申込フォームではなく、社内の管理ツールが狙われた

• 対象は最大542,513件、2019年以降の申込者
• 狙われたのは社内で情報を登録するための管理用ツール
• 確認から遮断まで、把握後ただちに

ニフティが10月19日、回線の申込・受付管理システムへの不正アクセスを公表した。

公式が最初に断っている部分が、この件の性質をよく表している。

利用者が触る画面ではない

なお、本システムは当社側で情報登録をするための管理用ツールであり、お客様が直接アクセスして申し込むWebサイト（申込フォーム等）とは異なるシステムです。

つまり表から見える申込画面が破られたのではない。裏側の、社内の人が使うツールが対象になる。

管理用ツールは守りが薄くなりやすい

理由はいくつかある。

• 使う人が限られているので、点検の優先順位が下がる
• 社内から使う前提で作られていることがある
• 表の画面ほど注目されない

一方で持っている情報は、表の画面より多いことが珍しくない。申込の内容がまとめて見える場所になるからだ。

この構図は今月すでに出ていた。ACCESSの件は取引先1社にだけ提供していたツールが起点だったし、スカイマークの件は管理画面のアクセス制限が足りていなかった。

本体を固めても、脇から入られるという形が繰り返されている。

公表されている内容

注記として、これは漏えいした可能性のある全項目であり、実際に漏れた情報は調査中とされている。

「Webサイトを除く」の意味

対象者の条件に「当社Webサイトをのぞく」と書かれている。

つまり自分で公式サイトから申し込んだ人は、対象ではないと読める。代理店や店頭など、別の経路で申し込み、社内の人が代わりに登録した分が対象になる。

申し込んだ本人から見ると、どの経路だったか覚えていないことも多い。ここは個別の案内を待つしかない。

偽物の見分け方が明記されている

公式の注意喚起が具体的だったので引いておく。

本件に関して、当社からお客様個別に電子メールやお電話等でご連絡し、暗証番号やパスワード、クレジットカード情報等をお尋ねすることはございません。

聞かれた時点で偽物という判定になる。今月の各社と同じ形で、この一文があるかどうかは発表を読むときの目印になる。

同じ日に、もう1件

同日、東邦ホールディングスも子会社への不正アクセスにより、医療従事者の個人情報が漏えいしたと公表している。件数や詳細は調査中とされ、現時点で公表された数値は無い。

情報が少ないため単独では扱わないが、医療に関わる人の情報という点は書いておきたい。所属先が分かる情報は、職業を名指しした連絡の材料になりうる。

利用者がすること

1. 個別の案内を待つ。対象かどうかは、こちらからは判断しにくい
2. 口座やカードの情報は対象外。カードを止める必要はない
3. 暗証番号やパスワードを聞く連絡は、すべて偽物
4. 使い回しがあるなら、この件と関係なく直す

4番目は今日のリスト型攻撃の記事に繋がる。今月漏れた組み合わせが、実際に使われ始めている。

まとめ

• 対象は最大542,513件。2019年以降の申込者
• 狙われたのは申込フォームではなく、社内の管理用ツール
• 使う人が少ない仕組みほど、点検が後回しになりやすい
• 項目は会員ID・氏名・性別・生年月日・住所・電話番号・メールアドレス
• 口座とカード情報は保有しておらず対象外
• 確認は10月19日10時20分頃。把握後ただちに遮断
• 暗証番号やパスワードを聞く連絡は偽物と明記されている

出典

• ニフティ株式会社「【第一報】当社回線申込・受付管理システムへの不正アクセスの発生について」（2026年10月19日）（発生の経緯、対象件数と項目、対象サービス、同社の対応、注意喚起、問い合わせ先）
• 東邦ホールディングスの件については、時事通信（2026年10月19日配信）の報道による

本記事は2026年10月19日時点で公表されている第一報に基づく。実際に漏えいした情報は調査中とされている。本記事は法的な助言ではない。