毎日新聞：毎日新聞、メール登録者情報2328件流出　「ユミルリンク」配信システムへ不正アクセス

毎日新聞社は10月26日、メールマガジンなどの配信に利用している「ユミルリンク」（東京都渋谷区）のサービスが不正アクセスを受け、メールアドレスなどが漏えいした可能性があると明らかにし、各種メール配信を停止した。この時点では漏えい件数はユミルリンクが調査中で、クレジットカード情報は含まれていないとされた [s7]。同社は27日に2328件の流出を発表した。その後、公表によれば、10月28日にはユミルリンクから、同社が利用する環境で通常のメール配信を安全に再開できるとの報告を受けた。毎日新聞社は安全性の確認を重ね、追加の安全対策も実施したうえで、停止していたメールマガジン等の配信を同日から再開した [s10]。

事案の発端はユミルリンク側にある。朝日新聞によれば、ユミルリンクは10月16日に担当者が一部システムで不正アクセスを確認した。同社が19日に公表した流出可能性は延べ約900万件だったが、26日には管理する「Cuenote FC」の計49のシステムで流出の痕跡を確認したとして、延べ5162万件に拡大した。ただし26日時点でも16のシステムは調査中で、件数はさらに膨らむ可能性があるという [s6]。毎日新聞社の公表によれば、同社分で漏えいが確認されたのは、毎日新聞デジタルの長期コース契約者の一部2061件と、企業・法人向けお知らせメール登録者の一部267件のメールアドレス、氏名などで、クレジットカード情報やログインパスワードは含まれていない。ユミルリンクは影響範囲の調査を続けているとされる [s10]。

侵入の手口について、朝日新聞によれば、ユミルリンクがアクセス記録などを調べたところ、不正プログラムを介してデータベースからデータを出力したり、他のシステムのデータを参照したりしていたことが確認された。メールアドレスのほか、氏名や生年月日が流出した可能性もあるという [s6]。ユミルリンクは数千万人規模への配信に対応するメール配信システムや、携帯電話網を利用したショートメッセージ配信サービスなどを手がけている [s6]。

影響は毎日新聞社にとどまらない。朝日新聞によれば、JR東海、JR西日本、JR九州は26日、「エクスプレス予約」と「スマートEX」の会員17万件分の個人情報が流出したと発表した。朝日新聞社も「Cuenote FC」を利用しており、管理用アカウントのパスワード変更などの対応を進めている [s6]。委託先やクラウドサービスからの流出が目立つことから、毎日新聞の社説は、外部に預けるデータの種類や預け先システムの安全性に細心の注意を払う必要があると指摘した [s9]。

毎日新聞社は、漏えいした情報を利用して同社やサービスを装った不審なメールが送られる可能性があるとして、送信元不明のメールに注意し、記載URLへのアクセスや個人情報・パスワードの入力をしないよう呼びかけている。漏えいが確認された人には個別にメールで連絡するとしている [s10]。

同種事案の増加について、トレンドマイクロによれば、国内企業・自治体が今年公表した不正アクセスなどの被害は9月末時点で600件に上り、2024年、25年の同時期より100件以上多い [s8]。毎日新聞の社説では、被害急増の背景としてAIの進化が指摘され、脆弱性を見つける能力が高まり、人間なら2週間かかる攻撃を数十分で行えるとみる専門家もいるという。同社説は、システムの早急な点検や不審なアクセスの監視強化のほか、個人情報を持ちすぎないことを求めている [s9]。