ナイス株式会社の管理メールアドレスに不正アクセス、約2400件の個人情報漏えいの可能性|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月12日更新日時: 2026年08月12日

ナイス株式会社は2026年8月6日、同社が管理するメールアドレス「[email protected]」に第三者による不正アクセスが発生し、当該メールアカウント内に保存されていた個人情報約2,400件が漏えいした可能性があると公表しました。

メールアカウントの不正アクセスは、単にメールアドレスが外部に知られるだけの問題ではありません。過去の問い合わせ履歴、会社名、電話番号、住所、やり取りの文脈が含まれていた場合、取引先や顧客を装ったフィッシング、なりすまし連絡、請求・契約に関する偽案内など、二次被害につながるおそれがあります。

ナイス株式会社メールアドレス不正アクセスのサマリー

ナイス株式会社は2026年7月22日、同社管理のメールアドレス「[email protected]」で不正アクセスが疑われる不審な挙動を確認しました。
漏えいした可能性がある個人情報は約2,400件で、氏名、メールアドレス、電話番号、会社名、会社住所が含まれるとされています。
同社は当該アカウントと連動する管理用パスワードの変更、外部アクセスの遮断、二次被害防止措置、個人情報保護委員会への報告を完了したと説明しています。
現時点で、ナイスグループ内の他システムに対する不正アクセスの痕跡は確認されていないとされています。
情報システム部門は、メールアカウント侵害時にパスワード変更だけで終わらせず、転送ルール、外部アプリ連携、セッション、メール本文・添付ファイルの閲覧可能性まで確認する必要があります。

整理表

項目	内容
公表日	2026年8月6日
被害企業	ナイス株式会社
対象メールアドレス	[email protected]
発覚日	2026年7月22日
事案の概要	同社が管理するメールアドレスにおいて、第三者による不正アクセスが発生し、個人情報が漏えいした可能性がある
漏えいした可能性がある件数	約2,400件
漏えい情報の内容	氏名、メールアドレス、電話番号、会社名、会社住所
クレジットカード情報・口座情報	公式リリース上では記載なし
個人情報保護委員会への報告	個人情報保護法に基づき報告完了と公表
他システムへの影響	現時点でナイスグループ内の他システムに対する不正アクセスの痕跡は確認されていない
対応状況	当該アカウントおよび連動する管理用パスワードの変更、外部アクセス遮断、二次被害防止措置、技術的調査、対象者への個別対応を予定
今後の公表	追加の事実が判明した場合は速やかに公表すると説明

何が起きたか

ナイス株式会社の発表によると、2026年7月22日、同社が管理するメールアドレス「[email protected]」において、不正アクセスが疑われる不審な挙動が確認されました。同社は直ちに当該アカウントと連動する管理用パスワードを変更し、外部からのアクセスを遮断する応急措置を講じたうえで、影響範囲を特定するための調査を開始しています。

調査の結果、当該メールアカウント内に保存されていた個人情報について、漏えいした可能性があることが確認されました。対象件数は約2,400件で、対象項目は氏名、メールアドレス、電話番号、会社名、会社住所とされています。メール本文や添付ファイルにどのような情報が含まれていたか、どの期間のメールが閲覧可能な状態だったかについては、公式リリースでは詳細が示されていません。

同社は、二次被害および他システムへの不正アクセス防止措置を実施したうえで、個人情報保護委員会への報告を完了したと説明しています。現時点では、ナイスグループ内の他システムに対する不正アクセスの痕跡は確認されていないとされています。

漏えいした可能性がある情報

漏えいした可能性がある情報は、氏名、メールアドレス、電話番号、会社名、会社住所です。これらは、クレジットカード番号や口座情報のように直ちに金銭被害へ直結する情報とは異なりますが、企業間取引や問い合わせ履歴と結びつくと、悪用の幅が広がります。

特に会社名、担当者名、メールアドレス、電話番号がそろうと、実在する取引先や担当者を装った連絡が作りやすくなります。さらに、メールボックス内に過去の問い合わせ内容や案件名が残っていた場合、攻撃者はその文脈を利用して「以前お問い合わせいただいた件です」「資料の再送です」「請求先情報の確認です」といった自然な文面を作成できます。

今回のリリースでは、漏えいの可能性がある情報として会社住所も挙げられています。住所情報は単体では見落とされがちですが、会社名や担当者名と組み合わされることで、郵送物、電話、メールを横断したなりすましや、営業・採用・不動産関連を装う連絡に使われる可能性があります。

メールアカウント侵害で問題になる点

メールアカウントの不正アクセスでは、データベース侵害と違い、漏えい範囲の特定が難しくなりがちです。メールボックスは、問い合わせ、商談、資料送付、契約前の相談、社内転送など、さまざまな情報が時系列で蓄積される場所です。どのメールを閲覧されたのか、添付ファイルが開かれたのか、検索や転送が行われたのかを、ログだけで完全に把握できない場合もあります。

もう一つの問題は、侵害されたメールアカウント自体が攻撃の踏み台になり得る点です。外部にメールが送信されていなかったとしても、攻撃者がメールボックスの内容を読んで取引関係や担当者名を把握すれば、別のメールアドレスから精巧ななりすましメールを送ることができます。逆に、侵害されたアカウントから実際にメールを送信できる状態だった場合、受信者側から見ると正規のメールアドレスから届いたように見えるため、フィッシングや添付ファイル開封の成功率が上がります。

セキュリティ対策Labでも、過去に大気社の海外グループ会社メールアカウント不正アクセスや、株式会社スペースの社員メールアカウント不正アクセスなど、メールアカウント侵害に関する事案を取り上げてきました。いずれも、メールアカウントは単なる連絡手段ではなく、認証・取引・情報共有の中心にあるため、侵害時の確認範囲を広く取る必要がある点が共通しています。

原因は現時点で未公表

ナイス株式会社のリリースでは、どのような経路で「[email protected]」に不正アクセスされたのかは明らかにされていません。一般的には、メールアカウント侵害の原因として、フィッシングによる認証情報の窃取、過去に漏えいしたパスワードの使い回し、多要素認証の未設定、管理用パスワードの共有、外部アプリ連携の悪用、端末側のマルウェア感染などが確認対象になります。

今回のリリースで分かっているのは、不審な挙動の確認後に、当該アカウントと連動する管理用パスワードが変更され、外部からのアクセス遮断が実施されたという点です。原因や侵入経路が確定していない段階では、単純なパスワード変更だけで安全になったと判断するのは危険です。

メールサービスによっては、攻撃者がログイン後に転送ルールを作成したり、外部アプリ連携を許可したり、セッションを維持したまま再ログインを試みたりすることがあります。そのため、侵害対応では、パスワード変更とあわせて、全セッションの失効、MFAの再設定、転送ルールの確認、外部連携アプリの棚卸し、送信済み・削除済みフォルダの確認、監査ログの保全まで実施する必要があります。

個人情報保護委員会への報告状況

ナイス株式会社は、個人情報保護法に基づき、個人情報保護委員会への報告を完了したと公表しています。

個人情報保護委員会は、個人データの漏えい等またはそのおそれが発生した場合の報告対象事態として、不正の目的をもって行われたおそれがある不正アクセスによる漏えい等や、本人の数が1,000人を超える漏えい等を挙げています。今回の公表件数は約2,400件であり、リリース上でも不正アクセスに起因する事案と説明されているため、同社が報告を完了したことは実務上も自然な対応といえます。

重要なのは、報告したかどうかだけでなく、対象者への個別対応、二次被害の監視、問い合わせ窓口の整備、追加調査で判明した内容の更新です。メールアカウント侵害では、調査が進むにつれて閲覧可能だったメール範囲や対象者数が変わることもあるため、追加公表の有無も継続して確認する必要があります。

想定される二次被害

今回の事案で公表された情報には、氏名、メールアドレス、電話番号、会社名、会社住所が含まれています。この組み合わせは、企業担当者を狙った標的型メールや電話でのなりすましに使われやすい情報です。

想定される二次被害としては、ナイス株式会社や関連サービスを装ったフィッシングメール、問い合わせ履歴を装う不審な連絡、偽の資料送付、請求書や振込先変更を装うビジネスメール詐欺、電話による本人確認を装った情報取得などがあります。特に、メール本文の文脈が攻撃者に把握されていた場合、一般的なばらまき型フィッシングよりも自然な文面で届く可能性があります。

対象者側は、ナイス株式会社や「e-house.co.jp」に関連する連絡であっても、添付ファイルの開封、リンク先での認証情報入力、請求先や振込先の変更、個人情報の再入力を求められた場合には、メールへの返信ではなく、公式サイトや既知の電話番号など別経路で確認することが重要です。

類似事例から見える共通点

メールアカウントやメールシステムへの不正アクセス事案では、被害件数や原因は異なっても、共通する問題があります。一つは、メールボックスが長期間の情報保管場所として使われていることです。問い合わせ対応のためにメールを残し続ける運用は便利ですが、侵害時には過去の情報がまとめて閲覧されるリスクになります。

過去には、ゼットンの旧メールシステムへの不正アクセスで、過去に使用していたメールシステムのアカウントが問題になった事例もあります。現在使っていないメールアカウントや旧システムであっても、メールが残っていれば情報資産であり、攻撃者から見れば十分な価値があります。

また、石川コンピュータ・センターのメールサーバ関連事案のように、メール本文だけでなく添付ファイルや送信先情報が問題になるケースもあります。メールは顧客管理システムやファイルサーバほど明確に管理されないことがありますが、実態としては顧客情報、取引情報、社内情報が混在する重要な保管領域です。

情報システム部門への示唆

情報システム部門が今回の事案から確認すべき点は、メールアカウントを「単なるメール送受信の入口」と見ないことです。問い合わせ窓口用の代表メールアドレスは、多くの場合、複数人で利用され、長期間の履歴が残り、外部との接点も多くなります。便利な反面、認証情報の共有、退職者・異動者の権限残り、MFA未設定、監査ログ不足が起きやすい領域です。

実務上は、代表メールアカウントや共有メールボックスについて、個人単位の権限付与、MFAの強制、共有パスワードの廃止、ログ保全期間の確認、転送ルールの定期点検、外部アプリ連携の制限を優先して見直すべきです。問い合わせ対応に使うメールであれば、古いメールを無期限に残すのではなく、保存期間やアーカイブ方針も定める必要があります。

不正アクセスが疑われた場合の初動手順も事前に決めておくべきです。対象アカウントのパスワード変更、セッション失効、MFA再設定、転送ルールと外部連携の確認、送信済みメールの確認、監査ログ保全、端末調査、関係者への注意喚起、個人情報保護委員会への報告要否判断までを、チェックリスト化しておくと対応の抜け漏れを減らせます。

二次被害対策では、対象者に対し、メール、電話、郵送物を横断したなりすましに注意するよう案内することが重要です。特に、企業間取引では「担当者名を知っている」「過去の問い合わせ内容を知っている」だけで信頼されやすくなります。振込先変更、請求書再送、契約情報確認、添付ファイル確認を求める連絡については、別経路で確認する運用を徹底する必要があります。