Cuenote FCの情報漏えいで自分が対象かを確かめるには、メールを配信した企業・団体の公式サイトで、対象情報と個別通知の案内を見る必要がある。ユミルリンクは10月26日の第2報で49システムから延べ51,628,280件の流出を報告したが、この数字は被害者の実人数を示さない。全てのメール受信者が対象と決まったわけでもない。

今回の確認が必要になったのは、16日に検知された不正アクセスの調査で、影響範囲が広がったためだ。19日の第1報から26日の続報までにログ解析が進んだ。同日、アンケートサイトD style webも、自社が使う環境から登録情報が外部へ出力された可能性が高いと連絡を受けたと公表した。提供元の全体報告と、読者が登録したサービスからの案内を結び付けて読む段階にある。

メール受信者は配信元公式サイトの最新告知と個別通知を確認。管理者は契約環境の通知とアカウント対策を確認。延べ件数は人数ではない。
10月26日の提供元・利用企業の公式告知を基にした確認フロー。対象者を自動判定するものではない。

全体集計と、自分が登録したサービスの範囲

ユミルリンクは、プログラムの脆弱性を起点に担当者の認証情報を取得され、不正プログラムによるデータ出力などが行われたと説明している。第2報では専用ASPの49システムで流出を確認し、そのうち16システムは件数を調査中とした。集計は今後増える可能性があり、会社ごとに登録項目も異なる。メールアドレスだけか、氏名なども含むかは個別の公表を見る必要がある。

D style webの26日告知は、アンケート依頼やメールマガジンなどの配信先として登録したメールアドレス・氏名を中心に、企業名などを含む可能性を挙げている。対象者リストと確定件数を受け取り次第、ページを更新し、対象者が確定したら個別に連絡する方針だ。この段階では「自分に通知が届いていない」ことだけで対象外とは判断できない。

古い告知と不審なメールをどう見分けるか

一方、緑邦産業は22日の告知で、20日未明に可能性の連絡を受けた後、同日午前に自社環境では漏洩が確認されていないとの続報を受けたと説明した。これはその企業の当時の確認結果であり、全利用企業の安全を示すものではない。企業名の一覧や古い見出しだけを頼りにせず、登録先と告知日、対象項目、続報の有無を一組で確かめたい。

メールの受信者は、不審な通知のリンクを踏んで確認するより、普段使っているブックマークや公式アプリから配信元へ進み、「お知らせ」の最新情報と問い合わせ窓口を探すのがよい。D style webは、メールでパスワード、カード番号、銀行口座情報の入力を求めないと明記している。未確定の対象者を装った連絡で認証情報を入力させる流れに乗らないことが、直ちにできる対応になる。

管理者の対応と次に見るべき更新

Cuenoteを契約して操作する管理者には別の確認がある。ユミルリンクは同社サービスのアカウントについてパスワード変更を勧め、他サービスで使い回していればそちらも変更し、可能な場合は二段階認証を利用するよう案内している。この管理者向けの対応を、メールを受け取っただけの全員について「ログインパスワードが流出した」と読み替えてはいけない。

今後見るべき点は、総件数の増減に加えて、登録先が対象項目と通知方法を具体化したかどうかだ。D style webでは同じ告知ページが更新先となり、緑邦産業も追加情報を案内する方針を示している。複数のサービスを使う人は確認した企業名と告知日を控えておけば、続報との違いを追いやすい。現時点の未確定事項を保ったまま、確認先と自分の対応を明確にできる。

資料・出典

2026年10月26日に公式発表と利用企業の告知を照合。延べ件数と実人数、確定事項と調査中の事項を分けた。

AIを資料整理と執筆に活用し、公開前に根拠を確認しています。 編集方針 →