セキュリティ専門メディア運営とBtoBマーケティング支援の
合同会社ロケットボーイズ

ニフティ株式会社は2026年10月21日、回線申込・受付管理システムへの不正アクセスについて第二報を公表し、個人情報が漏えいした可能性のある対象を最大542,513件から最大18,000件に訂正しました。10月19日の第一報から524,513件、約96.7％の減少となります。 調査により、対象サービスは当初の3サービスから「@nifty光」のみに絞り込まれました。また、漏えいの可能性がある情報からメールアドレスが除外されています。対象件数の減少は、実際に漏えいした情報が回収されたことや、不正アクセスがなかったことを意味するものではありません。 ニフティ不正アクセス・第二報のサマリー ニフティは10月19日10時20分頃、社内の回線申込・受付管理システムに対する外部からの不正アクセスを確認しました。 10月19日の第一報では、漏えいの可能性がある個人情報を最大542,513件としていました。 10月21日の第二報では、対象を最大18,000件に縮小しました。これは確定した漏えい件数や実人数ではありません。 対象は2019年以降、ニフティのWebサイト以外の経路から「@nifty光」を申し込んだ顧客の情報です。 当初対象に含まれていた「@nifty MAX光」「@nifty auひかりプラス」は対象外となりました。 対象情報は会員ID、氏名、性別、生年月日、住所、電話番号の6項目。第一報に含まれていたメールアドレスは対象外と確認されました。 銀行口座情報やクレジットカード情報は、対象システムに保存されておらず、漏えい対象に含まれません。 ニフティは不正アクセス元からの通信を遮断し、外部専門機関と連携して調査を進めています。 第一報と第二報で変わった内容 比較項目 第一報（10月19日） 第二報（10月21日） 個人情報の影響対象の上限 最大542,513件 最大18,000件 対象サービス @nifty光、@nifty MAX光、@nifty auひかりプラス @nifty光のみ 対象者 2019年以降の回線申込者（ニフティWebサイトからの申込を除く） 2019年以降の@nifty光申込者（同Webサイトからの申込を除く） 対象となる情報 会員ID、氏名、性別、生年月日、住所、電話番号、メールアドレス 会員ID、氏名、性別、生年月日、住所、電話番号 メールアドレス 漏えいの可能性がある項目に含む 対象外と確認 口座・クレジットカード情報 対象外 対象外 対象はWebサイト以外で申し込んだ「@nifty光」の顧客 今回の不正アクセスを受けたのは、利用者向けのオンライン申込フォームではなく、ニフティ側が申込情報を登録するための管理用システムです。対象者は、2019年以降に「@nifty光」をニフティのWebサイト以外の経路から申し込んだ顧客に限られます。 10月19日の第一報では3つの光回線サービスが対象に含まれていましたが、その後の調査で「@nifty MAX光」と「@nifty auひかりプラス」は対象外と判明しました。申込経路による区別は第一報にも記載されており、第二報で新たに追加された除外条件ではありません。 このため、@nifty光の利用者すべてが情報漏えいの可能性がある対象に入るわけではありません。一方、回線サービスを現在利用していない場合でも、2019年以降の申込情報が対象となり得るため、契約の有無だけで判断することはできません。 メールアドレスも対象外に 氏名・住所・電話番号など6項目は残る 第二報で漏えい対象から除かれた情報はメールアドレスです。一方、会員ID、氏名、性別、生年月日、住所、電話番号については、引き続き漏えいした可能性がある情報として示されています。 氏名、住所、電話番号、生年月日が組み合わされると、ニフティや通信事業者の担当者を装った電話・SMSなどで、本人の契約情報を知っているかのように装う材料となるおそれがあります。ただし、今回の事案でこうした不正利用が実際に起きたと公表されたわけではありません。 同社は、利用者に対し、ニフティから暗証番号、パスワード、クレジットカード情報を電話やメールなどで尋ねることはないとして、不審な連絡に注意を呼びかけています。利用者は、連絡先や契約内容を言い当てられても、それだけで相手を正規の担当者と判断せず、公式サイトに掲載された問い合わせ先から確認する必要があります。 不正アクセスを確認した10月19日に通信を遮断、詳細調査は継続 ニフティは10月19日10時20分頃に不正アクセスを確認し、当該通信元を遮断するとともに被害拡大防止の暫定対策を実施しました。同日に第一報を公表し、10月21日には調査結果に基づく対象範囲の見直しを発表しています。 現時点で最大18,000件という数字は、情報が漏えいした可能性のある対象件数の上限であり、第三者が取得したことを確認できた件数ではありません。具体的な侵入経路や、実際にどの情報が取得されたのかについては、今後の調査結果が判断材料となります。 なお、ニフティが2026年6月に公表した、KDDI提供のメールサービス基盤への不正アクセスは、今回の回線申込・受付管理システムの事案とは別件です。今回メールアドレスが対象外とされたことは、6月のメールサービス事案の漏えい事実を変更するものではありません。 今回の事案は、10月19日に公開したニフティの回線申込・受付管理システムへの不正アクセスの第一報の続報に当たります。 出典 【第二報】当社回線申込・受付管理システムへの不正アクセスの発生について - ニフティ株式会社（2026年10月21日） 【第一報】当社回線申込・受付管理システムへの不正アクセスの発生について - ニフティ株式会社（2026年10月19日）

セキュリティ専門メディア運営とBtoBマーケティング支援の
合同会社ロケットボーイズ

セキュリティ・IT領域を中心とした事業支援

セキュリティ対策Lab 最新記事

セキュリティ専門メディア 運営とBtoBマーケティング支援の 合同会社ロケットボーイズ

セキュリティ・IT領域を中心とした事業支援

セキュリティ対策Lab 最新記事

セキュリティ専門メディア運営とBtoBマーケティング支援の
合同会社ロケットボーイズ