插圖：筆電螢幕上的信封裡伸出一隻手，抓向信用卡與鈔票 — 示意插圖：釣魚信，與本事件無直接關係。Mohamed Hassan 繪，CC0，Wikimedia Commons。

資安日本個資外洩

日本代寄電子報的 Cuenote 外洩擴大：確認資料被匯出的系統從 5 套增至 49 套、可能外洩累計逾 5,162 萬筆，Cybozu、SOURCENEXT、NTTPC 公告用戶資料可能在內

趨勢新聞2026 年 10 月 29 日

在日本網站註冊過會員、訂過電子報的人，email 可能放在一家你沒聽過的公司手上。日本的 Ymirlink（ユミルリンク）專門替企業代寄電子報與會員通知，它 10 月 26 日公布第二報：旗下發信服務「Cuenote FC」確認資料被匯出的系統，從 10 月 19 日第一報的 5 套增加到 49 套，可能外洩的資料累計 5,162 萬 8,280 筆。這是日文的「延べ件數」，同一人出現在不同名單會重複計算，不等於 5,162 萬人。用 Cuenote FC 寄信的 Cybozu（サイボウズ，企業雲端應用平台 kintone 的開發商）、軟體商 SOURCENEXT（ソースネクスト）、網路業者 NTTPC，10 月 26 到 27 日陸續公告用戶的電子郵件地址等資料可能在內。本站的讀法：公告沒有列出完整的受影響客戶名單，台灣用戶有沒有在內無法判斷；在日本網站留過 email 的人，收到冒名日本企業、要你確認帳號或付款的信，先別點連結。截至台灣時間 10 月 29 日 05:40，本站查閱 Ymirlink 官網新聞列表，未見第三報。

被偷的是代寄業者手上的名單

企業可以把電子報或通知信的收件人名單放到代寄平台發信，Cuenote FC 就是這類服務，入侵發生在 Ymirlink 的系統。Cybozu 公告寫：「本公司服務（kintone、Garoon、サイボウズ Office、メールワイズ等）代為保管的資料不受影響」（本站譯），可能外洩的是登記來收它各種通知的 email 等。台灣企業如果用 kintone，依這份公告，存在裡面的業務資料不在範圍內。

Ymirlink 列出平台上可能存放的資料：收件人 email，加上企業用來套印的姓名、都道府縣、生日等欄位（各企業不同）；寄送紀錄；訂閱電子報、更新會員頁的紀錄；企業窗口的姓名、email、地址、電話。各企業實際外洩哪些欄位，它說調查完再報告。SOURCENEXT 說，它在這個服務登記的資料不含密碼與信用卡資料。

從 5 套到 49 套，筆數還可能增加

第一報估算 5 套系統、延べ約 900 萬筆。第二報說，分析攻擊者植入的程式與系統紀錄後，新確認 44 套 Cuenote FC 系統的資料流出。被試圖入侵的 Cuenote FC 系統共 81 套：3 套多家企業共用的沒有外洩痕跡，78 套單一企業專用的有 49 套確認被匯出。原文說：「仍有 16 套系統的外洩筆數在調查中，延べ件數今後可能增加」（本站譯）。另外，客戶管理系統 Cuenote BASE 有 190 筆簽約企業資料（公司名、姓名、電話、email）曾處於可被他人瀏覽的狀態。

客戶端的說法也跟著變。Cybozu 寫，10 月 20 日詢問時被告知「不在範圍內」，10 月 26 日 13:15 改被告知部分 email 等「很可能已外洩」。NTTPC 10 月 20 日先發提醒，10 月 27 日續報說已被告知部分用戶資料在外洩範圍內。SOURCENEXT 10 月 27 日公告，並說這和它 10 月 15 日公布的自家網站遭入侵是兩件事。Ymirlink 則說，19 日以後新確認的客戶已在 26 日 12:30 前個別聯絡（時間皆為日本時間），Cybozu 則寫 13:15 接獲通知。本站的讀法：從公告無法判斷兩者是否指同一次聯絡，也無法解釋時間差；Cybozu 先被告知不在範圍內、一週後改口，現在沒接到通知的企業也不能完全放心。

冒名信已經出現，台灣讀者可以怎麼做

Ymirlink 說，截至第二報，沒有確認外洩個資被公開給不特定多數人，也沒有確認因本事件造成的不當使用；但已發現有人用它的網域 cuenote.jp 冒充第三方寄信，寄件人顯示「セゾンカード」或「SAISON」（日本信用卡公司 Saison），主旨是「ご利用確認のお願い」（敬請確認使用情形）與「利用内容確認のご依頼」（敬請確認使用內容；兩個主旨皆本站譯）。公告沒有說這些信用到了外洩名單。Ymirlink 也說，它不會用信件、簡訊或電話詢問密碼、認證碼或信用卡資料。

個人：本站的讀法是，收到日本電商、交通、軟體或會員服務要你「確認帳號、確認付款」的信，不點信裡的連結，自己開 App 或手打官網網址查。在台灣遇到疑似詐騙，可打 165 反詐騙諮詢專線。
改密碼：Ymirlink 請自家服務的帳號使用者改登入密碼，別處沿用同一組的也一併改，可行的話設定兩步驟驗證。一般收件人的密碼沒有被列為外洩項目。
台灣企業：Ymirlink 表示，已個別聯絡目前辨識出可能受影響的客戶。用其他代寄平台的，本站的讀法是可以問供應商兩件事：管理畫面和 API（供程式串接的介面）有沒有限制連線來源 IP（網路位址），原廠支援人員的登入資訊怎麼管。Ymirlink 列出的事後措施包括限制認證畫面與 API 的連線來源 IP、刪除支援與品管人員的認證資訊，這兩個問題是本站依此提出的。

台灣現行個資法第 12 條規定，企業或機關違反個資法，致個資被竊取、洩漏等，應查明後以適當方式通知當事人；2025 年 11 月修正公布的新條文改成知悉所保有個資外洩就要通知當事人，符合一定通報範圍的還要向主管機關等通報，施行日期還沒訂。日本這邊，Ymirlink 已通報警視廳、個人情報保護委員會與 JIPDEC（日本情報經濟社會推進協會），全貌查清後再向 IPA（資訊處理推進機構）申報。

入侵手法與還沒說清楚的地方

以下為日本時間：員工 10 月 16 日 6:49 發現自己帳號異常，10:10 判定是函式庫（程式共用的元件）漏洞造成。攻擊者利用漏洞取得 Ymirlink 支援與品管人員的登入資訊，植入程式從資料庫匯出資料，再拿這組資訊試登其他系統；第二報新增兩點：透過植入的程式讀取其他系統的資料，以及取得登入時的 session 資訊（用來維持登入狀態）冒名登入。不當存取來自海外 IP。第二報沒說是哪個函式庫；Ymirlink 10 月 22 日另外公告，本站報過的 PHP 漏洞不影響 Cuenote，10 月 27 日也公告壓縮元件 Brotli 的漏洞（CVE-2026-111497）不影響 Cuenote；這兩份都沒說入侵用的是哪個漏洞。

數字對應也有一處沒交代：概要列第一報後新增 44 套 Cuenote FC 系統，時間表則寫 10 月 25 日新確認 42 套、26 日通知 42 家，公告沒說明兩者怎麼對應。金額方面，第一報與第二報都說對 2026 年 12 月期業績的影響「精查中」，沒寫損失或賠償金額，所以本文沒有新台幣換算。Ymirlink 預定 11 月 13 日公布第三季財報，屆時是否交代影響，要看當天的資料。

原文 Ymirlink〈當社システムへの不正なアクセスに関するご報告（第二報）〉（頁面日期 2026-10-26），系統數、5,162 萬 8,280 筆、81 套受攻擊系統的分類、16 套仍在計算、資料種類、入侵手法、時間表、冒名信範例與通報機關取自此頁； Ymirlink〈第一報〉（2026-10-19），5 套系統與延べ約 900 萬筆取自此頁； Ymirlink 第二報的交易所公告版 PDF（2026-10-26），兩報的業績影響「精查中」取自此處與第一報；Ymirlink IR 新聞，第三季財報 11 月 13 日公布的預告取自此頁； Ymirlink〈冒名迷惑信件注意喚起〉（2026-10-20）、〈PHP 漏洞對 Cuenote 無影響〉（2026-10-22）與〈Brotli 漏洞對 Cuenote 無影響〉（2026-10-27）；新聞列表，截至 10 月 29 日 05:40 未見第三報取自此頁； Cybozu〈ユミルリンク株式会社への不正アクセスによる情報漏えいの可能性について〉（2026-10-26），可能外洩的資料、kintone 等服務不受影響與 10 月 20、26 日的往來取自此頁； SOURCENEXT〈メール配信サービス「Cuenote FC」への不正アクセスによるお客様情報流出の可能性に関するお詫びとお知らせ〉（2026-10-27），不含密碼與信用卡、與 10 月 15 日事件無關取自此頁； NTTPC〈10 月 20 日公告〉與〈10 月 27 日續報〉；全國法規資料庫的個人資料保護法現行條文與2025 年修正、施行日期未定的第 12 條，台灣的通知規定取自此處。