メール配信サービスの漏えい、なぜ使っていた会社の客まで 関西への広がりを図解

新幹線のネット予約、京都府のボランティアの応募、神戸の商工会議所のメールマガジン。ばらばらに見える登録先から、10月の後半に、似たような知らせが相次ぎました。

原因は、それぞれが使っていたメール配信サービスへの不正アクセスです。ユミルリンクの「Cuenote FC」と、ラクスライトクラウドの「ブラストメール」。どちらも、会社や団体が会員のメールアドレスを預ける先でした。

1社が破られると、多くの会社に広がる

メール配信サービスは、会社の代わりにメールマガジンやお知らせを一斉に送るサービスです。会社は送り先の名簿を預け、ときには氏名や都道府県、生年月日なども添えます。

そのため、配信会社が1社破られると、名簿を預けていた多くの会社の客の情報が、まとめて漏れます。ユミルリンクは10月26日の第二報で、49のシステムで延べ51,628,280件の情報が持ち出されたと発表しました。16のシステムは件数を調べている途中で、さらに増える可能性があります。

ブラストメールは、10月21日0時30分からサービスを止めています。全契約者の情報が持ち出され、配信先のリストなども漏れた契約は、26日17時の時点で345件です。再開の日は決まっていません。

ここで厄介なのが、連絡の順番です。配信会社から使っていた会社へ、そこから受け取る人へと、時間をおいて知らせが届きます。JRの3社は当初、ユミルリンクから影響はないと聞いていましたが、10月26日になって漏えいの連絡を受けました。

関西で影響を発表した会社や団体

関西で、一次の発表で確かめられたのは次の4件です。

神戸商工会議所は10月26日、ブラストメールが止まったため、メールマガジンの配信を止めたと知らせました。会議所を装った不審なメールが送られる可能性があるとして、本文のURLや添付ファイルを開かないよう呼びかけています。

それぞれの件は、スマートEXとエクスプレス予約の記事、京都府のボランティアや学び直し講座の記事、あじわい館の記事にあります。配信会社ごとの経緯は、ユミルリンクの記事とブラストメールの記事にまとめました。

受け取る人がやること

漏れたかどうかは、配信会社ではなく、メールマガジンを出している会社や団体が知らせます。受け取る側にできるのは、知らせを待つあいだに偽メールを開かないことです。

1. 「お詫び」「再登録」「ご利用確認のお願い」などのメールのリンクは開かず、ブックマークや公式アプリから確かめる
2. 送り主のアドレスを見る。ユミルリンクのドメイン（info@cuenote.jp）から、セゾンカードを装う迷惑メールが届いている
3. メールでパスワードやカード番号を求められても入力しない
4. 要らないメールマガジンは、公式のページから止めておく

4つ目は編集部の提案です。登録先が少ないほど、次にどこかの配信会社が破られたときの影響も小さくなります。

メールを送る側の会社は、自社が使う配信サービスの名前を確かめておくと、客から聞かれたときに慌てずにすみます。名簿に添える項目を必要なものだけにするのも、備えになります。

お詫びのメールが何通も来る月やけど、リンクを押す前にひと呼吸おいてな。