モアコンタクトで約155万件の情報流出｜購入履歴は対象？カード情報・パスワードへの影響

HORIMEMOアイコン03 話題のニュース・SNS
https://x.com/securityLab_jp/status/2115371979922715061?a=CcTQtPusIFW_Edl1hFk&s=20

2026年10月28日、カラコン通販サイト「モアコンタクト（モアコン）」を運営する株式会社Rise UPは、外部のメール配信サービスへの不正アクセスによって、利用者の情報154万8,002件（約155万件）が流出したと発表しました。

流出した情報には、メールアドレスのほか、合計購入回数や最新注文の発送日時などが含まれています。一方、氏名・住所・電話番号・クレジットカード情報・ログインパスワードは、今回の流出対象に含まれていないと説明しています。

今回の154万8,002件は同じ利用者の情報が複数含まれる延べ件数であり、約155万人の個人情報が流出したという意味ではありません。

気になるのは、過去にモアコンタクトで購入した人も対象なのか、購入したカラコンの種類や度数まで漏れているのか、クレジットカードの再発行やパスワード変更が必要なのかという点です。

また、今回の不正アクセスは、ライフカードやガンダムベース会員の情報漏えいとも関係する、ユミルリンク株式会社のメール配信サービス「Cuenote FC」で発生しています。

この記事では、2026年10月29日時点の公式発表をもとに、モアコンタクトの情報流出の対象者と漏えいした情報、購入履歴への影響、通知メール、不審なメールへの注意点、原因と今後の対応を整理します。

モアコンタクトで約155万件の情報流出｜対象者と漏えいした情報

モアコンタクトの情報流出は、同サイトが顧客へのメール配信に利用していた外部サービス「Cuenote FC」で発生しました。

Cuenote FCを提供するユミルリンク株式会社は、10月16日に一部システムへの不正アクセスを確認。その後の調査で、モアコンタクトのメール配信環境からもデータが外部へ流出していたことが判明しました。

モアコンタクトを運営するRise UPは10月26日にユミルリンクから報告を受け、10月28日に公式サイトで公表しています。

まず、現時点で確認できる情報をまとめます。

項目確認された内容
発表日2026年10月28日
対象サービスモアコンタクト（モアコン）
運営会社株式会社Rise UP
不正アクセス先ユミルリンク「Cuenote FC」
不正アクセス確認日10月16日
情報流出の報告日10月26日
流出件数154万8,002件（延べ件数）
対象者過去にモアコンタクトからメールを送信した利用者の一部
流出情報メールアドレス、内部ID、合計購入回数、最新注文の発送日時、メール送信履歴、アンケート回答ページのURL
氏名・住所・電話番号流出対象外
クレジットカード情報流出対象外
ログインパスワード流出対象外
対象者への通知個別メールで案内予定
不正利用などの二次被害公式発表時点で確認されていない

今回の情報流出は、モアコンタクトの通販サイト自体への不正アクセスが新たに確認されたという発表ではありません。

外部のメール配信サービスに登録されていた情報が対象であり、モアコンタクトが管理するすべての顧客情報や注文データが流出したという意味でもありません。

ただし、メール配信用のデータには購入に関する一部の情報も含まれていたため、メールアドレスだけの流出とは異なる点に注意が必要です。

約155万件は何人分？同じ利用者の重複を含む延べ件数

今回公表された情報流出の件数は、正確には154万8,002件です。

ただし、Rise UPはこの数字について、同じ利用者が複数件含まれる延べ件数であると明記しています。

そのため、154万8,002人の情報が流出したと考えるのは正確ではありません。

例えば、1人の利用者についてメール配信用のデータが複数登録されている場合、その利用者の情報が複数件として集計されることがあります。

今回の公式発表でも、同一利用者の重複が含まれることは説明されていますが、重複を除いた実際の対象人数は示されていません。

したがって、約155万件という数字は情報流出の規模を示すものですが、何人の利用者が対象となったのかについては、今後の調査結果を確認する必要があります。

なお、約155万件という数字が、すべて異なるメールアドレスの数を表しているわけでもありません。

情報流出の対象者は誰？過去に購入した人や退会者も含まれる？

今回の情報流出について、Rise UPは対象者を「これまでにモアコンタクトからメールをお送りしたことのあるお客さまの一部」と説明しています。

つまり、モアコンタクトで商品を購入した経験がある人だけでなく、過去に同サイトからメールを受信した人も、自分が対象なのか気になるところです。

ただし、メールを受信したことがある人全員について、情報流出が確認されたわけではありません。

対象となったのは、Cuenote FCに登録されていたメール配信先のリストの一部です。

また、現時点では、次のような点について具体的な説明がありません。

  • 何年何月からの利用者が対象なのか
  • 過去に一度だけ購入した人も対象なのか
  • メールマガジンの配信停止後も対象となるのか
  • 退会済みの利用者の情報が含まれているのか
  • 重複を除いた実際の対象人数は何人なのか

そのため、以前モアコンタクトを利用していた人についても、退会済みだから対象外、メールマガジンを停止したから安全、と断定することはできません。

一方、モアコンタクトを利用した経験があるという理由だけで、必ず情報が流出したともいえません。

Rise UPは、対象となった利用者へ個別にメールで案内するとしています。過去に利用したことがある人は、登録していたメールアドレスへの連絡や公式サイトのお知らせを確認してください。

漏えいした情報は何？メールアドレスや購入回数・発送日時も対象

今回流出したのは、モアコンタクトのメール配信に使用していた「Cuenote FC」のアドレス帳に登録されていた情報です。

Rise UPが公表した流出情報は、次のとおりです。

  • メールアドレス
  • uid（メール配信ツール内の内部識別子）
  • 合計購入回数
  • 最新の注文の発送日時
  • メールの送信日時
  • 最終メール送信日時
  • アンケート回答ページのURL

一般的な情報漏えいでは氏名や住所などが注目されますが、今回はメール配信サービスに保存されていた購入関連の情報も含まれていることが特徴です。

例えば、合計購入回数からは、その利用者がモアコンタクトで何回購入したかという情報が分かる可能性があります。また、最新注文の発送日時からは、最後に商品が発送された時期を推測できる場合があります。

ただし、これらの情報だけで、購入した商品の名称や金額など、注文内容の詳細が分かるとは限りません。

公式発表では、流出した情報の項目が具体的に列挙されていますが、すべての利用者について同じ情報が登録されていたのかは明らかになっていません。

また、今回の「uid」は、メール配信ツール内で付与される識別子です。Rise UPは個人を特定できない内部IDと説明しており、ログインパスワードなどとは異なる情報です。

購入履歴はどこまで漏れた？カラコンの種類・度数・注文金額は対象？

モアコンタクトはカラーコンタクトレンズを扱う通販サイトのため、購入した商品の種類や度数など、詳しい注文情報まで漏れていないか心配している人もいるかもしれません。

今回の公式発表では、購入に関連する情報として「合計購入回数」と「最新のご注文の発送日時」が挙げられています。

一方、購入商品の名称、カラーコンタクトレンズの度数、ブランド名、注文金額、支払い方法などが流出したという説明はありません。

そのため、今回の情報流出を「カラコンの購入履歴がすべて漏れた」と表現するのは正確ではありません。

ただし、購入に関連する情報が一切漏れていないわけでもありません。合計購入回数や最新注文の発送日時は、利用者の購買状況に関係する情報です。

また、これらの情報とメールアドレスを組み合わせることで、利用者に対して実際の購入状況を知っているかのような不審メールが送られる可能性も考えられます。

現時点では、今回流出した情報を悪用した不正利用は確認されていませんが、過去の注文に関係する内容が記載されたメールであっても、安易に信用しないことが大切です。

なお、今回の公表では、購入した商品の種類や度数そのものが流出したとは確認されていません。今後、情報項目の詳細について追加発表があれば、その内容を確認する必要があります。

アンケート回答ページのURLも流出｜回答内容まで漏れたのか？

今回流出した情報には、アンケート回答ページのURLも含まれています。

ただし、公式発表で確認されているのは、あくまでアンケート回答ページのURLです。アンケートで実際に入力した回答内容そのものが流出したという説明ではありません。

そのため、アンケートへの回答内容や自由記述欄に入力した情報まで第三者に取得されたと断定することはできません。

一方、URLの形式やアクセス方法によっては、そのリンクからどのような情報にアクセスできるのかが重要になる場合もあります。

しかし、今回流出したアンケート回答ページのURLがどのような仕組みで発行されていたのか、リンクを取得した第三者が何を閲覧できるのかについては、公式発表で詳しく説明されていません。

現時点では、アンケート回答ページのURLが流出対象に含まれるという事実と、回答内容の流出が確認されたわけではないことを区別しておく必要があります。

氏名・住所・電話番号は漏れていない？流出対象外の情報

今回の情報流出について、Rise UPは流出していない情報も明確に説明しています。

公式発表によると、次の情報はCuenote FCに預けていなかったため、今回の流出対象には含まれていません。

  • 氏名
  • 住所
  • 電話番号
  • クレジットカード情報
  • モアコンタクトのログインパスワード

つまり、今回不正アクセスを受けたメール配信環境から、これらの情報が流出したという事実はありません。

ただし、これは今回のCuenote FCへの不正アクセスに関する説明です。モアコンタクトのすべての情報管理システムについて、将来にわたって問題が発生しないことを保証するものではありません。

また、氏名や住所が漏れていなくても、メールアドレスと購入関連の情報が流出しているため、不審なメールへの注意は引き続き必要です。

クレジットカードの再発行やパスワード変更は必要？

モアコンタクトは、今回の不正アクセスによってクレジットカード情報やログインパスワードは流出していないと説明しています。

そのため、今回の情報流出だけを理由に、直ちにクレジットカードを再発行したり、ログインパスワードを変更したりする必要があると判断する状況ではありません。

ただし、パスワードの使い回しをしている場合は、今回の事件とは別に、サービスごとに異なるパスワードを設定しておくことをおすすめします。

また、クレジットカード情報が今回の流出対象に含まれていないことと、今後フィッシング詐欺に遭う可能性がないことは別の問題です。

例えば、モアコンタクトからの注文確認や配送案内を装ったメールに偽サイトのURLが記載され、そこでカード番号やパスワードを入力させようとする可能性があります。

そのような不審なメールが届いた場合は、本文のリンクからログインしたり、カード情報を入力したりしないよう注意してください。

すでに不審なサイトでパスワードを入力してしまった場合は、公式サイトからパスワードを変更し、同じパスワードを使っているほかのサービスも確認してください。

カード情報を入力した場合や、身に覚えのない請求が見つかった場合は、速やかにカード会社へ相談することが重要です。

対象者への通知メールはいつ届く？連絡がない場合はどうする？

Rise UPは、今回情報流出の対象となった利用者に対して、個別にメールで案内すると発表しています。

ただし、10月28日の公式発表では、すべての対象者へのメール送信がいつ完了するのか、具体的な日程は示されていません。

そのため、10月29日時点で通知メールが届いていない場合でも、それだけで情報流出の対象外と判断することはできません。

過去にモアコンタクトからメールを受信したことがある人は、登録していたメールアドレスの受信箱や迷惑メールフォルダーを確認してください。

ただし、今回のような情報流出の発表後は、企業からの通知を装った偽メールが送られる可能性もあります。

通知メールが届いた場合でも、メールに記載されたリンクから個人情報やパスワードを入力するのではなく、公式サイトのお知らせと内容が一致しているか確認することが大切です。

なお、現時点では、利用者が自分のメールアドレスを入力して情報流出の対象かどうかを確認できる専用検索ページなどは案内されていません。

個別の確認が必要な場合は、記事の後半で紹介するモアコンタクトのカスタマーサポートへ問い合わせる方法があります。

実際に不審なメールを確認｜info@cuenote.jpからの詐欺メールに注意

今回の情報流出では、すでに不審なメールが確認されている点にも注意が必要です。

Cuenote FCを提供するユミルリンクは、同社のドメインを使用し、クレジットカード会社を名乗る詐欺の可能性があるメールが複数確認されていると公表しました。

10月26日の第2報では、送信元として「info@cuenote.jp」が表示され、セゾンカードなどを名乗る不審なメールが確認されたと説明しています。

確認されたメールの件名には、利用内容の確認を求めるものなどが含まれていました。

ユミルリンクは、これらのメールについて、同社や第三者が正規に送信を指示したものではないと説明しています。

ただし、これらの不審なメールが、今回流出したモアコンタクトの顧客情報を利用して送られたと確認されたわけではありません。

Rise UPも、今回の情報流出に起因する不正利用は現時点で確認されていないと説明しています。

そのため、確認済みの不審なメールと、今回の流出情報の不正利用については分けて考える必要があります。

モアコンタクトは、メール、SMS、電話などで利用者にパスワードやクレジットカード情報を尋ねることは一切ないと説明しています。

不審な連絡が届いた場合は、次の点を確認してください。

  • 心当たりのないメールやSMSに記載されたURLを開かない
  • 不審な添付ファイルを開かない
  • パスワードやクレジットカード番号、認証コードを入力しない
  • メールの送信者名だけで本物と判断しない
  • 注文状況などの確認はモアコンタクト公式サイトから行う

特に、実際の購入回数や発送日時に関係する内容がメールに書かれていても、それだけで正規の連絡だと判断しないことが大切です。

今回の流出情報には購入に関連するデータも含まれているため、不審なメールを受け取った場合は、公式サイトを直接開いて確認するようにしてください。

モアコンタクトでの注文や発送はどうなる？サービスへの影響

モアコンタクトを普段から利用している人にとって、今回の不正アクセスが商品注文や発送に影響していないかも気になるところです。

今回の不正アクセスが確認されたのは、顧客へのメール配信に利用していた外部サービス「Cuenote FC」です。

そのため、今回の発表はモアコンタクトの通販サイト全体への不正アクセスを知らせるものではありません。

一方、10月28日の公式発表では、商品注文や発送への影響、メール配信機能の停止状況などについて、具体的な説明はありません。

したがって、今回の公表内容だけで、すべての注文や配送が通常どおり行われていると断定することはできません。

また、注文確認メールや発送通知などが今回の不正アクセスによって遅延しているのかどうかについても、公式発表では詳しい案内がありません。

すでに注文した商品が届かない場合や、注文確認メールが届かない場合は、今回の不正アクセスが原因だと決めつけず、モアコンタクトの注文履歴や公式の問い合わせ窓口で状況を確認してください。

なお、今回の情報流出に関する発表では、商品の一律キャンセルや返金なども案内されていません。

不正アクセスの原因は？ユミルリンク「Cuenote FC」への攻撃

今回の情報流出の原因となったのは、ユミルリンク株式会社が提供するメール配信サービス「Cuenote FC」への不正アクセスです。

ユミルリンクは10月16日に一部システムで不正アクセスを確認し、その後の調査で、プログラムの脆弱性を悪用した攻撃が行われていたことを明らかにしました。

同社の第2報によると、攻撃者はプログラムの脆弱性を突いて、サポート・品質管理担当者の認証情報を取得したほか、不正プログラムを設置してデータベースからデータを出力していました。

さらに、取得した認証情報を利用して別のシステムへのログインを試みたり、システムのセッション情報を取得して不正ログインしたりする行為も確認されています。

つまり、最初の不正アクセスだけでなく、取得した認証情報などを利用して複数のシステムへ影響が広がったことが、調査で判明しています。

ユミルリンクは、不正アクセスが確認されたサーバーをネットワークから切り離し、脆弱性の修正、不正プログラムの検知体制の整備、認証情報の削除、接続元IPアドレスの制限などを実施しました。

また、警視庁のサイバー事案通報窓口や個人情報保護委員会への届出も行っています。

ただし、今回悪用された脆弱性の具体的な製品名や識別番号などは、モアコンタクトの公式発表では明らかにされていません。

今後も外部専門家と連携し、原因や影響範囲について詳細な調査を進める方針です。

ユミルリンク全体では約5163万件｜モアコンタクトの155万件との違い

今回の不正アクセスでは、モアコンタクト以外にも、Cuenote FCを利用する複数の企業で情報漏えいが確認されています。

ユミルリンクが10月26日に公表した第2報では、Cuenote FCの49システムで情報漏えいが発生し、流出した情報は延べ5,162万8,280件に上ると説明しています。

ただし、この5,162万8,280件は複数の利用企業に関係する延べ件数であり、モアコンタクトだけの流出件数ではありません。

項目モアコンタクトユミルリンク全体
流出件数154万8,002件5,162万8,280件
集計対象モアコンタクトのメール配信先リストCuenote FCの複数の利用企業
件数の性質延べ件数延べ件数
対象人数実人数は未公表実人数を示す数字ではない

ユミルリンクの第2報では、不正アクセスが試行されたCuenote FCの81システムのうち、49システムで情報漏えいの痕跡が確認されています。

さらに、10月26日時点では、漏えい件数の調査が終わっていないシステムも16システム残っており、今後の調査によって延べ件数が増加する可能性があると説明しています。

なお、ユミルリンク全体の5,162万8,280件とモアコンタクトの154万8,002件は、対象となる範囲が異なります。

それぞれの数字を混同せず、モアコンタクトの利用者に関係する情報としては、Rise UPが公表した154万8,002件を確認する必要があります。

ライフカード・ガンダムベースの情報漏えいとも関係？

ユミルリンクの「Cuenote FC」への不正アクセスは、モアコンタクトだけでなく、ほかの企業の利用者にも影響を及ぼしています。

例えば、2026年10月28日にはライフカードが、同じCuenote FCへの不正アクセスによって、33万9,610契約に関する顧客情報が漏えいした可能性があると発表しました。

ライフカードの事案では、氏名やメールアドレス、カード名称などが対象となる可能性があり、60件についてはETCカード番号の一部も含まれています。

また、10月27日には「THE GUNDAM BASE MEMBERS（ザ・ガンダムベースメンバーズ）」について、34万6,247件のメールアドレスなどが漏えいしたことが公表されています。

こちらも、バンダイナムコIDのメール配信業務を委託していたユミルリンクへの不正アクセスが原因です。

いずれも同じメール配信サービスへの不正アクセスに関連していますが、各社が登録していた情報は異なるため、流出した情報の種類や件数には違いがあります。

モアコンタクトでは氏名や住所、クレジットカード情報は流出対象外とされていますが、ライフカードでは氏名やカード関連情報の一部が対象となる可能性があります。

同じ外部サービスへの不正アクセスでも、各社が預けていた情報によって利用者への影響が異なることが分かります。

ライフカードとガンダムベースの情報漏えいについては、以下の記事でも詳しく整理しています。

情報流出が判明するまでの経緯｜10月16日から28日まで

今回の情報流出について、ユミルリンクとモアコンタクトの公式発表をもとに、判明している経緯を整理します。

日付確認された出来事
10月16日ユミルリンクが一部システムへの不正アクセスを確認
10月19日ユミルリンクが不正アクセスに関する第1報を公表
10月26日ユミルリンクが第2報を公表。モアコンタクト運営会社にも情報流出を報告
10月28日Rise UPがモアコンタクトの情報流出154万8,002件を公表

ユミルリンクが最初に不正アクセスを確認したのは10月16日です。

当初は一部システムへの不正アクセスが確認されていましたが、その後の調査で複数の利用企業のデータが外部へ出力されていたことが判明しました。

10月26日には新たな調査結果を反映した第2報が公表され、Rise UPにもモアコンタクトのメール配信環境から情報が流出したことが報告されました。

Rise UPは、その2日後となる10月28日に公式サイトで情報流出を発表しています。

なお、今回の不正アクセスが実際にいつ開始されたのか、モアコンタクトの情報が具体的に何月何日の何時に取得されたのかについては、公式発表からは確認できません。

10月16日はユミルリンクが不正アクセスを確認した日であり、攻撃が始まった日時と同じとは限らない点に注意が必要です。

不正利用や二次被害は確認された？補償・返金の方針

Rise UPは10月28日の公式発表で、ユミルリンクから、流出した情報が不特定多数に公開された事実や、今回の事件に起因する不正利用は確認されていないとの報告を受けていると説明しています。

そのため、現時点では、今回の情報流出が原因でモアコンタクトの利用者に具体的な金銭被害が発生したという情報は確認されていません。

ただし、情報が外部へ流出したこと自体は公表されており、情報の不正利用が確認されていないこととは別の問題です。

また、流出した情報が不特定多数に公開されていないことも、第三者が情報を取得していないことを意味するわけではありません。

今回の情報流出について、Rise UPはユミルリンクと連携して詳細な調査を依頼し、調査結果を踏まえて委託先の管理監督策を見直す方針です。

一方、2026年10月29日時点では、情報流出に対する金銭的な補償や返金について、具体的な公式発表は確認できていません。

そのため、補償が行われると断定することも、今後一切補償されないと断定することもできません。

今後、調査結果や新たな被害が判明した場合には、対応方針が追加で発表される可能性があります。

モアコンタクトの情報流出に関する問い合わせ先

モアコンタクトは、今回の情報流出に関する問い合わせ先として、カスタマーサポートを案内しています。

自分が対象となっているのか、公式から届いたメールが本物なのか、今回の件について不明な点がある場合は、以下の窓口から問い合わせることができます。

項目内容
問い合わせ先モアコンタクト カスタマーサポート
電話番号0120-8789-48
受付時間平日 11:00～17:00
お問い合わせフォームモアコンタクト公式お問い合わせページ
公式発表情報流出に関する公式のお知らせ

上記は2026年10月28日の公式発表に記載された問い合わせ先です。受付時間などは変更される可能性があるため、最新情報は公式サイトで確認してください。

なお、情報流出の対象者については個別にメールで案内するとされていますが、すべての対象者への通知がいつ完了するのかは発表されていません。

問い合わせの際は、必要以上の個人情報やログインパスワード、クレジットカード情報などを伝えないよう注意してください。

モアコンタクトは、新たな事実が判明した場合、Rise UPの公式サイトとモアコンタクトのサイトで改めて案内するとしています。

まとめ｜約155万件の情報流出と利用者が確認すべきこと

カラコン通販サイト「モアコンタクト」では、2026年10月28日、メール配信サービス「Cuenote FC」への不正アクセスによって、利用者情報154万8,002件（約155万件）が流出したと発表されました。

この数字は同じ利用者の重複を含む延べ件数であり、約155万人の個人情報が流出したという意味ではありません。

流出した情報には、メールアドレス、内部識別子、合計購入回数、最新注文の発送日時、メール送信履歴、アンケート回答ページのURLなどが含まれています。

一方、氏名、住所、電話番号、クレジットカード情報、ログインパスワードについては、今回の流出対象に含まれていないと説明されています。

また、購入商品の名称やカラコンの度数、注文金額など、詳細な購入履歴が流出したという発表も確認されていません。

現時点では今回の情報流出に起因する不正利用は確認されていませんが、ユミルリンクでは自社ドメインを使用した不審なメールが複数確認されています。

対象となった利用者には個別にメールで案内される予定のため、過去にモアコンタクトを利用したことがある人は、公式からの連絡や今後の発表を確認してください。

特に、注文確認やカード情報の再登録などを装う不審なメールには注意し、パスワードやクレジットカード情報を求められた場合は、公式サイトを直接確認することが重要です。

今後は、重複を除いた実際の対象人数、流出情報の詳細、対象者への通知状況、原因調査と再発防止策などについて、新たな発表があるか注目されます。

主な参考資料と確認日

情報確認日：2026年10月29日。株式会社Rise UPの10月28日付公式発表と、ユミルリンク株式会社の10月19日付第1報・10月26日付第2報を中心に確認しています。流出した情報の詳細、実際の対象人数、通知状況、二次被害、補償方針などは今後の調査結果によって変更される可能性があります。

コメント

タイトルとURLをコピーしました