ニフティ回線申込・受付管理システムへの不正アクセス（最大54万2,513件の申込情報に漏えいの可能性）
公表日
光回線サービス「＠nifty光」などを提供するニフティで、申込情報を管理するシステムが外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けました。2019年以降にWebサイト以外から申し込んだ顧客の情報、最大54万2,513件が漏えいした可能性があります。
対象者は？
2019年以降に、ニフティのWebサイト以外から「＠nifty光」「＠nifty MAX光」「＠nifty auひかりプラス」を申し込んだ顧客です。漏えいの可能性がある情報は、会員ID、氏名、性別、生年月日、住所、電話番号、メールアドレスです。口座情報とクレジットカード情報は、このシステムに保管されておらず、対象に含まれません。最大54万2,513件は可能性がある件数の上限で、実際に漏えいが確認された件数はまだ発表されていません。
個別の通知の有無は、まだ発表されていません。ニフティは本件の専用問い合わせ窓口「＠nifty専用ダイヤル」を案内しています（10月19日は20時まで受付）。受付時間や電話番号は、公式のお知らせで確認してください。
いますぐできること
- ニフティや関係者を名乗るメール・SMS・電話に注意し、記載されたURLを開いたり個人情報を入力したりしない。
- ニフティは、暗証番号やパスワード等を尋ねることはないとしています。そのような連絡があっても答えない。
- 対象かどうか心配なときは、公式のお知らせに載っている専用ダイヤルに問い合わせる。
何が起きたのか
ニフティは2026年10月19日の午前10時20分ごろ、光回線の申込や受付の情報を管理するシステムへの外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。に気づきました。同社は事実を把握するとすぐに、アクセス元からの通信を遮断し、被害が広がらないようにする暫定の対策を行いました。同日、最大54万2,513件の情報が漏えいした可能性があると発表しました。このシステムは、ニフティ側で情報を登録するための管理用ツールで、お客様が直接申し込むWebサイトとは別のものです。
なぜ起きたのか・なぜ広がったのか
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の方法や原因は、第一報では説明されておらず、まだ発表されていません。件数は漏えいの可能性がある上限で、実際にどの情報が漏えいしたかは調査中です。
いまの状況2026-10-19 時点続報待ち
ニフティは外部の専門機関と調査を進め、個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。手続きを進めています。実際に漏えいした情報や、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の方法、不正アクセスが続いていた期間は、まだ発表されていません。同社は、調査結果を踏まえてセキュリティ対策と監視体制を強化し、新しい事実が分かり次第公表するとしています。
企業として考えたいこと
あなたの会社の、社内向けの受付・契約管理ツールには、誰がどこから接続でき、何年分の顧客情報が入っているでしょうか。
技術的な要約
ニフティは2026年10月19日、同社が管理する回線申込・受付管理システムへの外部からの不正アクセスを発表した。不正アクセスは同日10時20分ごろに確認され、把握後すぐに通信元からのアクセスを遮断し、暫定対策を実施した。2019年以降にWebサイト以外から「＠nifty光」「＠nifty MAX光」「＠nifty auひかりプラス」を申し込んだ顧客の最大54万2,513件に漏えいの可能性があり、対象項目は会員ID、氏名、性別、生年月日、住所、電話番号、メールアドレスである。口座情報とクレジットカード情報は当該システムに保有しておらず対象外とされ、実際に漏えいした情報は調査中である。不正アクセスの手法は第一報では説明されていない。外部の専門機関と調査し、個人情報保護委員会への報告手続きを進めている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明対象はニフティ側で情報登録を行う管理用ツール（回線申込・受付管理システム）で、利用者向けWebサイトの申込フォームそのものではない。第一報では不正アクセスの手法について具体的な説明はない。
- 脆弱性
- CVE 非公表不明脆弱性の有無・製品名は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止については公表されていない。
- データ
- おそれ上限 542,513確定 —件会員ID氏名性別生年月日住所電話メール最大542,513件は漏えいの可能性がある件数で、漏えいが確定した件数ではない。対象は2019年以降にWebサイト以外から＠nifty光・＠nifty MAX光・＠nifty auひかりプラスを申し込んだ顧客。口座情報・クレジットカード情報は当該システムに保有しておらず対象外。実際に漏えいした情報は調査中。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先や取引先経由の侵害は公表されていない。
時系列
- 2026-10-19 10:20
- 2026-10-19 10:20
- 2026-10-19
- 2026-10-19専用問い合わせ窓口「＠nifty専用ダイヤル」を案内。当日は20時まで受付。5
- 2026-10-19
- 2026-10-19
- 2026-10-19
- 2026-10-20
技術解説
公表された事実と対象範囲 事実
ニフティは2026年10月19日10時20分ごろ、同社が管理する回線申込・受付管理システムへの外部からの不正アクセスを確認した。不正アクセスの事実を把握した後、直ちに当該通信元からのアクセスを遮断し、被害拡大を防ぐ暫定対策を実施した。漏えいの可能性があるのは、2019年以降にWebサイト以外から「＠nifty光」「＠nifty MAX光」「＠nifty auひかりプラス」を申し込んだ顧客の情報で、最大542,513件とされる。対象項目は会員ID、氏名、性別、生年月日、住所、電話番号、メールアドレスである。口座情報とクレジットカード情報は当該システムに保有しておらず、対象外とされている。同日中に第一報が公表された。
対象システムの性格と件数の読み方 事実
対象となったのは、ニフティ側で情報登録を行うための管理用ツールである。お客様が直接申し込むWebサイトの申込フォームとは異なるシステムだと、公式の第一報に記されている。最大542,513件は漏えいの可能性がある件数の上限であり、漏えいが確定した件数ではない。実際に漏えいした情報は調査中で、確定件数（records_confirmed）は公表されていない。第一報では不正アクセスの手法、侵入経路、脆弱性の有無、製品名、攻撃者についての説明はなく、侵入日や不正アクセスの期間も示されていない。業務停止の有無も公表されていない。外部の専門機関と調査を進め、個人情報保護委員会への報告手続きを進めているとしている。
管理用ツールに情報が集まる構造（解釈） 解釈
対象が利用者向けフォームではなく管理用ツールであった点は、攻撃の構造を考えるうえで注目できる。管理用ツールは、Webサイト以外の経路で受け付けた申込を含め、複数サービス・長期間の申込情報を一か所で参照できる作りだった可能性がある。そうであれば、一度アクセスが成立すると参照できる範囲が広くなりやすく、対象が最大約54万件に及ぶことの説明になりうる。ただし、侵入経路、認証の仕組み、脆弱性の有無はいずれも公表されていない。MITRE ATT&CKの対応づけ（T1190、T1213）も、公表された内容から当てはめた暫定的なものにとどまる。原因が判明した段階で、この見立ては修正される可能性がある。
第一報の公表内容の評価（解釈） 解釈
第一報は、不正アクセスの確認と同じ2026年10月19日のうちに公表された。対象者の範囲、対象項目、最大件数、対象外の情報（口座・クレジットカード）が一通り示されている。件数を漏えいの可能性がある上限として扱い、確定件数と区別している点も、読み手の誤解を減らす。加えて、不審なメール・SMS・電話への注意喚起と専用ダイヤルが同日に案内され、二次被害への備えも早い段階で示された。一方で、手法、実際に漏えいした情報、不正アクセスの期間、個別通知の有無は未公表である。第一報のみでは評価を確定できず、続報を待つ必要がある。
対応
- 封じ込め
- 不正アクセスの確認直後に当該通信元からのアクセスを遮断し、被害拡大を防ぐ暫定対策を実施した。
- 公表の仕方
- 2026年10月19日に第一報を公表。対象者、対象項目、最大件数、口座・クレジットカード情報が対象外であることを示し、不審な連絡への注意喚起と専用ダイヤルを案内した。実際の漏えい情報と手法は調査中。
- 当局対応
- 個人情報保護委員会（報告手続きを進めている）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 社内の管理用ツールも、利用者向けサイトと同等に外部からの到達性を管理する必要がある | 管理用ツールへの接続元をVPN、社内ネットワーク、ゼロトラスト型プロキシ経由に限定し、IP許可リストと多要素認証を必須にする。公開範囲はクラウドや境界機器の設定を定期的に棚卸しして確認する。 |
| 長期間・複数経路の申込情報が一か所に集まると、1回のアクセスの影響が大きくなる | 保持期間と項目ごとの保存要否を見直し、不要になった個人情報は削除するか、アーカイブへ分離する。管理画面ではロール別に参照できる項目を絞り、検索結果の大量表示やCSV出力に上限と承認を設ける。 |
| 異常アクセスの検知から通信元遮断までを素早く行える手順を用意しておく | 管理ツールの認証・参照・出力ログをSIEMに集約し、通常と異なる通信元や大量参照にアラートを出す。遮断手順（WAF・FWでの拒否、セッション無効化、資格情報の失効）をランブックにして訓練する。 |
| 件数は「可能性の上限」と「確定」を分けて示す。確定には操作ログの保全が必要になる | 誰が何件を参照・出力したかが追えるよう、アプリケーションの監査ログを十分な期間保存し、改ざん耐性のある場所に置く。インシデント時は初動でログ保全とフォレンジック依頼を行い、確定件数の算定に備える。 |
| 氏名・住所・電話番号・メールアドレスなどの組み合わせは、なりすましの連絡に使われうる | 公表と同時に、公式の問い合わせ窓口、連絡しない内容（パスワード等を尋ねない）、不審な連絡への対処を告知する手順を用意する。自社ドメインのSPF・DKIM・DMARC設定を確認し、なりすましメールを受け取りにくくする。 |
自組織などでの確認項目
- 自組織の受付・契約管理などの社内ツールは、インターネットから到達できるか。到達できる場合、接続元制限と多要素認証は適用されているか。
- 自組織の管理ツールには、何年分・何件の顧客情報が保存されているか。保存期間を過ぎた情報は、実際に削除または分離されているか。
- 管理ツールで「誰が・いつ・何件を参照・出力したか」を示すログは保存されているか。異常な大量参照を検知して通知する仕組みはあるか。
- 不正アクセスを確認してから、通信元の遮断、顧客向けの注意喚起、当局への報告までの手順と担当者は決まっているか。
未解明点
- 不正アクセスの手法・侵入経路（認証情報の悪用か、脆弱性の悪用かなど）は何か。
- 実際に漏えいした情報の項目と件数は、最大542,513件のうちどれだけか。
- 不正アクセスはいつから、どれくらいの期間続いていたのか。
- 対象となる顧客への個別の通知や補償の有無と時期はどうなるか。
- 再発防止策として、具体的にどのようなセキュリティ対策・監視体制の強化が行われるのか。
出典
- 1ASCII.jp2026-10-20報道本文確認済
- 2ケータイ Watch2026-10-19報道本文確認済
- 3CNET Japan（Yahoo!ニュース配信）2026-10-20報道本文確認済
- 4時事通信（Yahoo!ニュース配信）2026-10-19報道本文確認済
- 5セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-19報道本文確認済
- 6ITmedia ビジネスオンライン2026-10-19報道本文確認済
- 7新潟日報2026-10-19報道本文確認済
- 8ニフティ株式会社2026-10-19公式本文確認済