NTTスマイルエナジー「エコめがね」 ― 不正アクセスでサービス全面停止

要点

発表された事実

NTTスマイルエナジーは2026年10月30日、太陽光発電遠隔監視サービス「エコめがね」のWebサーバーで外部からの不正アクセスの形跡を確認し、サーバー通信の完全遮断とデータベースサーバーの緊急停止をしたと公表した（NTTスマイルエナジー 10月30日の発表）。
その後の調査で、顧客情報を管理するデータベースサーバーにも攻撃の形跡があり、顧客情報が社外へ漏えいした可能性があると判断した（同）。
対象は、施主・パートナー企業の氏名・企業名、住所、電話番号、メールアドレスと、サービスログイン用のIDおよびパスワード。件数は精査中（同）。
侵入経路と技術的な原因は特定できていない（同）。
太陽光発電設備の発電・売電は止まらないが、異常・停止を知らせるアラートメールが届かず、新規設置の開通登録も見合わせている。再開時期は未定（同）。

わかったこと

【2026-11-06追記】同社は11月6日の2報で、調査の過程でポイント還元サービス『スマイルeポイント』において、第三者によるデジタルギフトコードの不正な大量交換が実行されたと公表した。システム内の「管理番号」「交換用URL」「ポイント数」等が不正に読み取られた形跡があり、それを用いて換金等を目的とした大量交換が行われた（NTTスマイルエナジー 2報）。
【2026-11-06追記】不正交換と判断した件数は合計約14,000件（800万ポイント分）。内訳は10月30日約1,500件（100万ポイント）、10月31日約12,500件（700万ポイント）。不正に閲覧された可能性のある件数の参考として、10月28日0時時点の未交換総数は約29,000件（同）。
【2026-11-06追記】今回読み取られたのはポイント交換に関するデータであり、現時点で氏名・住所・連絡先等の個人情報が外部へ漏えいした事実は確認されていない。フォレンジック調査とログ解析は継続中（同）。
【2026-11-06追記】10月31日に提携会社が異常な交換の急増を検知してポイント交換を緊急停止。11月4日に提携会社から不正交換の件数・ポイント数の回答を受領。10月28日時点でスマイルeポイントを所有していた顧客を対象に全額補償する方針で、手続きは個別メール等で案内する。オムロンポイントには不正アクセス事案は発生していない。個人情報保護委員会への速報は実施済みで、警察への被害申告も進めるとしている（同）。

わかっていないこと

侵入経路と原因
エコめがね側で漏えいした可能性のある件数（【2026-11-06追記】2報時点では氏名・住所・連絡先等の個人情報の外部漏えいは未確認。10月30日発表のログインID・パスワードを含む顧客情報の扱いの最終確定は調査継続中）
ログイン用パスワードがどのような形で保存されていたか（平文か、ハッシュ化などをしていたか）
サービス再開の時期と順番（エコめがね／スマイルeポイント）
スマイルeポイントの補償手続きの詳細と専用窓口の開設日

関係しそうな既知の手口

インターネットに公開されたWebアプリケーションの既知の脆弱性や管理不備を探索して悪用する手口。JPCERT/CCが国内で相次ぐ被害について注意喚起している（考察。本件の原因とは確認されていない）。

概要

太陽光発電所の発電状況を遠隔で見守る「エコめがね」のWebサーバーが不正アクセスを受けた。
同社はクラウド上の全サーバーの通信を遮断し、サービスは全面停止中。
顧客の連絡先に加えて、ログインIDとパスワードも漏えいした可能性がある。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2026-10-28（水）20:20	エコめがねのWebサーバーで不審なアクセスの形跡を検知（10月30日の発表）
10-28 22:30	Webサイトのサービス画面を緊急停止（同）
10-29（木）0:10	公式サイトに第一報（緊急メンテナンスのお知らせ）を掲載（同、第一報）
10-29 2:50	クラウド環境のすべてのサーバーの通信を遮断し、データベースサーバーを緊急停止（10月30日の発表）
10-30（金）	データベースサーバーへの攻撃の形跡と、顧客情報漏えいの可能性を公表（同）
10-30〜10-31	スマイルeポイントの不正交換（約1,500件＋約12,500件）。10月31日に提携会社が交換を緊急停止（【2026-11-06追記】2報）
11-04（水）	提携会社から不正交換の件数・ポイント数の回答を受領（同）
11-06（金）	2報を公表。スマイルeポイントの不正交換約14,000件（800万ポイント）と全額補償方針。個人情報の外部漏えいは現時点で未確認（同）

発表内容の整理

事実（NTTスマイルエナジーの10月30日の発表による）

項目	内容
被害を受けたもの	エコめがねのWebサーバー、顧客情報を管理するデータベースサーバー（攻撃の形跡）
漏えいの可能性がある情報	施主・パートナー企業の氏名／企業名、住所、電話番号、メールアドレス、サービスログイン用のIDとパスワード
件数	精査中
原因	侵入経路・技術的原因は特定に至っていない。外部専門機関と調査中
現在の状態	全システムと外部通信を遮断。利用者はログインもパスワード変更もできない
発電設備への影響	発電・売電は継続。異常検知時のアラートメールは配信されない。新規設置の開通登録・設定は見合わせ
再開	時期未定。安全を確認できたサービスから順次再開する方針
問い合わせ	事業企画部 info@nttse.com

事実（NTTスマイルエナジーの11月6日の2報による）

項目	内容
新たに判明した被害	『スマイルeポイント』で管理番号・交換用URL・ポイント数等が不正に読み取られ、デジタルギフトコードが大量に不正交換された
実被害	約14,000件（800万ポイント分）。10/30約1,500件、10/31約12,500件
影響範囲の参考	10/28 0時時点の未交換総数約29,000件
個人情報	ポイント交換データのみ。氏名・住所・連絡先等の外部漏えいは現時点で未確認
補償	10/28時点でスマイルeポイントを所有していた顧客へ全額補償（手続きは個別案内）
対象の多く	OSS社製蓄電システム購入者で「みんなでつくるエコ活サークル」加入者。オムロンポイントは対象外
通報	個人情報保護委員会へ速報済み。警察への被害申告を進める
問い合わせ	スマイルeポイント専用フォーム

考察

漏えいの可能性がある項目に「ログイン用のパスワード」が明記されているため、エコめがねと同じパスワードを別のサービスで使っている人は、そちらを先に変える必要がある。エコめがね自体は止まっていてパスワード変更ができないため、再開時に強制変更などの手順が示されるかが焦点になる（考察）。

発電所の監視サービスが止まると、パワーコンディショナーの停止などに所有者が気づきにくくなる。データの漏えいとは別に、停止が長引くほど売電の取りこぼしという形で影響が出る可能性がある（考察）。

関係しそうな既知の手口

事実（既知の知見）

JPCERT/CCは、国内組織への不正アクセスでは標的ごとにさまざまな既知の脆弱性をスキャンして悪用を試みたり、環境設定ファイルやバックアップファイルを盗んだりする手口が確認されているとして注意を呼びかけている（JPCERT/CC 注意喚起）。

考察

エコめがねの侵入経路は公表されておらず、この注意喚起の手口に当たるかはわからない。ただ、Webサーバーで最初に検知し、のちにデータベースサーバーにも攻撃の形跡が見つかった流れは、公開サーバーを足がかりに内部へ広げる典型的な経過と重なる（考察）。

利用者・運用者がいまできること

エコめがねのIDとパスワードを他のサービスでも使っている場合は、そちらのパスワードを変更する。
同社や関係企業を装ったメール・SMS・電話に注意する。同社はメールやSMSでクレジットカード情報、銀行口座番号、パスワードの入力を求めることはないとしている。
アラートメールが止まっているため、発電所の所有者・保守事業者は、パワーコンディショナーの表示や売電量を現地や別の手段で確認する（考察）。
スマイルeポイントを持っていた人は、同社からの補償案内メールを待つ。専用フォーム（form.run）でも問い合わせできる。オムロンポイントは本件の対象外と説明されている。

参考リンク

原文をGitHubで読む ↗