ニフティに不正アクセス｜回線申込の管理システムから最大54万件

ニフティは2026年10月19日、同社が管理する「回線申込・受付管理システム」への外部からの不正アクセスを公表しました。 「@nifty光」「@nifty MAX光」「@nifty auひかりプラス」を2019年以降に申し込んだ人の情報、最大54万2513件が漏えいした可能性があるとしています（ニフティの発表）。 同社の Web サイトから申し込んだ人は対象外です。

公表された内容

• 対象のシステム：社内で申込の情報を登録するためのツールで、利用者が申し込む Web サイトとは別のシステムとしています
• 発覚：2026年10月19日の10時20分ごろに不正アクセスを確認し、すぐに不正アクセス元の通信を遮断したとしています
• 件数：最大54万2513件（2026年10月19日の発表）
• 情報の種類：会員 ID、氏名、性別、生年月日、住所、電話番号、メールアドレス。これは漏えいの可能性がある項目の全部で、実際に漏えいした情報は調査中としています
• 対象外の情報：このシステムは口座の情報とクレジットカードの情報を持っていないため、対象に含まれないとしています
• 原因：公表されていません
• 二次被害：公表されていません

会社の対応

• 不正アクセス元の通信の遮断と、被害の拡大を防ぐための暫定の対策
• 外部の専門機関と連携した詳しい調査、個人情報保護委員会への報告の手続き
• 専用の電話窓口の設置。新しい事実や対応の方針は、調査の進み具合に応じて公表するとしています
• メールや電話で暗証番号・パスワード・カード情報を聞くことはないとして、会社を装った不審なメール・電話・SMS への注意を呼びかけています

中小企業が今日からできること

• 社内だけで使うツールも守る対象に入れる：申込の登録・顧客の管理など、社員だけが使う管理画面やツールを一覧にし、外から届く場所に置いていないか、ログインに多要素認証をかけているかを確かめる
• 管理ツールにためる情報を絞る：口座やカードの情報を別のシステムに分けていたため、今回は対象外になっている。申込の処理が終わった情報を、いつまで、どこに残すかを決める
• ふだんと違うアクセスに気づけるようにする：管理ツールのログインと大量の書き出しの記録を残し、深夜や見慣れない場所からのアクセスを見る担当を決める
• 客への連絡の決まりを先に示しておく：「メールや電話でパスワードを聞かない」ことを日ごろから客に伝えておくと、漏えいのあとのなりすましの連絡に客が気づきやすくなる