ユミルリンクは10月26日、同社システムへの不正アクセスに関する第二報を発表した。不正プログラムとシステムログを解析した結果、情報漏えいが確認されたシステムは「Cuenote FC」の49システムと「Cuenote BASE」の1システム、計50システムに拡大した。Cuenote FCでは延べ5162万8280件のメールアドレスを含む情報が漏えいした可能性があるほか、同社ドメインを悪用した迷惑メールにも注意を呼びかけている。
事案の詳細
ユミルリンクは10月16日未明、同社担当者が一部システムへの不正アクセスを確認した。10月19日に公表した第一報では、5システムで不正アクセスとデータの出力を確認し、メールアドレスを含む延べ約900万件の情報が出力されたと試算していた。
侵入の手口について同社は、プログラムの脆弱性を突かれてサポート・品質管理担当者の認証情報を取得され、不正なプログラムを設置されてデータベースからデータを出力されたと説明している。さらに、同じ担当者の認証情報を使って他のシステムへの認証が試みられていたという。
その後、不正プログラムおよびシステムログを解析した結果、第一報以降に新たに45システムで、不正プログラムを介した他システムのデータ参照や、システムへのログイン時に取得されたセッション情報を利用した不正ログインが確認された。第二報で発表された不正アクセス対象は、メール配信サービス「Cuenote FC」の49システムと、顧客管理などを行うCuenoteシリーズのポータル「Cuenote BASE」の1システム、計50システムとなっている。
Cuenote FCでは、49システムでメールアドレスを含む情報の漏えいが確認され、件数は延べ5162万8280件に上る。このうち16システムは漏えい件数を調査中で、今後件数が増加する可能性がある。不正アクセスの試行が確認されたシステムは計81あり、内訳は複数企業が利用するシステムが3、単一企業が利用するシステムが78で、実際に不正アクセスが確認された49システムはいずれも単一企業向けだった。
Cuenote BASEでは、1システムで同社サービスの契約者情報を閲覧できる状態になっており、企業名、氏名、電話番号、メールアドレス計190件の情報が漏えいした可能性がある。対象の利用者には同社から直接連絡している。また、現時点で漏えいした情報の不正利用は確認されていない。
また、ユミルリンクは、同社のドメインを使って第三者をかたる迷惑メールがすでに確認されているとして注意を呼びかけている。報道によると、セゾンカードをかたり、「ご利用確認のお願い」「利用内容確認のご依頼」といった件名で届く例がある。送信元の表示が同社や関連サービスに見えるメールであっても、実際に同社が送信したものとは限らないため、本文やリンク先、添付ファイルを慎重に確認する必要がある。
影響と背景
今回の第二報では、漏えいが確認された対象が第一報の5システムから50システムに拡大し、Cuenote FCを利用する複数の単一企業向けシステムで影響が確認された。漏えい件数は延べ5162万8280件で、一部システムでは調査が続いているため、今後増加する可能性がある。
不正プログラムによる他システムのデータ参照や、セッション情報を利用した不正ログインが確認されたことから、単一のサーバーやサービスに限定されない侵害経路が明らかになった。さらに、同社ドメインを悪用した迷惑メールによって、利用者が正規の連絡と誤認したり、追加の不正操作を誘導されたりするリスクもある。
対策・今後の展望
- メールの真偽を慎重に確認する：送信元の表示やドメインだけで正規メールと判断せず、本文の内容、リンク先のドメイン、返信先、添付ファイルを確認する。不審な場合は、メールに記載された連絡先ではなく、公式サイトなどで確認した窓口に問い合わせる。
- 不用意にリンクや添付ファイルを開かない：ユミルリンクやCuenoteを名乗るメールでも、心当たりのないリンクや添付ファイルは開かず、認証情報や個人情報を入力しない。
- 社内で注意喚起を共有する：情報システム部門だけでなく、メールを扱う全担当者に、同社ドメインを悪用した迷惑メールの可能性を周知する。不審メールは転送や削除の前に、社内の定められた方法で保存・報告する。
- 対象サービスの利用状況を確認する：Cuenote FCやCuenote BASEを利用している企業は、ユミルリンクからの連絡を確認し、必要に応じて認証情報やセッションの再発行、アクセスログの確認などを実施する。具体的な対応内容は、同社からの案内に従う。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】正規ドメインや企業名を装ったメールは、受信者に正規の連絡だと思わせ、リンクのクリックや認証情報の入力を促す手段として悪用される。今回のように実在する企業やサービスが注意喚起を行っている局面では、その企業を装う便乗メールにも警戒が必要だ。
【観点②：セキュリティ専門家でない人への平易な解説】会社の看板を勝手に使って偽の案内状を配るようなものだ。見た目が本物らしくても、実際には別の人物や組織が送っている可能性がある。リンクをクリックしたり返信したりする前に、別の公式窓口から本物かどうかを確認することが重要となる。
【観点③：中小企業が今週中にできること】まず、社内に「ユミルリンクやCuenoteを名乗るメールは慎重に扱う」と周知し、不審メールを上長や情報システム担当者へ報告する手順を決める。次に、メール本文のリンクを直接開かず、公式サイトや既知の担当窓口から確認する運用を徹底する。対象サービスを利用している場合は、ユミルリンクからの案内の有無と、社内アカウントやアクセスログへの異常がないかを確認する。
参照: ユミルリンク、不正アクセスで情報漏えい件数を最大約5163万件と発表。対象が50システムに拡大 同社のドメインを悪用した迷惑メールにも注意喚起