ニフティ、個人情報漏えいの可能性を最大54万2,513件から1万8,000件に縮小対象は「@nifty光」のみ|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月22日更新日時: 2026年10月22日

ニフティ株式会社は2026年10月21日、回線申込・受付管理システムへの不正アクセスについて第二報を公表し、個人情報が漏えいした可能性のある対象を最大542,513件から最大18,000件に訂正しました。10月19日の第一報から524,513件、約96.7％の減少となります。

調査により、対象サービスは当初の3サービスから「@nifty光」のみに絞り込まれました。また、漏えいの可能性がある情報からメールアドレスが除外されています。対象件数の減少は、実際に漏えいした情報が回収されたことや、不正アクセスがなかったことを意味するものではありません。

ニフティ不正アクセス・第二報のサマリー

ニフティは10月19日10時20分頃、社内の回線申込・受付管理システムに対する外部からの不正アクセスを確認しました。
10月19日の第一報では、漏えいの可能性がある個人情報を最大542,513件としていました。
10月21日の第二報では、対象を最大18,000件に縮小しました。これは確定した漏えい件数や実人数ではありません。
対象は2019年以降、ニフティのWebサイト以外の経路から「@nifty光」を申し込んだ顧客の情報です。
当初対象に含まれていた「@nifty MAX光」「@nifty auひかりプラス」は対象外となりました。
対象情報は会員ID、氏名、性別、生年月日、住所、電話番号の6項目。第一報に含まれていたメールアドレスは対象外と確認されました。
銀行口座情報やクレジットカード情報は、対象システムに保存されておらず、漏えい対象に含まれません。
ニフティは不正アクセス元からの通信を遮断し、外部専門機関と連携して調査を進めています。

第一報と第二報で変わった内容

比較項目	第一報（10月19日）	第二報（10月21日）
個人情報の影響対象の上限	最大542,513件	最大18,000件
対象サービス	@nifty光、@nifty MAX光、@nifty auひかりプラス	@nifty光のみ
対象者	2019年以降の回線申込者（ニフティWebサイトからの申込を除く）	2019年以降の@nifty光申込者（同Webサイトからの申込を除く）
対象となる情報	会員ID、氏名、性別、生年月日、住所、電話番号、メールアドレス	会員ID、氏名、性別、生年月日、住所、電話番号
メールアドレス	漏えいの可能性がある項目に含む	対象外と確認
口座・クレジットカード情報	対象外	対象外

対象はWebサイト以外で申し込んだ「@nifty光」の顧客

今回の不正アクセスを受けたのは、利用者向けのオンライン申込フォームではなく、ニフティ側が申込情報を登録するための管理用システムです。対象者は、2019年以降に「@nifty光」をニフティのWebサイト以外の経路から申し込んだ顧客に限られます。

10月19日の第一報では3つの光回線サービスが対象に含まれていましたが、その後の調査で「@nifty MAX光」と「@nifty auひかりプラス」は対象外と判明しました。申込経路による区別は第一報にも記載されており、第二報で新たに追加された除外条件ではありません。

このため、@nifty光の利用者すべてが情報漏えいの可能性がある対象に入るわけではありません。一方、回線サービスを現在利用していない場合でも、2019年以降の申込情報が対象となり得るため、契約の有無だけで判断することはできません。

メールアドレスも対象外に　氏名・住所・電話番号など6項目は残る

第二報で漏えい対象から除かれた情報はメールアドレスです。一方、会員ID、氏名、性別、生年月日、住所、電話番号については、引き続き漏えいした可能性がある情報として示されています。

氏名、住所、電話番号、生年月日が組み合わされると、ニフティや通信事業者の担当者を装った電話・SMSなどで、本人の契約情報を知っているかのように装う材料となるおそれがあります。ただし、今回の事案でこうした不正利用が実際に起きたと公表されたわけではありません。

同社は、利用者に対し、ニフティから暗証番号、パスワード、クレジットカード情報を電話やメールなどで尋ねることはないとして、不審な連絡に注意を呼びかけています。利用者は、連絡先や契約内容を言い当てられても、それだけで相手を正規の担当者と判断せず、公式サイトに掲載された問い合わせ先から確認する必要があります。