ニフティの不正アクセス 第2報｜対象を＠nifty光の最大1.8万件に絞る

社内で使う「回線申込・受付管理システム」への不正アクセスを公表していたニフティが、2026年10月21日に第二報を出しました。 漏えいの対象は、第一報の最大54万2513件から、「＠nifty光」を申し込んだ人の最大1万8000件に絞られました（ニフティの2026年10月21日の発表）。 2019年以降に＠nifty光を申し込んだ人（同社の Web サイトからの申込を除く）に関係します。

公表された内容

• 件数：最大1万8000件（2026年10月21日の発表）。第一報では3つのサービスの申込の累計で最大54万2513件としていました
• 対象のサービス：「＠nifty光」だけ。「＠nifty MAX光」「＠nifty auひかりプラス」などは対象外と確認したとしています
• 対象の人：2019年以降に＠nifty光の回線を申し込んだ人。同社の Web サイトから申し込んだ人は対象外です
• 情報の種類：会員 ID、氏名、性別、生年月日、住所、電話番号
• 対象外と分かった情報：第一報で挙げていたメールアドレスは対象外と確認したとしています。パスワード・銀行口座・クレジットカードの情報は、このシステムに持っていないため対象外です
• 絞り込みの方法：詳しい調査とアクセスの記録などの精査で対象を特定したとしています
• 原因・侵入経路：公表されていません
• 再発防止策：外部の専門機関と調査を続け、セキュリティの体制を強め再発防止を徹底するとしています。具体的な中身は公表されていません

経緯

• 2026年10月19日：第一報。同日10時20分ごろに不正アクセスを確認して通信を遮断し、3サービスの最大54万2513件が漏えいした可能性があると公表
• 2026年10月21日：第二報。アクセスの記録などの精査で、対象を＠nifty光の最大1万8000件に絞り、メールアドレスを対象から外した

中小企業が今日からできること

• アクセスの記録を、範囲を絞れるだけ残す：今回はアクセスの記録などの精査で対象を大きく絞れた。管理ツールや顧客のデータベースで、誰が・いつ・どのデータを見たか書き出したかの記録を取り、保存の期間を決める
• 第一報は広めに、分かりしだい直す：分からない段階では対象を広めに知らせ、調べて分かった範囲を続報で示す流れを、事故のときの連絡の手順に書いておく
• 管理ツールに置く情報を分ける：口座やカードの情報を別のシステムに分けておくと、漏えいの範囲を狭められる。社員だけが使うツールに、要らない項目をためていないかを見直す
• 社員の回線や取引先の申込に＠nifty光がないか確かめる：会社名義で申し込んだ回線があれば、届いた案内を確かめ、ニフティを名乗る不審なメール・電話・SMS に注意するよう社内に伝える