NTTスマイルエナジーの不正アクセス｜公表と続報のまとめ

何が起きたか

2026年10月28日、NTTスマイルエナジーは、太陽光発電の遠隔監視サービス「エコめがね」の Web サーバーで不審なアクセスを検知し、サービスを止めました。10月30日には、データベースサーバーにも攻撃の形跡があり、施主・パートナー企業の氏名または会社名・住所・電話番号・メールアドレスと、ログイン用の ID・パスワードが漏えいした可能性があると公表しました（NTTスマイルエナジーの2026年10月30日の発表）。侵入の経路と原因は特定できていないとしています。 11月6日の第2報では、調査の中で、ポイント還元サービス「スマイルeポイント」の交換用の情報が読み取られ、10月30日〜31日に約14,000件（800万ポイント分）が不正に交換されたと公表しました。同じ時点で、氏名・住所などの個人情報が外部に漏えいした事実は確認されていないとしています（NTTスマイルエナジーの2026年11月6日の発表）。

会社の対応

• クラウドのすべてのサーバーの通信を遮断し、データベースサーバーを停止。エコめがねの再開の時期は未定
• 10月28日の時点でスマイルeポイントを持っていた人に、全額を補償するとしています
• 専用の問い合わせ窓口を準備中。個人情報保護委員会へ速報し、警察への被害の申告を進めるとしています

この事例から中小企業が学べること

• 監視・遠隔管理のクラウドサービスが止まったときに、設備を人の目で点検する手順を決めておく
• サービスのログイン ID とパスワードをほかで使い回さない
• ポイントやギフトのコードを配るなら、コードの読み出しと交換の急増に気づく仕組みを委託先に確かめる
• 個人情報だけでなく、換金できる情報（ポイント・ギフト）も守る対象として洗い出す