要点
発表された事実
- ニフティ株式会社は2026年10月19日、同社が管理する「回線申込・受付管理システム」で外部からの不正なアクセスを確認したと公表した（ニフティ）。
- このシステムは「当社側で情報登録をするための管理用ツール」で、顧客が直接アクセスして申し込むWebサイト（申込フォームなど）とは別のシステムだとしている（同）。
- 10月19日（月）10時20分頃に不正アクセスを確認し、ただちに通信元からのアクセスを遮断した（同）。
- 影響を受ける可能性があるのは最大542,513件。2019年以降に回線を申し込んだ顧客（同社Webサイトからの申し込みを除く）で、対象サービスは＠nifty光、＠nifty MAX光、＠nifty auひかりプラス。項目は会員ID、氏名、性別、生年月日、住所、電話番号、メールアドレス。これは可能性のある全項目で、実際に漏えいした情報は調査中。口座・クレジットカード情報はこのシステムに保有していない（同）。
- 【2026-10-22追記】ニフティは10月21日、第2報を発表した。調査の結果、対象サービスは「＠nifty光」だけで、第1報で挙げた＠nifty MAX光と＠nifty auひかりプラスは対象外と判明した。対象は2019年以降に同社Webサイト以外から＠nifty光を申し込んだ利用者で、最大約1万8000件に絞り込まれた（第1報は最大542,513件）。項目は会員ID、氏名、性別、生年月日、住所、電話番号で、第1報で含めていたメールアドレスは対象外と確認された。調査は継続している（INTERNET Watch）。
わかっていないこと
- 管理用ツールにどうやって入られたのか（認証情報の悪用か、脆弱性か、ツールがどこから接続できたのか）
- 10時20分より前に、いつから不正アクセスが続いていたのか
- 実際に持ち出された件数と項目（【2026-10-22追記】第2報で対象は＠nifty光の最大約1万8000件、メールアドレスは対象外に絞り込まれたが、実際に持ち出されたかどうかは示されていない）
- 申し込みの経路（Webサイト以外）に関わる代理店・提携先の環境が関係しているかどうか
- 暫定対策の中身と、システムの利用再開の状況
関係しそうな既知の手口
- （考察）顧客向けの画面ではなく、社内向けの「管理用ツール」が狙われた。NewsPicksの業務用管理ツールの脆弱性や、楽天ドライブの管理用アカウントの悪用など、10月には運営側のツールから大量の情報に届いた事例が続いている。
概要
- ニフティの光回線の申込情報を登録する管理用ツールに外部から不正アクセスがあり、10月19日午前に確認して遮断した。
- 2019年以降に同社Webサイト以外から光回線を申し込んだ顧客の連絡先や生年月日など、最大54万2513件に漏えいの可能性がある。
- 口座やカード情報はこのシステムになく、実際に何が漏れたかは調査中。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2019年〜 | 漏えいの可能性がある申込情報の対象期間（同社Webサイト以外からの申し込み）（ニフティ） |
| 2026-10-19（月）10:20頃 | 回線申込・受付管理システムへの外部からの不正アクセスを確認し、通信元からのアクセスを遮断（ニフティ） |
| 2026-10-19（月） | 第一報を公表。＠nifty専用ダイヤルで問い合わせを受け付け（同日は20時まで）（ニフティ） |
| 2026-10-21（水） | 第2報。対象を＠nifty光だけ、最大約1万8000件に絞り込み、メールアドレスは対象外と確認（INTERNET Watch） |
発表内容の整理
事実（ニフティの第一報）
| 項目 | 内容 |
|---|---|
| 対象システム | 回線申込・受付管理システム（同社側で情報登録をするための管理用ツール。顧客が使う申込フォームなどとは別） |
| 確認 | 2026年10月19日（月）10時20分頃。ただちに通信元を遮断 |
| 対象件数 | 最大542,513件 |
| 対象の顧客 | 2019年以降に回線を申し込んだ顧客（同社Webサイトからの申し込みを除く） |
| 対象サービス | ＠nifty光、＠nifty MAX光、＠nifty auひかりプラス |
| 項目 | 会員ID、氏名、性別、生年月日、住所、電話番号、メールアドレス（可能性のある全項目。実際の漏えい範囲は調査中） |
| 含まれないもの | 口座情報・クレジットカード情報（システムに保有していない） |
| 実施済み | 通信遮断、被害拡大を防ぐ暫定対策 |
| 継続中 | 外部専門機関と連携した詳細調査、個人情報保護委員会への報告手続き |
| 注意喚起 | 同社が個別にメールや電話で暗証番号・パスワード・カード情報を尋ねることはない |
| 問い合わせ | ＠nifty専用ダイヤル 0120-924-719（10時〜18時、毎日） |
考察
対象を「当社Webサイトをのぞく」申し込みに限っている点から、このツールは電話や店頭、提携先など、Web以外の経路で受けた申し込みを社内で登録するためのものと読める（考察。どの経路かは書かれていない）。そうだとすると、ツールを操作する人は社内だけでなく、受付を担う外部の担当者に広がっている可能性があり、どこから接続できたのかが原因を考えるうえでの焦点になる（考察）。
確認から公表までが同じ日のうちだった点は、ほかの事例と比べて早い。そのぶん、何件が実際に持ち出されたかはまだ示されておらず、最大件数としての公表になっている。
関係しそうな既知の手口
事実（既知の知見・同種事例）
- NewsPicksでは、業務用の管理ツールの脆弱性からメールアドレス32.3万件・カード情報の一部36.2万件が漏えいの可能性となった（NewsPicksの記事）。
- 楽天ドライブでは、管理用アカウントの認証情報が奪われ、保存データが取得・閲覧された（楽天ドライブの記事）。
- JPCERT/CCは10月の注意喚起で、既知の脆弱性の探索、API経由での不正な操作などの攻撃類型を示した（各機関の注意喚起の記事）。
考察
- 「社内用」でも外から届く：管理用ツールは利用者が限られる分、顧客向けのサイトより認証や更新が後回しになりやすい。インターネットから到達できる状態だった場合、IPアドレスの制限や多要素認証の有無が被害の差になる（考察）。
- 光回線の顧客情報は電話勧誘に使われやすい：住所・電話番号・契約サービスがそろうと、「回線の切り替え」「料金が安くなる」といった電話や訪問に使える。ニフティを名乗る連絡には、まず公式の窓口に確かめるのが安全だ（考察）。
利用者・運用者がいまできること
事実（発表に基づく）
- ニフティは、同社が個別にメールや電話で暗証番号・パスワード・クレジットカード情報を尋ねることはないとしている。ニフティや関係者を装った不審なメール・電話・SMSのURLにアクセスせず、個人情報を入力しない（ニフティ）。
- 問い合わせは＠nifty専用ダイヤル（0120-924-719、10時〜18時、毎日）（同）。
考察（運用者向け）
- 社内向けの管理ツールも、顧客向けのサイトと同じ基準で棚卸しする。外部から接続できるか、接続元を絞っているか、多要素認証があるか、委託先・代理店のアカウントが残っていないかを確かめる。
- 管理ツールからの一覧表示やエクスポートの件数を記録し、普段と違う大量の読み出しで通知が出るようにしておく。
参考リンク
- 【第一報】当社回線申込・受付管理システムへの不正アクセスの発生について（ニフティ、2026-10-19）
- ニフティ、回線申込・受付管理システムに不正アクセス。最大約54万件の個人情報漏えいの可能性（INTERNET Watch、2026-10-19）
- ニフティ、回線申込管理システムに不正アクセス 最大54万件の個人情報漏えいの可能性（ケータイ Watch、2026-10-19）
- ニフティ、54万件超漏えいの可能性 光回線の申し込みシステムに不正アクセス（ITmedia NEWS、2026-10-19）
- ニフティ、不正アクセスで続報。調査により対象が絞り込まれ、最大1万8000件に（INTERNET Watch、2026-10-21）