理画面に入りCSV出力機能を悪用してデータをダウンロードしたこと。
会社の対応
外部専門機関によるフォレンジック調査のため、Cuenote FC専用ASPの一部システムが稼働停止。Cuenote BASEは対応済みだが稼働を保留中。
外部専門セキュリティ機関によるフォレンジック調査。最終解析作業が進行中で、機関名・委員長名・設置日は非開示。
①セキュアコーディングおよび脆弱性管理の抜本的強化：ファイルアクセス処理等における厳格な入力値検証の実装、設計・レビュー規程の改訂、AIを活用したソースコードレビューや潜在的脆弱性の自動検知体制の導入、外部専門機関による定期的な第三者脆弱性診断の導入。②特権アクセス管理および保守運用のゼロトラスト化：システム内に恒常配置された共有管理者権限の撤廃、多要素認証を前提としたセキュアゲートウェイ経由でタスク実行時のみ最小権限を確立・運用。③多層防御による24時間365日の監視・インシデント即応体制の確立：全サーバ環境を対象に異常を監視するシステムの配備、不審なファイル配置へのアラート発報、専任監視体制による24時間365日の常時チェック、脅威の発生と同時に対応する運用。
2026年12月期（業績への影響は現在精査中）
本件が2026年12月期の業績に与える影響は、現在精査中。今後開示すべき事項が生じた場合には速やかに公表する予定。
関係する手続き
管轄警察署への被害届の提出および捜査への協力、個人情報保護委員会・JIPDEC・IPAへの報告・手続き
警視庁サイバー事案通報窓口、管轄警察署、個人情報保護委員会、一般社団法人日本情報経済社会推進協会（JIPDEC）、独立行政法人情報処理推進機構（IPA）
外部専門セキュリティ機関によるフォレンジック調査の最終解析作業を進め、同機関の調査結果報告書を受領した段階で調査結果を総括する。
調査結果報告書を受領した段階で、調査結果の総括として『最終報』を改めて公表する予定。
| 項目 | 内容 |
|---|---|
| 事象の名称 | 当社システムへの不正なアクセスに関するご報告（第三報） |
| 発生日 | 2026年10月16日（06:49、当社担当者が運用管理システム上の自身のアカウントの異常を検知した日） |
| 認知日・通知受領日 | 2026年10月16日06:49（当社担当者が異常を検知） |
| 対象となる主体 | ユミルリンク株式会社（提出会社） |
| 対象拠点・対象製品 | メール配信サービスCuenote FC、顧客管理システムCuenote BASE、メール配信エンジンCuenote SR-S、Cuenote SMS、Cuenote Auth、Cuenote Survey、Cuenote Push、安否確認サービス。情報漏洩が確認されたのはCuenote FCおよびCuenote BASE。 |
| 原因 | プログラムの脆弱性等を突かれたこと、攻撃者が初期侵害拠点から窃取した有効なセッション情報を悪用したこと、正規の管理画面に入りCSV出力機能を悪用してデータをダウンロードしたこと。 |
| 計上する会計期間 | 2026年12月期（業績への影響は現在精査中） |
| 業績予想への影響 | 本件が2026年12月期の業績に与える影響は、現在精査中。今後開示すべき事項が生じた場合には速やかに公表する予定。 |
| 訴訟・手続きの種類 | 管轄警察署への被害届の提出および捜査への協力、個人情報保護委員会・JIPDEC・IPAへの報告・手続き |
| 裁判所・当局 | 警視庁サイバー事案通報窓口、管轄警察署、個人情報保護委員会、一般社団法人日本情報経済社会推進協会（JIPDEC）、独立行政法人情報処理推進機構（IPA） |
| 停止した業務 | 外部専門機関によるフォレンジック調査のため、Cuenote FC専用ASPの一部システムが稼働停止。Cuenote BASEは対応済みだが稼働を保留中。 |
| 調査体制 | 外部専門セキュリティ機関によるフォレンジック調査。最終解析作業が進行中で、機関名・委員長名・設置日は非開示。 |
| 再発防止策 | ①セキュアコーディングおよび脆弱性管理の抜本的強化：ファイルアクセス処理等における厳格な入力値検証の実装、設計・レビュー規程の改訂、AIを活用したソースコードレビューや潜在的脆弱性の自動検知体制の導入、外部専門機関による定期的な第三者脆弱性診断の導入。②特権アクセス管理および保守運用のゼロトラスト化：システム内に恒常配置された共有管理者権限の撤廃、多要素認証を前提としたセキュアゲートウェイ経由でタスク実行時のみ最小権限を確立・運用。③多層防御による24時間365日の監視・インシデント即応体制の確立：全サーバ環境を対象に異常を監視するシステムの配備、不審なファイル配置へのアラート発報、専任監視体制による24時間365日の常時チェック、脅威の発生と同時に対応する運用。 |
| 今後の見通し | 外部専門セキュリティ機関によるフォレンジック調査の最終解析作業を進め、同機関の調査結果報告書を受領した段階で調査結果を総括する。 |
| 続報の予定 | 調査結果報告書を受領した段階で、調査結果の総括として『最終報』を改めて公表する予定。 |
この書類が述べていない項目（10件）
会社がこの書類で述べていない項目です。空欄にしたり、他の資料や推測で補ったりはしません。
会社が挙げている理由
会社自身の説明です。数値から推測したものではありません。プログラムの脆弱性を突かれたことに加え、攻撃者が窃取した有効なセッション情報を悪用し、正規の管理画面に入りCSV出力機能を使ってデータを持ち出したため。