マイニチガス85件の情報漏えい、漏れた氏名と一部伏字の電話番号で何をされるのかまとめました

2026年10月23日、日本瓦斯株式会社（ニチガス）は、同社が運営するお客さま向けアプリ・Webサービス「マイニチガス」の新規会員登録システムが第三者の不正アクセスを受け、85件のお客さま情報が外部に漏えいしたことが判明したと公表しました[1]。漏えいしたのは、81件が氏名と一部が伏字にされた電話番号、4件が姓と一部が伏字にされた電話番号です。クレジットカード情報、銀行口座情報、「マイニチガス」のログイン用パスワードなどは含まれていないとしています[1]。

件数は多くなく、電話番号も一部が伏せられています。それでも、これで安心とは言い切れません。

「自分の名前と電話番号の一部で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、サービスの中で狙われやすい場所を、公開情報から整理しました。事故の経緯は報道でも扱われているため、短くとどめます。

この記事の要点

• 名前と電話番号の一部が分かっているため、「ニチガス」を名乗るSMSや電話が、本物らしく見えやすくなります。
• 届いたSMSのURLをすぐに開かず、アプリを自分で開いて確かめるのが安全です。
• 会社側がまず見直したいのは、今回狙われた新規会員登録の流れと、電話番号や支払い方法を変える場面の確かめ方です。

なお、本記事は公表文や公式サイト、アプリストアの説明など、公開情報だけをもとにしています。ログイン画面や登録画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1]によると、概要は次のとおりです。

同社は、対象のお客さまに個別に連絡するとし、現時点でお客さまにお願いする特別な手続きはないとしています[1]。

漏れた情報で、何ができてしまうか

今回の特徴は、漏れたのが「名前」と「電話番号の一部」という、本人に連絡するための手がかりだという点です。電話番号は一部が伏せられているため、それだけで連絡先が分かるとは限りません。ただし、他から入手した情報と組み合わされると、手がかりとして働く可能性があります。

特に気をつけたいのはSMSです。ニチガス自身が、決済に関する案内にSMSを使っており、本文にURLを載せて送ると案内しています[4]。送り主を偽ったSMSが、本物と同じ画面（スレッド）に並んで表示される手口も知られています[6]。同社は、不審に感じたらSMS内のURLにはアクセスせず、窓口に問い合わせるよう呼びかけています[4]。

このサービスで認証が使われる場所

公式サイトとアプリストアの説明で確認できた機能から、認証が関わる場所を並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文の対策は、海外IPアドレス等からのアクセスの遮断、APIの改修、監視体制の強化です[1]。認証の方式を見直すという記載は、公表文にはありません。そのうえで、次の順で見直すことが考えられます。

1. 新規会員登録の入口で、「番号を入れると何が返ってくるか」を見直す。公表文は手口を詳しく書いていませんが、狙われたのは登録の仕組みで、連続的なアクセスが行われたとしています[1]。お客様番号のような「知っている」情報を入れた段階で、本人の情報の一部が返る形になっていないか。返す情報を絞り、短時間の連続した試行を止める仕組みを確かめておきたいところです。
2. 電話番号と支払い方法の変更に、変更の直前の本人確認を足す。ここを通られると、その後の確認の届け先やお金の流れが他人に移ります。
3. 案内SMSの見分け方を、利用者に改めて伝える。同社は送信元の番号と本文の例をすでに公開しています[4]。漏えいの対象者だけでなく利用者全体に向けて、「URLから入らず、アプリから確かめる」を繰り返し伝えることが考えられます。

認証の観点から：「番号を知っている」と「その電話を持っている」は違う

マイニチガスの登録は、検針票のお客様番号という「知っている」情報に、登録済みの電話に届く確認用の番号という「持っている」確認を組み合わせています[2]。電話を使った確認を入口に置いている点は、大事な一歩です。

今回漏れたのは、名前と電話番号の一部でした。電話番号を「知っていること」と、その電話番号の回線を実際に「持っていること」は別物です。前者は漏れることがありますが、後者は情報が漏れても変わりません。

一方で、米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[7]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今の登録やログインを壊さずに「持っているか」の確かめ方を見直す方法については、お気軽にご相談ください。

お問い合わせはこちら