ニフティの回線申込・受付管理システムに不正アクセス、最大542,513件 検知と同日に公表

事案の概要データ

図解：この事故の構造

何が起きたのか

ニフティは2026年10月19日、社内で情報を登録する管理用ツールへの外部からの不正アクセスを同日10時20分ごろに確認し、通信を遮断したことを公表しました。最大542,513件に漏えいの可能性があります。

対象は、2019年以降に自社サイト以外の経路で「＠nifty光」「MAX光」「auひかりプラス」を申し込んだ顧客です。顧客が直接入力する申込フォームとは別のシステムになります。

なお、2026年6月に公表されたISP向けメールシステムの事案（KDDIが提供するシステムへの不正アクセス）とは別の事案です。

検知と同日に公表した

この事案で特筆すべきは、公表の速さです。10時20分ごろに検知し、その日のうちに公表しています。

2026年10月の事案を振り返ると、検知から公表までには幅があります。ローソンは侵入から判明まで約3週間、バーガーキングは6日、阪急阪神百貨店は3日でした。そのなかで「同日」は異例です。

もちろん、同日公表では分かっていることが少なく、「最大」の件数と限られた情報しか出せません。それでも、対象となりうる人が早く知ることには意味があります。自社の申込情報がどこにあるかを確認し、不審な連絡に警戒できるからです。

7月のニチレイも障害検知の当日に第1報を出しており、「情報が不完全でも早く出す」判断が被害の拡大を抑えることが示されています。

「代理店経由の申込」という盲点

対象が「自社サイト以外で申し込んだ顧客」とされている点に注目してください。

通信回線の契約は、家電量販店、訪問販売、Web広告の代理店など、さまざまな経路で申し込まれます。その申込情報は、最終的に事業者側の受付管理システムに集約されます。

つまり、顧客から見れば「量販店で申し込んだ」つもりでも、情報は回線事業者のシステムに入っています。どこに自分の情報があるかを、顧客自身が把握しにくい構造です。

企業側の教訓としては、「顧客が直接触るシステム」だけでなく「社内で情報を登録する管理ツール」も同じレベルで守る必要がある、ということです。後者は社内向けという意識から対策が緩くなりがちですが、集約されている分だけ件数は大きくなります。

第2報で約30分の1に絞り込まれた

2026年10月21日の第2報で、初報の最大542,513件から最大18,000件へと絞り込まれました。約30分の1です。

対象項目は会員ID・氏名・性別・生年月日・住所・電話番号で、パスワード・口座・カード情報は保持していないとされています。

初報の数字は「システム上、アクセスされうる範囲の上限」でした。調査が進んで「実際にアクセスされた範囲」が絞り込まれた形です。

2026年10月は、増える方向の訂正が目立ちました。ブックオフ（643万件→6,427,735件）、Eストアー（885万件→約2,335.6万人）、トラストバンク（疑い→445万件）です。しかし本件のように減ることもあります。

初報で大きめの上限値を出すのは、利用者が早く自衛できるようにするためです。そして確定したら改めて公表する。この2段階の流れが機能した例と言えます。

時系列で見る経過

• 2026年10月19日 10時20分ごろ管理用ツールへの外部からの不正アクセスを確認し、通信を遮断
• 2026年10月19日同日中に公表。最大542,513件に漏えいの可能性と発表
• 2026年10月21日第2報。初報の最大542,513件から最大18,000件へ絞り込み

中小企業が学ぶべきポイント

1. 情報が不完全でも早く公表する。対象者が自衛を始められる時間を作れる。
2. 「社内で使う管理ツール」も顧客向けシステムと同じレベルで守る。件数は集約される分だけ大きい。
3. 代理店経由の申込情報も最終的に自社に集まる。どこに何があるか把握する。
4. 検知したらまず通信を遮断する。調べてから止めるのでは遅い。

出典・参考

• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope