眼科医療機器メーカー・ニデック、不正アクセス調査完了―会員約2万8,000人などが影響対象、情報流出の痕跡は確認されず|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月19日更新日時: 2026年10月19日

眼科医療機器メーカーの株式会社ニデック（NIDEK）は2026年10月16日、同年7月に公表した自社Webサイトへの不正アクセスについて、調査を完了したと発表しました。外部専門機関によるフォレンジック調査とダークウェブ調査の結果、利用者の個人情報を含む情報が外部に漏えいしたことを示す痕跡は確認されなかったとしています。

同社は8月7日の中間報告で、会員登録者約2万8,000人、問い合わせを行った人約4,500人の情報が影響を受けた可能性を公表していました。今回の最終報告は、これらの情報について「漏えいが確認された」という発表ではありません。なお、本件のニデック（NIDEK）は、モーター大手のニデック株式会社（旧日本電産）とは別会社です。

ニデックの不正アクセス調査・最終報告のサマリー

2026年10月16日、外部専門機関による一連の調査が完了したと発表しました。
フォレンジック調査とダークウェブ調査では、個人情報を含む情報の外部漏えいを示す痕跡は確認されませんでした。
同社によると、10月16日時点で本事案に起因する個人情報の漏えいおよび二次被害は確認されていません。
最初の不正アクセスは7月20日午前1時ごろ、事案を確認したのは7月24日です。
不正アクセスには、Webサイトで使用していたソフトウェアの脆弱性が悪用されました。
8月の中間報告では、会員登録者約2万8,000人と問い合わせ者約4,500人を、影響を受けた可能性がある対象として挙げていました。
同社は7月24日に該当ソフトウェアを更新し、再発防止に向けてシステムのセキュリティ強化を実施しています。

項目	確認内容
事業者	株式会社ニデック（NIDEK、眼科医療機器メーカー）
最初の不正アクセス	2026年7月20日午前1時ごろ
事案確認・第一報	2026年7月24日
中間報告	2026年8月7日
最終報告	2026年10月16日
攻撃手法	Webサイトで使用していたソフトウェアの脆弱性悪用
影響を受けた可能性のある対象	会員登録者約2万8,000人、問い合わせ者約4,500人
個人情報の外部漏えい	フォレンジック調査・ダークウェブ調査で痕跡を確認せず
二次被害	10月16日時点で確認されず
対応	該当ソフトウェアの更新、不要な過去の問い合わせデータの削除、セキュリティ強化、関係機関への報告

8月の中間報告で公表した対象情報と人数

ニデックは7月24日、自社Webサイトで第三者による不正アクセスの痕跡を確認したと発表しました。8月7日の中間報告では、不正アクセスを確認したうえで、Webサイトの会員情報と問い合わせ情報がアクセスまたは取得された可能性を完全には否定できないと説明していました。

同報告で示された対象と情報の種類は次のとおりです。

対象	影響を受けた可能性のある人数	対象情報
Webサイト会員登録者（仮登録を含む）	約28,000人	氏名（本会員のみ）、会員ID、メールアドレス、会員区分、保護されたパスワード（本会員のみ）
Webサイトから問い合わせた人	約4,500人	氏名、メールアドレス、勤務先名、所属、電話番号、郵便番号、住所、問い合わせ内容

会員のパスワードはハッシュ化して保存されていたと説明しています。また、問い合わせフォームには任意入力項目があるため、すべての対象者について表中の全項目が保存されていたわけではありません。

上記の人数は、情報漏えいが確定した人数を示すものではありません。また、2つの対象区分の重複人数は公表されていないため、単純に足し合わせた人数を被害者総数とは扱いません。

侵入の原因はWebサイトのソフトウェア脆弱性

同社の8月7日付中間報告では、Webサイトで使用していたソフトウェアの脆弱性を悪用した不正アクセスであることが判明しています。公式FAQによると、最初の不正アクセスは7月20日午前1時ごろに発生し、7月24日に事案を確認しました。

ニデックは7月24日に脆弱性が確認されたソフトウェアのセキュリティアップデートを実施し、その後、同様の不正アクセスは確認されていないと説明しています。ソフトウェアの製品名やCVE番号、具体的な脆弱性悪用の手順は公表していません。

10月16日の最終報告、漏えいを示す痕跡と二次被害を確認せず

中間報告後も続けていた外部専門機関の調査は、10月16日に完了しました。ニデックは、フォレンジック調査とダークウェブ調査のいずれでも、個人情報を含む情報が外部へ漏えいしたことを示す痕跡は確認されなかったとしています。

一方、これは不正アクセス自体が存在しなかったという意味ではありません。Webサイトへの侵入と脆弱性悪用は確認されています。また、「漏えいの痕跡が確認されなかった」ことと、「外部への取得が絶対になかったと証明された」ことも区別する必要があります。

ニデックは、不要になった過去の問い合わせデータを影響を受けたWebサイト上から削除し、関係法令に基づき個人情報保護委員会などの関係機関への報告を実施したと説明しています。問い合わせデータは調査・対応のため別途適切に管理して保管するとしています。

利用者への案内と情報システム部門が確認したい点

ニデックは公式FAQで、現時点でメールアドレスやパスワードを直ちに変更する必要がある状況は確認していないとしています。ただし、同社を装う不審なメールへの注意を呼びかけており、不審なメッセージ中のURLを開いたり、個人情報を入力したりしないよう案内しています。

今回の事案では、第三者がソフトウェアの脆弱性を悪用した事実と、調査終了時点で情報漏えいの痕跡が確認されなかったという結果が、それぞれ公表されています。Webサイトを運営する企業では、外部公開ソフトウェアの更新状況に加え、問い合わせ履歴や仮登録データの保管期間・削除運用を点検する材料となります。継続的な管理方法は、脆弱性管理の運用プロセスでも整理しています。