ニモカ「利用履歴照会サービス」への不正アクセス｜公表のまとめ

何が起きたか

2026年10月6日、西日本鉄道の子会社ニモカは、交通系ICカード「nimoca」の利用履歴照会サービスが第三者の不正アクセス（公開している Web サービスへの攻撃）を受け、一部の利用者の個人情報が漏えいしたと公表しました（ニモカの2026年10月6日の発表）。 10月4日の朝、利用者からコールセンターに「身に覚えのないメールが届いた」と問い合わせがあり、調べたところ、サービスに登録されたメールアドレスあてに、登録情報の一部を含むメールが送られていたと分かりました。メールは、利用者の決まった入力に応じてサービスから自動で送られるもので、第三者が送ったものではないとしています。 不正アクセスは10月4日0時ごろからサービスを止めた17時40分まで。漏えいは521件で、nimoca のカード番号（裏面の NR で始まる17桁）・生年月日・登録したメールアドレスです。氏名・住所・電話番号・性別・利用履歴の漏えいは確認できていないとしています。nimoca のほかのシステムやデータベースへの不正アクセスも確認されていないとしています。

会社の対応

• 10月4日17時40分に利用履歴照会のサービス（新規登録・照会など）をすべて止めた。nimoca カードはふだんどおり使えるとしています
• 原因の調査と、自動プログラムによる不正アクセスへの対策・プログラムの改修をし、安全を確かめたとして10月15日にサービスを再開しました（ニモカの2026年10月15日のお知らせ）
• サービスのパスワードは漏えいしていないとして、変更は要らないと説明。変えたい人は、コールセンター経由で登録を消して登録し直す手順を案内しています
• 不審なメールの URL を開かない・個人情報を入れない・添付ファイルを開かないよう呼びかけています

この事例から中小企業が学べること

• 会員ページの「登録情報をメールで送る」ような自動の機能が、第三者の入力で悪用されないかを確かめる（入力の回数の制限や、人間の操作かの確認を入れる）
• 短い時間に同じ機能へ大量の操作が来たら気づける監視を置く
• 利用者からの「身に覚えのないメール」という問い合わせを、事故の手がかりとして担当者へすぐ回す流れを決めておく
• 止めるかどうかの判断の基準を決めておき、被害が分かった日のうちにサービスを止められるようにする