ニフティ不正アクセス第一報最大54万2513件と「漏えい可能性」を分ける

資料で確認できること

10月19日10時20分ごろに不正アクセスを確認し、通信を遮断

ニフティは10月19日10時20分ごろ、同社が管理する回線申込・受付管理システムへの外部からの不正アクセスを確認したとしています。把握後、当該通信元からのアクセスを遮断し、被害拡大を防ぐ暫定対策を実施したと説明しました。

対象となったのは、ニフティ側が情報を登録する管理用ツールです。顧客が直接アクセスして申し込むWebサイトや申込フォームとは異なるシステムだと明記されています。

• 資料 01ニフティ株式会社：【第一報】当社回線申込・受付管理システムへの不正アクセスの発生について

当事者の説明

対象候補は2019年以降の一部回線申込者、最大54万2513件

第一報が影響を受ける可能性がある対象として示したのは、2019年以降に@nifty光、@nifty MAX光、@nifty auひかりプラスを申し込んだ顧客のうち、同社Webサイト以外から申し込んだ人です。対象件数は最大54万2513件としています。

対象となり得る項目は、会員ID、氏名、性別、生年月日、住所、電話番号、メールアドレスです。会社は、これらを『漏えいした可能性のある情報の全項目』とし、実際の漏えい情報は調査中だと説明しています。

• 資料 01ニフティ株式会社：【第一報】当社回線申込・受付管理システムへの不正アクセスの発生について

当事者の説明

口座・クレジットカード情報は、当該システムに保有していない

ニフティは、対象システムに口座情報やクレジットカード情報を保有しておらず、今回示した漏えい対象には含まれないと説明しています。

これは当該管理システムについての区分です。発表にない別の情報や別システムへの影響を推測で付け足すことも、今回の発表だけで会社の全システムの安全性を保証されたと読むこともできません。

• 資料 01ニフティ株式会社：【第一報】当社回線申込・受付管理システムへの不正アクセスの発生について

当事者の説明

外部専門機関との詳細調査と、個人情報保護委員会への報告を進める

会社は、外部専門機関と連携した詳細調査と、個人情報保護委員会への報告手続きを進めているとしています。新たな事実や今後の対応方針が判明した場合は、速やかに告知・公表すると説明しました。

また、会社から顧客へ個別連絡する際に、暗証番号、パスワード、クレジットカード情報などを尋ねることはないと注意喚起しています。同社や関係者を装うメール、電話、SMSのリンクから情報を入力しないことが重要です。

• 資料 01ニフティ株式会社：【第一報】当社回線申込・受付管理システムへの不正アクセスの発生について

未確認の点

実際の漏えい件数・項目、侵入経路、二次被害は未確認

10月20日の確認時点で、第三者が実際に取得した情報の件数と項目、個人ごとの対象、詳しい侵入経路、不正アクセスが可能だった期間、二次被害の有無、再発防止策の具体的内容は第一報では確定していません。

個別通知の方法や開始時期も、この資料には記載されていません。対象サービスを使ったという事実だけで自分の情報流出を断定せず、同時に公式の続報を見落とさないようにする必要があります。

• 資料 01ニフティ株式会社：【第一報】当社回線申込・受付管理システムへの不正アクセスの発生について

確認の範囲

このコラムの確認範囲

本稿は2026年10月20日に取得したニフティ株式会社の10月19日付第一報を確認したものです。JBJは会社、顧客、外部専門機関、関係当局、攻撃者への直接取材や、システム・ログ・取得データの独立調査を行っていません。掲載画像は対象範囲と時系列を確認する姿勢を表す説明用イメージで、ニフティの実際の職員・顧客・設備・画面・資料・被害記録ではありません。

• 資料 01ニフティ株式会社：【第一報】当社回線申込・受付管理システムへの不正アクセスの発生について

JBJの見解

大きな最大件数だけでは、個人ごとの対象は決まらない

不正アクセスの第一報では、調査の初期段階で影響を受ける可能性のある最大範囲が示されることがあります。『最大54万2513件』を、そのまま漏えいが確定した人数や二次被害の件数として伝えることはできません。

一方で、可能性の段階だから対応が不要という意味でもありません。対象サービスを申し込んだ時期、公式通知、不審な連絡を確認しながら、今後の続報で確定範囲がどう更新されるかを追う必要があります。

JBJの見解

申込経路、時期、公式発表、不審な連絡を分けて残す

利用者は、申し込んだ回線サービス、申込時期と経路、会員IDの有無、会社から届いた案内、公式発表のURLと確認日時、不審なメール・電話・SMSを整理してください。暗証番号や本人確認情報をSNSへ公開する必要はありません。

不審な連絡が来た場合は、文中のリンクや番号を使わず、ニフティの公式サイトに掲載された窓口から照合してください。金銭やアカウントの被害が疑われる場合は、関係事業者、金融機関、警察などの公式窓口へ先に連絡してください。

• 資料 01ニフティ株式会社：【第一報】当社回線申込・受付管理システムへの不正アクセスの発生について

JBJの見解

会社の説明責任と、第一報を超えた断定を両方確認する

管理用システムが不正アクセスを受け、多数の顧客情報が対象となる可能性が示された以上、会社には、侵入経路、対象の確定、個別通知、再発防止を具体的に説明し続ける責任があります。利用者が追加説明を求めることは正当です。

同時に、最大件数を確定漏えい件数や被害人数と言い換えたり、対象外と説明された決済情報まで流出したと広げたりすることはできません。JBJは会社を無条件に擁護せず、確認された不正アクセス、可能性として示された範囲、未確認の事項を分けて続報を確認します。