事案の概要データ
| 公表日 | 2026年10月22日 |
|---|---|
| 判明 | 2026年10月14日 |
| 対象 | 「NP後払い」の請求書再発行システム |
| アクセスされた件数 | 28,884件（実人数とは記載されていない） |
| 手口 | 通常想定されない方法で機械的・連続的なリクエストが行われた |
| 対象情報 | 氏名・住所等 |
| 不正利用 | 未確認 |
| 行政対応 | 個人情報保護委員会とJIPDECに報告済み |
図解：この事故の構造
何が起きたのか
ネットプロテクションズは2026年10月22日、後払い決済「NP後払い」の請求書再発行システムに対して、第三者から通常想定されない方法で機械的・連続的なリクエストが行われ、28,884件の個人情報の一部にアクセスされたことを公表しました。判明したのは10月14日です。
対象情報は氏名・住所等で、不正利用は確認されていません。個人情報保護委員会とJIPDECへの報告は済んでいます。
「請求書の再発行」という機能
後払い決済では、購入者に請求書が送られます。紛失したときのために、Web上で再発行できる仕組みが用意されています。
この機能は、購入者にとって便利です。しかし、注文番号などを指定すると請求内容を表示する設計になっていれば、その番号を変えながら繰り返しアクセスすることで、他人の情報を取得できてしまいます。
本件が「通常想定されない方法で機械的・連続的なリクエスト」とされているのは、まさにこの使われ方です。
2026年10月は、この系統の事案が集中しました。10月8日のローソン（本人に情報を表示する仕組みの悪用）、13日のJR九州フードサービス（APIの権限不備）、14日のアエナ（機械的な連続アクセス）、15日のソースネクスト（会員情報取得API・約2,251万件）です。
対策は回数制限と本人確認
この種の攻撃への対策は2つあります。
1つ目は、同じアクセス元からの大量リクエストを自動で遮断すること（レート制限）です。正常な利用者が1分間に何百回も請求書を再発行することはありません。
2つ目は、本人確認を組み合わせることです。注文番号だけで表示するのではなく、登録した電話番号の下4桁やメールアドレスとの組み合わせを求めれば、総当たりの難易度が跳ね上がります。
自社で「番号を入れると情報が表示される」仕組みを持っているなら、この2点を確認してください。問い合わせ番号、予約番号、会員番号——どれも同じ構造です。
報告先が2つ明示されている
公表では、個人情報保護委員会に加えてJIPDEC（日本情報経済社会推進協会）への報告も明示されています。
JIPDECはプライバシーマークの付与機関です。プライバシーマークを取得している事業者は、個人情報の事故が起きた際に報告する義務があります。
中小企業でプライバシーマークやISMSを取得している場合、事故時には個人情報保護委員会だけでなく、認証機関への報告も必要になります。初動の手順書に、報告先を漏れなく書いておくことが大切です。
時系列で見る経過
- 2026年10月14日請求書再発行システムへの機械的・連続的なリクエストが判明
- 2026年10月個人情報保護委員会とJIPDECへ報告
- 2026年10月22日28,884件の個人情報の一部にアクセスされたことを公表
中小企業が学ぶべきポイント
- 「番号を入れると情報が表示される」仕組みは、番号を変えて総当たりされる。
- 同じアクセス元からの大量リクエストを自動で遮断する（レート制限）。
- 注文番号だけで表示せず、電話番号の下4桁など本人確認を組み合わせる。
- プライバシーマーク・ISMSを取得している場合、認証機関への報告も必要。
- 初動の手順書に、報告先を漏れなく書いておく。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。