ナイス株式会社の管理メールアドレスへの不正アクセス（個人情報約2,400件漏えいの可能性）
公表日
ナイス株式会社が管理するメールアドレスに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、そのメールアカウントに保存されていた個人情報最大約2,400件が漏えいした可能性があると8月6日に公表された。流出が確認された件数は示されていない。
対象者は？
ナイス株式会社の当該メールアカウント内に保存されていた個人情報の対象者（漏えいの可能性があるのは約2,400件）。対象項目は氏名、メールアドレス、電話番号、会社名、会社住所とされる。クレジットカード情報・口座情報は公式リリース上では記載がない。メール本文や添付ファイルの内容は詳細が示されていない。
同社は対象者への個別対応を予定していると報じられている。個別連絡の方法や時期、問い合わせ窓口は、渡された情報の範囲ではまだ発表されていない。
いますぐできること
- ナイス株式会社から個別の連絡が来た場合は、その内容を確認する。
- 身に覚えのないメールや電話、会社宛ての不審な連絡には、すぐに応じず内容を確かめる。
何が起きたのか
2026年7月22日、ナイス株式会社は自社が管理するメールアドレスで、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が疑われる不審な動きを見つけました。同社はすぐに、そのアカウントとつながる管理用のパスワードを変更し、外部からのアクセスを遮断して、影響の範囲を調べ始めました。調べた結果、そのメールアカウントの中に保存されていた個人情報約2,400件が漏えいした可能性があるとわかり、8月6日に公表しました。対象の項目は、氏名、メールアドレス、電話番号、会社名、会社住所です。個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。は終わっているとされています。
なぜ起きたのか・なぜ広がったのか
どのような経路で不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。されたのかは、まだ明らかにされていません。メール本文や添付ファイルの内容、見られる状態だった期間も示されていません。なお、ナイスグループ内の他のシステムに不正アクセスの跡は、現時点では確認されていないとされています。
いまの状況2026-08-25 時点続報待ち
2026年8月25日時点の報道では、新しい事実は示されていません。同社は、追加でわかったことがあれば速やかに公表するとしています。侵入経路、補償、再発防止策については、まだ発表されていません。
企業として考えたいこと
あなたの会社の問い合わせ用などの共有メールアドレスには、お客様や取引先の個人情報がどれくらい残っていて、不審な動きがあったとき、すぐに止めて範囲を調べられるでしょうか。
技術的な要約
ナイス株式会社は2026年7月22日、同社管理のメールアドレスで不正アクセスが疑われる不審な挙動を確認した。直ちに連動する管理用パスワードを変更し外部からのアクセスを遮断して調査を開始した。調査の結果、当該メールアカウント内に保存されていた個人情報約2,400件（氏名、メールアドレス、電話番号、会社名、会社住所）が漏えいした可能性が判明し、8月6日に公表した。個人情報保護委員会への報告は完了している。不正アクセスの経路やメール内容・閲覧可能期間は示されておらず、追加の事実が判明次第公表するとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明ナイス株式会社のリリースでは、どのような経路で当該メールアドレスに不正アクセスされたのかは明らかにされていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止の公表はない。現時点でナイスグループ内の他システムに対する不正アクセスの痕跡は確認されていないとされる。
- データ
- おそれ上限 2,400確定 —件氏名メール電話その他対象項目は氏名、メールアドレス、電話番号、会社名、会社住所。会社名・会社住所は「その他」に含めた。メール本文・添付ファイルの内容および閲覧可能だった期間は公式リリースで詳細が示されていない。クレジットカード情報・口座情報は公式リリース上では記載がない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-07-22
- 2026-07-22直ちに当該アカウントと連動する管理用パスワードを変更し、外部からのアクセスを遮断する応急措置を講じ、影響範囲を特定する調査を開始した。1
- 2026-08-06
- 2026-08-06漏えいの可能性がある項目は氏名、メールアドレス、電話番号、会社名、会社住所とされた。1
- 2026-08-06個人情報保護法に基づく個人情報保護委員会への報告を完了したと公表した（報告日は記載なし）。1
- 2026-08-06現時点でナイスグループ内の他システムへの不正アクセスの痕跡は確認されていないとされた。1
- 2026-08-12セキュリティ対策Labが本件を報じた。メール本文・添付ファイルの内容や閲覧可能期間は公式リリースで示されていない点を指摘した。1
- 2026-08-25ScanNetSecurityが「約2,400件の個人情報が漏えいした可能性」として本件を報じた。2
- 2026-08-21当該メールアドレス(info@e-house.co.jp)が第三者に不正利用されスパムメールが送信されていた事実を確認したと追記した。当該アカウントの送信機能を遮断し再発防止措置を完了したとし、同日、管理本部総務部の問い合わせ専用窓口を設置した。3
技術解説
公表された経緯と対応の整理 事実
報道によると、ナイス株式会社は2026年7月22日、同社が管理するメールアドレスで不正アクセスが疑われる不審な挙動を確認した。同社は直ちに当該アカウントと連動する管理用パスワードを変更し、外部からのアクセスを遮断する応急措置を講じたうえで、影響範囲を特定する調査を開始した。調査の結果、当該メールアカウント内に保存されていた個人情報約2,400件が漏えいした可能性が判明し、8月6日に公表された。対象項目は氏名、メールアドレス、電話番号、会社名、会社住所とされる。個人情報保護法に基づく個人情報保護委員会への報告は完了したと公表されている。現時点でナイスグループ内の他システムへの不正アクセスの痕跡は確認されていないとされる。
公表されていない事項と数値の扱い 事実
約2,400件は「漏えいした可能性がある」件数であり、漏えいが確定した件数は示されていない。したがって本件では約2,400件を上限側の数値として扱う。報道によれば、ナイス株式会社のリリースではどのような経路で当該メールアドレスに不正アクセスされたのかは明らかにされていない。メール本文や添付ファイルにどのような情報が含まれていたか、どの期間のメールが閲覧可能な状態だったかについても、詳細は示されていない。クレジットカード情報・口座情報は公式リリース上では記載がない。同社は追加の事実が判明した場合は速やかに公表すると説明しており、対象者への個別対応を予定している。
メールアカウントに情報が蓄積する構造（解釈） 解釈
本件は、メールアカウントそのものが侵害され、その中に保存された情報が対象になったと読み取れる。問い合わせ窓口のような代表アドレスは、複数の担当者が使い、受信した連絡先情報が長く残りやすい。そのため、業務システムの外側に個人情報の集積ができていた可能性がある。ただし、公表情報からはこのアドレスの用途や運用体制は分からないため、これは一般的な傾向からの推測にとどまる。侵入経路が不明なので、パスワードの使い回しや認証方式の問題があったかどうかも判断できない。パスワード変更と外部アクセス遮断で不審な挙動が止まったことから、認証情報が関係した可能性は考えられるが、断定はできない。
公表内容の評価と限界（解釈） 解釈
検知から公表まで15日で、対象項目・件数の目安、個人情報保護委員会への報告完了、他システムに痕跡がないという現時点の見立てが示された点は、読者が影響を把握する助けになる。一方で、経路、閲覧可能期間、メール内容、個別連絡の時期や方法といった点は示されておらず、対象者が自分に関係するかを判断する材料は限られる。ただし、調査中の事案であり、同社は続報を出すと説明している。また、ここで参照した情報は報道2件に限られ、公式リリースの原文は確認していない。そのため、評価は報道された範囲に基づく暫定的なものである。今後の続報で見方が変わる可能性がある。
対応
- 封じ込め
- 不審な挙動の確認後、直ちに当該アカウントと連動する管理用パスワードを変更し、外部からのアクセスを遮断する応急措置を講じ、影響範囲を特定する調査を開始した。
- 公表の仕方
- 2026年8月6日に公表。追加の事実が判明した場合は速やかに公表すると説明しており、対象者への個別対応を予定している。
- 当局対応
- 個人情報保護委員会（個人情報保護法に基づく報告を完了）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 代表メールアドレスにも個人情報が長期間たまりやすい | 共有・代表アドレスのメールボックスを棚卸しし、保存期間ルールを定めて古いメールを自動アーカイブまたは削除する。個人情報を含む添付は業務システムへ移し、メールには残さない。 |
| 不審な挙動の検知から遮断までを素早く行える体制が被害範囲の限定に役立つ | メールサービスのサインインログとアラート（未知の地域・端末からのログイン、転送ルール変更）を有効にし、検知時にパスワード変更とセッション失効を即時実行できる手順書を用意する。 |
| 侵入経路が分からないと再発防止策を示しにくい | メールの認証ログ、管理操作ログ、転送設定の履歴を十分な期間保管し、インシデント時に侵入経路と閲覧範囲を特定できるようにする。 |
| 共有アカウントは認証の強度が弱くなりやすい | 共有アドレスにも多要素認証を適用し、難しければ個人アカウントへの委任（委任アクセス）に切り替える。パスワードは固有で長いものにし、管理用パスワードの連動をなくす。 |
| 漏えいの「可能性」の段階でも、閲覧可能範囲を早期に整理しておくことが重要 | アカウント内の件数・項目・期間をすぐ集計できるよう、メールの保存対象と連絡先データの棚卸し表を平時から作る。対象者通知用の連絡先リストの作成手順も決めておく。 |
自組織などでの確認項目
- 自組織の代表・共有メールアドレス（問い合わせ窓口など）は何個あり、それぞれに個人情報を含むメールが何件・何年分残っていますか。
- 共有アドレスのログイン方式は何ですか。多要素認証は有効で、不審なログインがあった場合に通知が届き、誰が即時にパスワード変更と遮断をしますか。
- 不正アクセスが疑われたとき、メールアカウント内の個人情報の件数・項目・期間を何日で把握できますか。侵入経路を調べるためのログは十分な期間残っていますか。
未解明点
- 不正アクセスの経路（認証情報の流出、パスワード推測など）は何だったのか。
- メール本文・添付ファイルの内容と、閲覧可能だった期間はどこまでか。
- 約2,400件のうち実際に漏えいが確認された件数と、対象者への個別連絡の時期・方法はどうなるのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-12報道本文確認済
- 2ScanNetSecurity2026-08-25報道本文確認済
- 3ナイス株式会社2026-08-21公式本文確認済