NTTスマイルエナジーに不正アクセス｜ポイント約1.4万件が不正に交換

NTTスマイルエナジーは2026年11月6日、太陽光発電の遠隔監視サービス「エコめがね」への不正アクセスの調査の中で、ポイント還元サービス「スマイルeポイント」のデジタルギフトのコードが不正に大量に交換されていたと公表しました。 不正に交換されたのは約1万4,000件（800万ポイント分）で、10月28日の時点でポイントを持っていた人に全額を補償するとしています（NTTスマイルエナジーの2026年11月6日の発表）。 エコめがねの利用者（太陽光発電の施主・販売や施工のパートナー企業）と、蓄電システムの利用者などスマイルeポイントを使う人に関係します。

公表された内容

• エコめがねへの不正アクセス：10月28日20時20分に Web サーバーで不審なアクセスを検知し、サービスの画面を止めました。データベースサーバーにも攻撃の形跡があり、施主・パートナー企業の氏名または会社名・住所・電話番号・メールアドレスと、サービスのログイン用の ID とパスワードが漏えいした可能性があるとしています。件数は精査中です（10月30日の発表）
• 漏えいの確認：11月6日の時点で、氏名・住所などの個人情報が外部に漏えいした事実は確認されていないとしています。調べは続いています
• ポイントの不正交換：スマイルeポイントのシステムで「管理番号」「交換用URL」「ポイント数」などが読み取られた形跡があり、その情報で短い時間に大量の交換がされたとしています。10月30日に約1,500件（100万ポイント分）、10月31日に約1万2,500件（700万ポイント分）で、合計約14,000件（800万ポイント分）。不正に閲覧された可能性のある範囲として、10月28日0時の時点で交換されていなかった約2万9,000件を挙げています
• 原因：侵入の経路と技術的な原因は、10月30日の時点で特定できていないとしています
• 太陽光発電の設備：監視用のクラウドのサーバーの事案で、発電・売電は止まらないとしています。ただし、異常を知らせるメールが届かない、新しい設置の開通の登録を見合わせているといった影響が出ています

経緯

• 2026年10月28日：Web サーバーで不審なアクセスを検知し、サービスの画面を緊急停止
• 2026年10月29日：初報。クラウドのすべてのサーバーの通信を遮断し、データベースサーバーを停止
• 2026年10月30日：個人情報が漏えいした可能性があると公表。この日と翌日にポイントの不正交換
• 2026年10月31日：提携会社が交換の急増に気づき、ポイントの交換を緊急停止
• 2026年11月4日：提携会社から不正交換の件数とポイント数の回答を受け取る
• 2026年11月6日：第2報。不正交換と全額の補償を公表

会社の対応

• 10月28日の時点でポイントを持っていた人に、全額を補償する。手続きは個別にメールなどで知らせるとしています
• 専用の問い合わせ窓口を準備中で、蓄電システムのメーカー側の利用者の問い合わせもまとめて受けるとしています
• 個人情報保護委員会へ速報済み。警察への被害の申告の手続きを進めるとしています
• エコめがねの再開の時期は未定で、安全を確かめたサービスから順に再開するとしています

中小企業が今日からできること

• エコめがねを使っているかを確かめる：太陽光発電の販売・施工の会社や、施設に太陽光を置いている会社は、エコめがねのログイン ID とパスワードをほかのサービスで使い回していないかを確かめ、使い回していれば先にそちらを変える
• 監視が止まっている間の点検を決める：異常を知らせるメールが届かないので、発電量を目で見て確かめる日と担当を決めておく
• ポイントやギフトのコードを守る：自社でポイント・ギフトのコードを配っているなら、コードや交換用の URL を第三者が当てたり一覧で読み出したりできないか、交換の急増に気づく仕組みがあるかを委託先に確かめる
• ログイン情報の漏えいに備える：自社のサービスで ID とパスワードが漏れたときに、全員のパスワードを一度に無効にして再設定を頼む手順を決めておく
• かたりのメールに注意を促す：漏えいした可能性のあるメールアドレスや電話番号に、会社をかたる連絡が来るおそれがある。取引先や客へ「パスワードやカード番号を聞くことはない」と知らせる