2026年10月19日、ニフティ株式会社は、同社の回線申込・受付管理システムに外部からの不正なアクセスがあったと公表しました[1]。10月21日の第二報では、影響を受けた可能性のあるデータは最大18,000件と判明したとし、対象は＠nifty光の申込者で、項目は会員ID・氏名・性別・生年月日・住所・電話番号とされています[7]。第一報で挙げていたメールアドレスと、＠nifty MAX光・＠nifty auひかりプラスは対象でないことを確認したとしています[7]。パスワードや口座、クレジットカードの情報は、このシステムに保有しておらず対象に含まれないとしています[7]。
カード情報が含まれないので安心とは言い切れません。会員IDと電話番号、生年月日がそろうと、本人を名乗るための材料がそろってしまうからです。
「自分の情報が漏れていたら、何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた可能性のある情報が悪用されうる場面と、認証が関わる場所を公開情報から整理しました。事故の経緯は報道が扱っているため、短くとどめます。
この記事の要点
- 対象は、2019年以降に＠nifty光を、同社のWebサイト以外から申し込んだ人です。第二報でも「影響を受けた可能性」の段階で、調査は続いています。
- 会員IDと氏名・電話番号がそろっているため、ニフティを名乗る偽のSMSや電話が届いた時に、本物らしく見えやすくなります。
- 会社側がまず見直したいのは、管理用ツールへのログインと、パスワード再設定や窓口での本人確認に使う項目です。
なお、本記事は公表文や公式サイトの公開情報だけをもとにしています。ログイン画面は試しておらず、確認できなかった点は「確認できず」と書いています。
何が起きたか（要約）
公表文（第一報[1]・第二報[7]）によると、概要は次のとおりです。
| 項目 | 内容 |
|---|---|
| 確認 | 2026年10月19日10時20分頃、外部からの不正アクセスを確認。直ちに通信元からのアクセスを遮断 |
| 対象のシステム | 回線申込・受付管理システム（同社側で情報を登録するための管理用ツール。利用者が直接申し込むWebサイトとは別） |
| 件数 | 最大18,000件（第二報。第一報では最大542,513件） |
| 対象となる人 | 2019年以降に回線を申し込んだ人（同社Webサイトからの申込はのぞく） |
| 対象サービス | ＠nifty光（第二報で、＠nifty MAX光・＠nifty auひかりプラスは対象でないと確認） |
| 影響を受けた可能性のある項目 | 会員ID、氏名、性別、生年月日、住所、電話番号（第二報で、メールアドレスは漏えい対象でないと確認） |
| 含まれないもの | パスワード、銀行口座、クレジットカード情報 |
| 原因・経路 | 記載なし（外部の専門機関の協力のもと調査を継続） |
ここで大事なのは、第一報が「漏えいした可能性のある情報の全項目」を挙げ[1]、第二報でそれが絞り込まれたという点です。第二報も「影響を受けた可能性」という書き方で、調査は続いています[7]。ご自分が対象かどうかは、申込の時期と経路（同社Webサイトか、それ以外か）で確かめることになります。
漏れた可能性のある情報で、何ができてしまうか
| 漏れた可能性のある情報 | 使い道（一般的に考えられるもの） |
|---|---|
| 会員ID | 会員IDがログインに使うIDと同じものなら、ログインの入口に入力する値がわかる。他のサービスで漏れたパスワードと組み合わせて試す「パスワードリスト攻撃」の材料になりうる |
| 氏名＋電話番号＋契約しているサービス名 | 「＠nifty光のご契約について」など、本物の契約に沿った偽のSMSや電話を作りやすくなる |
| 生年月日＋住所＋電話番号 | 本人確認の質問に答えるための材料になる。窓口やパスワード再設定で、これらの一致だけで本人と見なす運用なら、なりすましに使われる可能性がある |
| 性別・生年月日 | 年代に合わせた文面で、だましの連絡の「もっともらしさ」を上げる材料になる |
ニフティも公表文で、同社や関係者を装った不審なメール・電話・SMSに注意し、記載されたURLへのアクセスや個人情報の入力をしないよう呼びかけています[1][7]。第二報では、同社から暗証番号やパスワード、クレジットカード情報を尋ねることはないとも書いています[7]。
SMSについては、送信元の名前を偽装したメッセージが、本物の事業者から届いたSMSと同じ画面に並んで表示されることがあると、携帯電話会社が注意を呼びかけています[2]。電話番号が漏れた可能性がある時は、「いつもの送り主から届いたから本物」とは判断しないことが大切です。
知っていることだけで本人と見なす仕組みは、その情報が漏れた時点で弱くなります。今回の項目は、まさに「知っていれば本人らしく見える情報」が並んでいます。
このサービスで認証が使われる場所
公表文と公式サイトで確認できた範囲を並べました。
| 場所 | 今の方式（公開情報で確認できた範囲） | 対象の情報との関係 | 狙われやすさ |
|---|---|---|---|
| 回線申込・受付管理システム（社内の管理用ツール） | 公表文に方式の記載なし[1] | 今回の不正アクセスの対象。誰がどう入ったかは調査中 | 高 |
| @nifty のログイン（会員サポート・各種お手続き） | 通常のパスワードの代わりに、一度きりの認証コードを使う「ワンタイムパスワード認証」があり、認証コードは登録したメールアドレスまたは電話番号で受け取るとされています[3]。誰に適用されるか（利用者が選ぶ設定か）は確認できず | 会員IDが対象（メールアドレスは第二報で対象外[7]）。パスワードだけでログインする場合は、パスワードが最後の守りになる | 高 |
| ログインパスワードの再設定 | 公式ページに再設定の入口があります[4]。入力を求められる項目は確認できず | 生年月日・電話番号・住所などが対象。再設定の確認にこれらを使う場合は影響が大きい | 要確認 |
| ニフティポイントクラブのポイント交換 | ギフトコードや他社ポイントへの交換はSMS認証で本人確認を行うとされています。@niftyの接続サービスを利用中で、IDの連携を済ませた会員は、一部の交換先で携帯電話番号による認証が省略されるとされています[5] | 電話番号が対象。SMSの受け取りは端末側にあるが、偽のSMSで認証コードを聞き出す手口には注意が要る | 中 |
| 電話・メールの問い合わせ窓口 | 本人確認の方法は確認できず | 氏名・生年月日・住所・電話番号が対象。「もしこれらが合えば本人と見なす運用なら」、なりすましの入口になりうる | 要確認 |
※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。
ワンタイムパスワード認証の認証コードは、メールか電話番号で受け取る方式とされています[3]。米国NISTのガイドラインは、SMSなど電話網を使う確認方法を『制限付き（restricted）』の手段と位置づけています。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています[6]。
会社がまず見直すとよい所（優先順）
公表文では、再発防止策として、第一報で「システムのセキュリティ対策および監視体制の強化」[1]、第二報で「セキュリティ体制の強化および再発防止策の徹底」[7]が挙げられています。一方で、認証の強化や多要素認証についての記載はありません[1][7]。認証の観点からは、次の順で見直すことが考えられます。
- 管理用ツールへのログインに、パスワード以外の確認をもう一つ足す。今回の対象は社内の管理用ツールであり、そこに入れる人と入り方を最優先で守ることになります。
- パスワード再設定と窓口の本人確認から、今回の対象項目を外す。氏名・生年月日・電話番号・住所が合えば本人と見なす扱いになっていないかを点検します。
- ワンタイムパスワード認証の使い方を、対象の人に案内する。あわせて「当社から認証コードを聞くことはない」と繰り返し伝え、偽のSMSやメールに備えます。
認証の観点から：「知っている」ではなく「持っている」
会員IDや生年月日、電話番号は、一度漏れると取り戻せません。そのため、認証の土台を「知っているか」から「その人が持っているか」へ移すことが、漏えいの後にこそ効いてきます。ここで言う「持っている」は、本人だけが使える端末や回線のことです。情報を知っている人が増えても、その端末や回線を持っている人は増えません。
当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。
一度漏れた情報は元に戻せないため、確認の仕組みの側を先に固めることが、会社にとっての近道になります。
出典
- ニフティ株式会社 プレスリリース「【第一報】当社回線申込・受付管理システムへの不正アクセスの発生について」（2026年10月19日）https://www.nifty.co.jp/newsrelease/nifty202610195434.htm （2026年10月21日取得）
- ソフトバンク 送信元が偽装されたSMSに関するご注意（2020年3月4日掲載、2020年12月3日更新）https://www.softbank.jp/mobile/info/personal/news/support/20200304a/ （2026年10月21日取得）
- @nifty ログインヘルプ「ワンタイムパスワード認証とは」https://sso.nifty.com/qa/otp/index.htm （2026年10月21日取得）
- @nifty 会員サポート「パスワード / IDを忘れたら」https://support.nifty.com/support/member/idpass/ （2026年10月21日取得）
- ニフティポイントクラブ よくある質問「SMS認証とは：ポイント交換」https://lifemedia.jp/questions/27 （2026年10月21日取得）
- NIST SP 800-63B Rev.4（2025年8月）§3.1.3.3 https://pages.nist.gov/800-63-4/sp800-63b.html
- ニフティ株式会社 プレスリリース「【第二報】当社回線申込・受付管理システムへの不正アクセスの発生について」（2026年10月21日）https://www.nifty.co.jp/newsrelease/nifty202610215453.htm （2026年10月21日取得）
