朝日新聞のメール配信で情報漏洩の可能性｜ユミルリンクのCuenote経由でアドレス帳が外部に出力 読者が確かめること 2026

朝日新聞の情報漏洩として2026年10月26日に株式会社朝日新聞社が公表したのは、同社がメール配信に使っているユミルリンク株式会社のサービス「Cuenote FC」が第三者の不正アクセスを受け、朝日新聞社が利用している環境からデータが外部に出力された形跡が確認された、という事案です。 対象となったのはCuenoteに登録されていたアドレス帳で、件数と、メールアドレスや氏名など実際に外部へ出力された情報の詳細は2026年10月28日時点で「確認中」とされ、クレジットカード情報やログインパスワード等は「含まれておりません」と10月27日午前10時に追記されています。 さらに同じ日の午後5時には、情報漏えいのおそれがあるのは「当社が実施したイベントなどに関連して登録されていたお客様の情報が中心」で、「大半はメールアドレスだけですが、詳細を確認しています」と追記されました。 朝日新聞社からのメールを受け取っている人がまずすることは、朝日新聞社や朝日新聞デジタル版を名乗るメールのリンクを押さず添付ファイルを開かないこと、メールで届く案内の真偽を自分で開いた公式サイトで確かめること、そのメールアドレスをログインに使っているサービスでパスワードを使い回していれば変えることの3つです。

この記事では、2026年10月28日時点で朝日新聞社の発表と、委託先であるユミルリンクの公式報告に書かれていることだけを根拠に、何が起きたのか、何が外部に出力された可能性があって何が含まれないのか、自分が対象かをどう確かめるのか、どこに問い合わせるのかを整理します。報道で伝えられている件数や推測は使っていません。朝日新聞社の発表の題は「情報漏えいの可能性について」で、本文も「データが外部に出力された形跡」「詳細については現在確認中」という書き方です。漏えいがあったと断定していないので、この記事もその表現のまま書きます。公式の発表が更新されたら、そちらが優先です。

何が起きたのか。2026年10月26日の朝日新聞社の発表の要点

今回の事案は、朝日新聞デジタルのサイトや、新聞の購読者を管理するシステムが直接攻撃を受けたものではありません。朝日新聞社が読者や関係者にメールを送るために使っていた外部の配信サービスが不正アクセスを受け、そこに登録してあったアドレス帳のデータが外部に出力された形跡が確認された、という構図です。朝日新聞社のお知らせには、概要が次のように書かれています。

朝日新聞社が利用しているメール配信サービス「Cuenote FC」について、運営会社のユミルリンク株式会社から、第三者による不正アクセスにより、当社が利用している環境からデータが外部に出力された形跡が確認されたとの連絡を26日に受けました。 出典: asahi.com

押さえておきたい点は6つあります。

• データが外部に出力された形跡が確認された場所は、朝日新聞社のシステムではなく、メール配信を委託していたユミルリンクの「Cuenote FC（キューノート エフシー）」というサービス
• 対象となったデータは、Cuenoteに登録されていたアドレス帳
• 不正取得が行われたのは2026年10月16日午後とみられている
• 対象となった件数と、メールアドレスや氏名など実際に外部へ出力された情報の詳細は、2026年10月28日時点で確認中
• クレジットカード情報やログインパスワード等の情報は含まれていないと、10月27日午前10時に追記された
• 情報漏えいのおそれがあるのは、朝日新聞社が実施したイベントなどに関連して登録されていた客の情報が中心で、大半はメールアドレスだけだと、10月27日午後5時に追記された。詳細は確認中

「アドレス帳」という言葉は、スマートフォンの連絡先のようなものを想像させますが、ここではメール配信サービスの中で、配信先のメールアドレスとそれに付属する情報を登録しておく機能のことです。どの項目が登録されていたかは利用する企業ごとに違うため、朝日新聞社の場合に何が含まれていたのかは、ユミルリンクの調査の結果を待つ段階です。10月27日午後5時の追記で「大半はメールアドレスだけ」と示されましたが、残りに何が含まれるかは「詳細を確認しています」という段階です。

お知らせにはもう1つ、読者への具体的な注意が書かれています。不正に取得された可能性のある情報を使って、「朝日新聞社」「朝日新聞デジタル版」あるいは関係者を装った不審なメール等が送信される可能性があるので、そうしたメールを受け取った場合には、記載されたURLへのアクセス、添付ファイルの開封、お客様情報やパスワード等の入力を行わないように、という内容です。今回の事案で読者が最も気を付けるべき点はここにあります。

公表までの経緯。10月16日の不正取得から10月27日の追記まで

朝日新聞社の発表は10月26日の1本ですが、委託先のユミルリンクは10月19日に第一報、10月26日に第二報を公表しています。朝日新聞社の発表とユミルリンクの第二報から、日付順に整理すると次のようになります。

1. 2026年10月16日早朝、ユミルリンクの担当者が一部のシステムで自分のアカウントの異常に気付き、調査を開始した。同じ日の午前中に、使っているプログラムの部品（ライブラリ）の弱点を突いた攻撃だと特定し、不審な接続元を遮断した
2. 2026年10月16日午後、朝日新聞社の環境のデータが不正に取得されたとみられている（朝日新聞社の発表による）
3. 2026年10月17日から18日にかけて、ユミルリンクが複数のシステムで不正なプログラムの設置を確認し、該当のシステムを停止。不正アクセスが特定のデータセンターで生じていたことから、予防措置として同じデータセンターの全システムを停止した
4. 2026年10月19日、ユミルリンクが第一報を公表。合計5システムに対して不正アクセスとデータの出力がなされたことを確認し、メールアドレスを含む情報延べ約900万件が出力されたと試算した。同じ日に警視庁のサイバー事案通報窓口と個人情報保護委員会に届け出た
5. 2026年10月22日、ユミルリンクがすべてのシステムのログインと操作の記録をさかのぼって調べ始めた
6. 2026年10月25日21時45分、ユミルリンクが新たに42のシステムで不正アクセスとデータの出力の記録があることを確認した
7. 2026年10月26日12時30分までに、ユミルリンクが新たに影響が確認された42社へ連絡した
8. 2026年10月26日、朝日新聞社はユミルリンクから「データが外部に出力された形跡が確認された」との連絡を受け、同じ日にお知らせを公表した。同じ日にユミルリンクも第二報を公表した
9. 2026年10月27日午前10時、朝日新聞社がお知らせに「クレジットカード情報やログインパスワード等の情報は含まれておりません」と追記した
10. 2026年10月27日午後5時、朝日新聞社がお知らせに「情報漏えいのおそれがあるのは、当社が実施したイベントなどに関連して登録されていたお客様の情報が中心です。大半はメールアドレスだけですが、詳細を確認しています」と追記した。お知らせの題も「10月27日午後5時追記あり」に変わった

朝日新聞社が10月19日の第一報の時点で対象の5システムに含まれていたのか、それとも10月25日のさかのぼり調査で新たに確認された42システムに含まれていたのかは、朝日新聞社の発表にもユミルリンクの第二報にも、社名を挙げた形では書かれていません。分かっているのは、朝日新聞社がユミルリンクからの連絡を受けたのが10月26日で、不正取得が行われたとみられるのが10月16日午後だということです。連絡までに10日間が空いている理由も、発表には書かれていません。

朝日新聞社のお知らせの一覧には、10月22日付で「一部ウェブサイトやサービスで緊急メンテナンスを実施」という文書も載っています。こちらはプログラム言語PHPの脆弱性への対応として一部のサイトやサービスをメンテナンスしたという内容で、今回のCuenote FCの件とは別の文書です。ユミルリンクも10月22日に、そのPHPの脆弱性はCuenoteのサービスに影響しないと公表しています。2つの文書を結び付けて読む必要はありません。

2026年10月28日時点で、朝日新聞社のお知らせの一覧に載っている本件の文書は10月26日の1本（10月27日の午前10時と午後5時の2回の追記を含む）だけで、第2報は出ていません。ユミルリンクのお知らせの一覧も、10月26日の第二報が最新です。

対象となったデータと、含まれないと明記された項目

今回の発表で最も大事なのは、対象となったデータと、含まれないと明記された情報を分けて読むことです。朝日新聞社の文書をもとに表にすると、次のようになります。

区分	内容	発表での書き方
対象となったデータ	Cuenoteに登録されていたアドレス帳	ユミルリンクからの報告による
対象の範囲	朝日新聞社が実施したイベントなどに関連して登録されていた客の情報が中心	10月27日午後5時の追記で「当社が実施したイベントなどに関連して登録されていたお客様の情報が中心」
件数	確認中	「対象となった件数」は「現在確認中」
項目（メールアドレス、氏名など）	大半はメールアドレスだけ。詳細は確認中	10月26日の本文で「実際に外部へ出力された情報の詳細」は「現在確認中」。10月27日午後5時の追記で「大半はメールアドレスだけですが、詳細を確認しています」
クレジットカード情報	含まれない	10月27日午前10時の追記で「含まれておりません」
ログインパスワード等	含まれない	10月27日午前10時の追記で「含まれておりません」
不正利用	確認されていない	ユミルリンクによると「現時点で、本件に起因する個人情報の不正利用等は確認されていません」

この表で注意が要るのは「確認中」の行です。メールアドレスが含まれているかどうかさえ、10月26日の朝日新聞社の発表の本文では確定の形で書かれていませんでした。10月27日午後5時の追記で「大半はメールアドレスだけ」と書かれ、メールアドレスが中心であることは朝日新聞社の文書で示されましたが、「大半」に含まれない残りの情報に何があるのかは、2026年10月28日時点でも「詳細を確認しています」という段階です。対象となったのがメール配信サービスのアドレス帳である以上、配信先のメールアドレスが登録されていたことは、サービスの仕組みから見ても自然です。ユミルリンクの第二報も、Cuenote FCのアドレス帳には「配信先メールアドレス」と、メールへの差し込みや抽出のための付属情報が登録されると説明しています。

一方で、「含まれない」と書かれた項目は、はっきりしています。クレジットカード情報とログインパスワード等です。朝日新聞デジタルの支払いにカードを登録している人も、今回の対象にカード情報は含まれていないと朝日新聞社が書いています。ログインに使うパスワード等も同じです。慌ててカードを止めたり、ログインのパスワードを急いで変えたりする必要は、発表の範囲では生じていません。

とはいえ、パスワードそのものが漏れていなくても、メールアドレスが知られることで「パスワードを再設定してください」という偽のメールが届き、そこで入力したパスワードを盗まれる形の被害はあり得ます。カードもパスワードも、漏れたから変えるのではなく、これから届く偽のメールに入力しないことが守り方の中心になります。

「アドレス帳」とは何か。Cuenote FCに登録される情報の種類

朝日新聞社の発表にある「Cuenoteに登録されていたアドレス帳」が何を指すのかは、ユミルリンクの第二報に説明があります。Cuenote FCは、企業が多数の宛先へ一斉にメールを送るためのサービスで、次の4種類の情報が登録、記録されるとされています。

• アドレス帳。配信先メールアドレスと、メールへの差し込みや抽出のための氏名や都道府県、生年月日などの付属情報。付属情報はサービスを利用する企業ごとに違う
• 配信記録。一斉送信の単位で記録される通信先サーバとの通信記録と、メールアドレス
• Webアクセス記録。メールマガジンなどの申し込みページからの登録記録や、マイページ機能を使った利用者の更新記録
• サービス利用者情報。サービスを利用する企業の担当者の氏名、メールアドレス、住所、電話番号

朝日新聞社の発表で「対象となったデータ」として挙げられているのは、このうちアドレス帳です。アドレス帳の付属情報は企業ごとに違うため、ユミルリンクは「調査が完了し次第ご報告いたします」としています。朝日新聞社が付属情報として氏名を登録していたのか、他の項目も登録していたのかは、朝日新聞社の発表では「メールアドレスや氏名など、実際に外部へ出力された情報の詳細については現在確認中」という書き方で、確定していません。

読者の立場で言い換えると、「自分のメールアドレスが登録されていた可能性が高く、名前なども一緒に登録されていたかどうかはまだ分からない」という段階です。10月27日午後5時の追記で「大半はメールアドレスだけ」とされたので、氏名などが付いている情報は多くないと読めますが、ゼロだと書かれているわけではありません。メールの冒頭に自分の名前が差し込まれて届くメールマガジンを朝日新聞社から受け取っていた人は、氏名が付属情報として登録されていた可能性を、続報が出るまで念頭に入れておくのが安全です。これは可能性の話で、発表で確定した事実ではありません。

Cuenote FCは、ユミルリンクのサービスの中でメールの一斉送信を担うものです。同社の第二報によると、個別送信のCuenote SR-S、ショートメッセージ配信のCuenote SMS、認証サービスのCuenote Auth、フォームとアンケートのCuenote Survey、ブラウザ通知のCuenote Push、安否確認サービスについては「情報漏洩など影響はありません」とされています。

対象になりうる人。発表から読み取れる範囲と、分からないこと

朝日新聞社の10月26日の発表の本文には、どのメールの配信先が対象なのかは書かれていませんでした。「朝日新聞社が利用しているメール配信サービス」としか書かれておらず、朝日新聞デジタルの会員向けのメールなのか、イベントの案内なのか、関係者向けの連絡なのかは特定されていませんでした。10月27日午後5時の追記で、情報漏えいのおそれがあるのは「当社が実施したイベントなどに関連して登録されていたお客様の情報が中心」と範囲が示されました。対象を広げて推測しないために、発表に書かれていることと、書かれていないことを分けておきます。

発表に書かれていること。

• 対象はCuenoteに登録されていたアドレス帳
• 情報漏えいのおそれがあるのは、朝日新聞社が実施したイベントなどに関連して登録されていた客の情報が中心（10月27日午後5時の追記）
• 大半はメールアドレスだけで、詳細は確認中（10月27日午後5時の追記）
• 「お客様、関係者の皆様」に向けてお詫びが書かれている
• 装われる可能性がある名前として「朝日新聞社」「朝日新聞デジタル版」「関係者」が挙げられている

発表に書かれていないこと。

• どのイベントか、イベント以外の「など」に何が含まれるか
• どのメールマガジンや案内の配信先が登録されていたか
• 朝日新聞デジタルの会員全員が対象なのか、一部なのか
• 宅配の新聞の購読者が対象に含まれるのか
• 件数

朝日新聞社は、公式サイトで複数のメールマガジンを案内しています。Re:Ron、週刊アップデート、サイエンスPlus、解説人語など、朝日IDに登録した人が受信と解除を選べるメールが並んでおり、朝日新聞デジタルのメール受信と解除のページで自分がどのメールを受け取る設定にしているかを確かめられます。ただし、これらのメールがCuenote FCで配信されていたかどうかは、朝日新聞社の発表には書かれていません。「メールマガジンを受け取っているから対象」とも「受け取っていないから対象外」とも、2026年10月28日時点では言えません。10月27日午後5時の追記により、朝日新聞社が実施したイベントなどに申し込んだときにメールアドレスを登録した人が中心になると読めますが、追記の書き方は「中心」であって「だけ」ではありません。朝日新聞社が実施したイベントに過去に申し込み、そのときにメールアドレスを登録した記憶があるかどうかが、自分が対象に含まれるかを考える手がかりの1つになります。

対象かどうかが分からない段階では、朝日新聞社から何らかのメールを受け取ったことがある人、朝日新聞社のイベントに申し込んだことがある人は全員、朝日新聞社を名乗るメールに警戒する、というのが現実的な線です。発表の注意書きも、対象者を限定せずに書かれています。

原因。委託先ユミルリンクの「Cuenote FC」で起きたこと

原因について、朝日新聞社の発表は「第三者による不正アクセス」としか書いていません。詳しい手口は委託先であるユミルリンクの第二報に書かれています。専門用語が多いので、1つずつ言い換えながら整理します。

ユミルリンクは2026年10月16日に、一部のシステムで不正アクセスが生じていることを確認しました。アクセス記録を調べたところ、次の4つが確認されたとしています。

1. プログラムの脆弱性（プログラムの作りの弱点のこと）を突かれた
2. ユミルリンクのサポートと品質管理の担当者がサービスにログインするための認証情報（IDやパスワードに当たるもの）を取得された
3. 不正なプログラムを設置され、データベースからデータを出力された
4. 取得した担当者の認証情報を使って、他のシステムへのログインを試みられた

その後の解析で、新たに45のシステム（Cuenote FCが44システム、顧客管理システムのCuenote BASEが1システム）で、不正なプログラムを介して他のシステムのデータを参照されたこと、ログイン中の状態を示す情報（セッション情報）を取得して不正にログインされたことも確認されています。

分かりやすく言えば、攻撃者はまずプログラムの弱点から1つのシステムに入り、そこでユミルリンクの社内担当者が使う鍵を手に入れ、その鍵で別の企業用のシステムに次々と入ってデータを出力した、という流れです。朝日新聞社の環境もその「別の企業用のシステム」の1つだった、というのが今回の構図です。朝日新聞社の発表にある「不正取得が行われたのは10月16日午後」という時刻について、ユミルリンクの経緯表では、同じ10月16日の20時46分に弱点への対策プログラムの適用を完了したと記録されています。

ユミルリンクの第二報では、Cuenote FCについて、不正アクセスが試行されたシステムのうち複数の企業で共同利用するシステムが3つ、単一の企業で利用するシステムが78あり、情報漏洩の痕跡を確認したのは単一の企業で利用する49システムとされています。朝日新聞社の環境がどの区分に当たるかは、社名を挙げた形では書かれていません。

分かっていないこととして、第二報は「現時点で漏洩件数の調査中であるシステムが16システム存在」しているとし、アドレス帳の付属情報についても調査が完了しだい報告するとしています。朝日新聞社の件数と項目が「確認中」なのは、この調査の途中であることを反映しています。

朝日新聞社とユミルリンクの対応。発表に書かれていること、書かれていないこと

朝日新聞社の対応として発表に書かれているのは、次の3つです。

• 関係する管理用アカウントのパスワード変更など、必要な対応を進めている
• ユミルリンクと連携して、影響範囲の確認を急いでいる
• 詳細が判明したら、改めて知らせる

「管理用アカウント」は、朝日新聞社の担当者がCuenote FCを操作するためのアカウントのことで、読者のアカウントではありません。読者側で何かを変更するよう求める記載は、2026年10月28日時点の発表にはありません。

発表に書かれていないこともあります。対象者への個別の通知を行うかどうか、メール配信を停止しているかどうか、補償やお詫びの品の有無は、いずれも書かれていません。書かれていないことを、この記事で推測して補うことはしません。朝日新聞社がどうするかは続報で分かることです。

委託先のユミルリンクの対応として第二報に書かれているのは、脆弱性のあるプログラムの修正、サポートと品質管理の担当者の認証情報の削除、不正なプログラムの検知体制の整備、操作画面とAPI（外部のプログラムから操作を受け付ける窓口のこと）への接続元の制限、捜査機関への届出です。公的機関への報告は、警視庁への通報、個人情報保護委員会への報告、一般社団法人日本情報経済社会推進協会（JIPDEC）への報告を済ませ、独立行政法人情報処理推進機構（IPA）には全容の解明と原因の特定が完了しだい届け出るとされています。

個人情報の漏えいの対象となる可能性のある顧客企業に対しては、10月19日の公表後に担当者から個別に連絡し、19日以降に新たに確認した企業には10月26日12時30分までに連絡したとされています。朝日新聞社が26日に連絡を受けたという発表と、時系列が合っています。

自分が対象かを確かめる方法

2026年10月28日時点で、朝日新聞社の発表には、自分が対象かどうかを個人が確かめる仕組みは書かれていません。10月27日午後5時の追記で、対象はイベントなどに関連して登録された客の情報が中心と示されましたが、どのイベントかは書かれていません。マイページで対象かどうかが表示される、対象者にメールで通知する、といった記載は無く、「詳細が判明しましたら、改めてお知らせします」とだけ書かれています。したがって、今できることは次の3つです。

1. 朝日新聞社のお知らせの一覧を見て、続報が出ていないかを確かめる
2. 個別に聞きたいことがあれば、朝日新聞社の問い合わせフォームから「個人情報の取り扱いについて」を選んで送る
3. 自分のメールアドレスがどこで使われているかを、朝日IDのメール受信設定で確かめておく

自分で確かめる方法として、メールアドレスを入力すると過去に公開された漏えいデータに含まれているかを調べられる無料のサイトもあります。使い方と結果の読み方の注意点はHave I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法に書いてあります。ただし、今回のデータがそうしたサイトに載るかどうかは分かりません。ユミルリンクも「漏洩した個人情報が不特定多数に公開された事実」は確認されていないと書いているので、「載っていないから対象外」とは言えない点は押さえておいてください。

もう1つ、対象かどうかを「届いたメール」で判断しないことが大事です。「あなたの情報が漏えいしました。こちらで確認してください」というメールが届いても、それが本物の通知である保証はありません。今回の事案では、まさにそうした文面の偽メールが届く可能性が公式に指摘されています。対象かどうかの判断材料は、自分でブラウザに入力して開いた朝日新聞社の公式サイトに限ってください。

受信者が今すること。メールアドレスが外部に出た可能性がある場合に要る対策

対象となったのがアドレス帳で、クレジットカード情報とログインパスワード等は含まれないとされ、10月27日午後5時の追記で「大半はメールアドレスだけ」と示されたことから、今回の事案で要る対策は「メールアドレスが知られた場合」に絞られます。住所や電話番号が対象に含まれるかどうかは「詳細を確認しています」という段階なので、それらの対策は続報を待ってからで間に合います。

届いたメールのリンクから何も入力しない

最も優先するのは、朝日新聞社や朝日新聞デジタル版を名乗るメールのリンクを押さず、添付ファイルを開かず、そこで情報を入力しないことです。配信の再開、購読の確認、支払い方法の更新、アンケートへの協力など、どんな名目でも同じです。本当に手続きが必要なら、メールのリンクを使わずに、自分でブラウザに朝日新聞デジタルのURLを入力して開き、ログインしてから確かめてください。

そのメールアドレスをログインに使うサービスのパスワードを見直す

朝日新聞社に登録していたメールアドレスを、他のサービスのログインIDとしても使っている人は多いはずです。メールアドレスが知られると、攻撃者はそのアドレスと、過去に別の漏えいで出回ったパスワードの組み合わせで、いろいろなサービスにログインを試みます。これを防ぐ方法は1つで、サービスごとに違うパスワードを使うことです。同じパスワードを複数のサービスで使い回しているなら、今回を機に、重要なもの（メール、銀行、決済、仕事で使うもの）から順に変えてください。ユミルリンクも第二報で、他社サービスで同じパスワードを使い回している場合はそちらも変えるよう求めています。

二段階認証を使えるサービスでは有効にする

二段階認証とは、パスワードに加えて、スマートフォンに届く確認コードや認証アプリの番号を入力しないとログインできない仕組みのことです。パスワードが知られても、2つ目の確認が無いとログインできないので、使い回しの被害を止められます。仕組みと設定の考え方はMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で説明しています。メールサービスと決済サービスから先に設定するのが効率的です。

身に覚えのない確認コードや通知に気を付ける

パスワードの再設定の案内や、ログインの確認コードが、自分で操作していないのに届いたら、誰かがそのアドレスでログインを試みた合図です。コードを誰にも伝えず、そのサービスのパスワードを変えてください。

カードの明細は念のため見ておく

カード情報は含まれないとされているので、カードを止める必要はありません。ただ、メールアドレスを足がかりにした偽のメールで決済情報を入力してしまう被害は起こり得るので、月に1回は明細を見る習慣を、この機会に付けておくと安心です。

朝日新聞社を装ったメールを見分ける手がかり

朝日新聞社の発表は、「朝日新聞社」「朝日新聞デジタル版」あるいは関係者を装った不審なメール等が送信される可能性を具体的に挙げています。ユミルリンクの第二報も、同社のドメインを使って第三者を装った迷惑メールが複数確認されていると書き、件名「ご利用確認のお願い」「利用内容確認のご依頼」、送信元を信販会社に見せかけた例を挙げています。朝日新聞社の名前でも、同じ手口が使われる可能性があります。

見分ける手がかりは次のとおりです。

• 送信元の表示名が「朝日新聞社」でも、メールアドレスのドメイン（@より後ろ）が見慣れないものなら疑う。表示名は誰でも自由に書ける
• 本文のリンクの行き先が、表示されている文字と違う。パソコンではリンクにマウスを重ねると行き先が表示される
• 「24時間以内に」「本日中に」と期限を切って急がせる
• パスワード、クレジットカード番号、確認コードの入力を求める。ユミルリンクは、メールやSMS、電話でパスワードや認証コード、クレジットカード情報を直接尋ねることは一切無いと明記している
• 日本語の言い回しが不自然、または宛名が無い

どれか1つでも当てはまれば、リンクは押さずに削除します。本物かどうか迷ったら、メールの中身で判断するのではなく、自分で開いた公式サイトのお知らせで同じ内容が告知されているかを確かめてください。会社や個人事業で複数人が同じ受信箱を使っている場合は、見分け方を共有しておくことが被害を防ぎます。従業員向けの訓練の考え方は社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで扱っています。

万が一、偽のメールのリンクを開いて情報を入力してしまった場合は、入力したサービスのパスワードをすぐに変え、カード番号を入力したならカード会社に連絡し、被害の可能性があれば警察に相談してください。ユミルリンクも、やり取りを始めてしまった場合や被害を受けた可能性がある場合は、速やかに地域の警察署等へ相談するよう案内しています。

問い合わせ窓口。公式に載っている連絡の方法

朝日新聞社の発表に載っている本件の問い合わせ先は、朝日新聞社の問い合わせフォームです。フォームの「1.お問い合わせの種類」で「個人情報の取り扱いについて」を選んで送信するよう案内されています。電話番号と受付時間は、2026年10月28日時点の発表には載っていないので、この記事にも書きません。報道関係からの問い合わせ先として朝日新聞社広報部のメールアドレスが載っていますが、読者向けの窓口ではありません。

委託先のユミルリンクも、第二報で「不正アクセス専用お問い合わせ窓口」を設けています。電話は03-6820-0088で受付時間は平日9時から20時、メールは[email protected]で24時間受け付け、返信は平日9時から19時の間に順次とされています。ただし、この窓口はユミルリンクと契約している企業向けのものです。朝日新聞社のメールを受け取っている読者が自分の情報について尋ねる先は、朝日新聞社の問い合わせフォームです。朝日新聞社のアドレス帳に何が登録されていたかを、ユミルリンクが個々の読者に答える立場にはありません。

問い合わせるときは、自分が朝日新聞社のどのメールを受け取っているか（メールマガジンの名前、朝日IDの有無）を書き添えると、確認の手がかりになります。回答の内容は、朝日新聞社の公式の発表と同じ範囲になるはずなので、発表に書かれていないことを問い合わせで先に知ることは期待しないほうが正確です。

同じ委託先で影響が広がっている。ユミルリンクの第二報から分かること

今回の事案は、朝日新聞社だけの問題ではありません。ユミルリンクの第二報によると、Cuenote FCで情報漏洩の痕跡を確認したシステムは49、漏洩の恐れがある件数は延べ51,628,280件です。「延べ件数」は49のシステムそれぞれの件数を合計した数で、人数を数えたものではありません。同じ人が複数の会社のメールマガジンを受け取っていれば、その人は複数回数えられます。漏洩件数を調査中のシステムが16あり、延べ件数は今後の調査で増える可能性があるとされています。

第一報の時点では、影響のあるシステムは5つで、メールアドレスを含む情報延べ約900万件が出力されたと試算されていました。第二報でシステムの数が49に増えたのは、10月22日からの全システムのさかのぼり調査の結果です。第一報はユミルリンクの第一報のページ、第二報はユミルリンクの第二報のページで読めます。

ユミルリンクの顧客管理システム「Cuenote BASE」でも、プログラムの脆弱性により契約者情報が閲覧可能な状態だったとして、190件の企業名、氏名、電話、メールアドレスが挙げられています。こちらはユミルリンクと契約している企業の担当者の情報で、読者のメールアドレスの話とは別です。

読者にとっての意味は、朝日新聞社以外の会社からも同じ時期に「配信委託先からの漏えいの可能性」の連絡が届くことがある、ということです。複数の会社のメールマガジンを受け取っている人は、それぞれの会社の公式の発表を別々に確かめる必要があります。似た文面の通知がいくつも届く時期は、偽の通知が紛れ込みやすい時期でもあります。「ユミルリンクの件でご連絡です」という書き出しのメールが届いても、それ自体を本物の証拠にはしないでください。

在宅で働く人が確かめておきたいこと。仕事用アドレスと、自分が配信元になる場合

在宅で仕事をしている人やフリーランスにとって、今回の事案は2つの面で関わります。

1つ目は、仕事用のメールアドレスで朝日新聞社のメールマガジンやイベントの案内を受け取っていた場合です。そのアドレスが登録されていた可能性があります。仕事用の受信箱は、請求書や契約書の添付ファイルを開く機会が多い場所なので、朝日新聞社を名乗るメールだけでなく、取引先や請求を装ったメールにも注意が要ります。情報収集用のアドレスと、取引先に伝えるアドレスを分けておくと、次に同じことが起きたときの影響を切り分けられます。

2つ目は、自分がメール配信サービスを仕事で使っている場合です。顧客向けのお知らせや、講座の受講者への連絡に配信サービスを使っているなら、自分は配信先リストを預けている「委託元」の立場で、今回の朝日新聞社と同じ側に立ちます。個人情報保護委員会の「漏えい等の対応（個人情報）」のページでは、報告が義務になる場合として、「不正の目的をもって行われたおそれがある」行為による個人データの漏えい等（そのおそれを含む）が挙げられ、「不正の目的をもって」の主体には盗難などの第三者も含まれると書かれています。例として「不正アクセスにより個人データが漏えいした場合」と「不正検知を行う専門家等の第三者から漏えいのおそれについて連絡を受けた場合」が載っています。

同じ委員会のFAQ（Q6-11）には、住所、電話番号、メールアドレス、SNSアカウントといった個人データのみの漏えいは、直ちに「不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等」に該当するものではないと考えられる、とあります。ただしこれは報告の要件のうちの1つについての説明で、不正アクセスによる漏えいのおそれは別の要件で報告の対象になります。メールアドレスだけだから報告は要らない、と自分で線を引かず、委員会のページで報告の要否と手順を確かめてください。

取引先に知らせるかどうかも同じで、取引先の個人データを預けた先から漏えいのおそれの連絡が来た時点で、事実を伝えるのが預かる側としての基本です。伝える文面は、何が起きたか、何が外部に出た可能性があって何が含まれないか、相手に何をしてほしいかの3点を短く書くと伝わります。今回の朝日新聞社のお知らせは、まさにこの3点で構成されており、件数や項目が確認中であることも隠さず書いています。確定していないことを確定していないと書く姿勢は、取引先への連絡でも同じです。文書の組み立て方はビジネス文書検定の案内も参考になります。

@SOHOは2004年から在宅ワークとフリーランスの仲介を続けてきましたが、仕事のアカウントを守る基本は、サービスごとに別のパスワード、仕事用と個人用のアドレスの分離、二段階認証の3つです。情報セキュリティを仕事の分野として扱いたい人は、AI・マーケティング・セキュリティのお仕事で、在宅でできるセキュリティ関連の仕事の種類と求められる知識を確かめてください。今回のように、委託先の発表と委託元の発表を並べて、何が確定で何が可能性の段階かを読み分ける作業は、そのまま仕事の基礎になります。

続報をどこで追うか。確かめる場所と、読むときの注意

2026年10月28日時点で、この事案の続報が出る場所は次のとおりです。

1. 朝日新聞社のお知らせの一覧（10月26日の文書と、10月27日の午前10時と午後5時の追記が掲載されている）
2. ユミルリンクのお知らせの一覧（第一報と第二報が掲載されている）
3. 朝日新聞社の問い合わせフォーム（個別に聞きたいことがあるとき）

続報を読むときは、朝日新聞社の発表とユミルリンクの発表を分けて読んでください。ユミルリンクの件数は全体の延べ件数で、朝日新聞社の読者の件数ではありません。朝日新聞社の読者の件数と、メールアドレス以外にどの項目が含まれていたかは、ユミルリンクが「調査が完了し次第ご報告いたします」としているアドレス帳の調査の結果を待って、朝日新聞社から出る続報で分かります。

もう1つ、表現の変化にも注意してください。朝日新聞社の文書は2026年10月28日時点で「情報漏えいの可能性」「情報漏えいのおそれ」「データが外部に出力された形跡」という言い方で、ユミルリンクからの報告を引用する形です。続報で件数と項目が確定し「漏えいした」と確定の表現に変わるのか、あるいは対象が限定されるのかは、まだ分かりません。報道やSNSで断定の表現や具体的な件数を見かけても、朝日新聞社の公式の文書の表現を基準にするのが確実です。

朝日新聞社の発表は10月26日に出て、翌27日の午前10時にはカード情報とパスワードが含まれないことが追記され、同じ日の午後5時には対象がイベントなどに関連して登録された客の情報が中心で、大半はメールアドレスだけであることが追記されました。1日に2回更新された事案なので、一度読んで終わりにせず、数日おきにお知らせの一覧を見るのが現実的です。これから届くメールへの警戒は、件数と項目が確定するまで続けておくのが確実です。「詳細が判明したのでお知らせします」という件名のメールが届いても、リンクは押さず、公式サイトのお知らせで同じ文書が出ているかを確かめてから読んでください。

よくある質問

Q. 朝日新聞の情報漏洩で、クレジットカード情報やパスワードは漏れましたか？

朝日新聞社は2026年10月27日午前10時の追記で、クレジットカード情報やログインパスワード等の情報は含まれていないと明記しています。対象となったのはメール配信サービスCuenote FCに登録されていたアドレス帳で、件数とメールアドレスや氏名などの詳細は確認中とされています。カードを止めたり急いでパスワードを変えたりする必要は、発表の範囲では生じていません。

Q. 自分が対象かどうかは、どうすれば分かりますか？

2026年10月27日時点の朝日新聞社の発表には、個人が対象かどうかを確かめる仕組みは書かれておらず、詳細が判明したら改めて知らせるとされています。朝日新聞社のお知らせの一覧で続報を確かめるか、問い合わせフォームで「個人情報の取り扱いについて」を選んで尋ねるのが公式の方法です。届いたメールの内容で対象かどうかを判断しないでください。

Q. 朝日新聞社からのメールが届いたら、どう扱えばいいですか？

朝日新聞社は、朝日新聞社や朝日新聞デジタル版、関係者を装った不審なメールが届く可能性があるとして、記載されたURLへのアクセス、添付ファイルの開封、お客様情報やパスワード等の入力を行わないよう求めています。手続きが必要なら、メールのリンクを使わず、自分でブラウザに公式サイトのURLを入力して開き、そこで確かめてください。

Q. 件数は何件ですか？

朝日新聞社の2026年10月27日時点の発表では、対象となった件数は「現在確認中」とされており、公表されていません。委託先のユミルリンクが公表している延べ51,628,280件は、影響を受けた49システム全体の延べ件数で、朝日新聞社の読者の件数ではありません。朝日新聞社の件数は、ユミルリンクの調査の結果を受けて朝日新聞社から出る続報で分かります。