FIRST REPORT第一報の時系列
10時20分頃は確認した時刻。侵入の始まりは未公表
-
2019〜
対象の申込の期間が始まる
Web サイト以外からの @nifty光など3サービスの申込
-
10/19
10:20頃に確認・遮断、同日に第一報
最大542,513件に漏えいの可能性
-
未公表
手口・開始時期・実際の件数
外部の専門機関と調査、個人情報保護委員会へ報告
30秒でわかる（2026年10月20日時点・第一報の範囲）
・何が起きたか：ニフティ 不正アクセスの第一報によると、2026年10月19日10時20分頃に回線申込・受付管理システムへの外部からの不正アクセスを確認し、その通信元からのアクセスを遮断した
・対象：2019年以降に、ニフティの Web サイト以外から「@nifty光」「@nifty MAX光」「@nifty auひかりプラス」を申し込んだ人の申込情報。最大542,513件に漏えいの可能性がある
・項目：会員ID・氏名・性別・生年月日・住所・電話番号・メールアドレス。口座とクレジットカードの情報はこのシステムに無く、対象外
・分かっていないこと：侵入の手口、いつから入られていたか、実際に持ち出された件数。ニフティは外部の専門機関と詳しく調べている
まずやること
・@nifty光などの利用者：2019年以降に、Web サイトで自分で入力せずに申し込んだか（電話・店頭など）を思い出す。ニフティを名乗る電話・メール・SMS で暗証番号・パスワード・カード番号を聞かれても答えない。ニフティは本件でこれらを尋ねないとしている
・対象か分からない人：届いた連絡のリンクや番号は使わず、自分で開いたニフティの公式サイトから第一報と問い合わせ窓口を確かめる
・社内に管理用ツールを持つ開発・情シス：そのツールが社外から開けるかを、確認コマンドで確かめる
社内の仕組みや取引先が入口になる攻撃の全体像は、サプライチェーン攻撃とは｜手口・防御ツール比較・npm 12の新機構まで実践解説にまとめています。本記事は、この件で自分が対象かどうかと、同じ形の管理用ツールを持つ側が確かめることに絞ります。
ニフティ 不正アクセスの時系列（第一報の範囲）
時刻は日本時間です。第一報の公表時刻は、確かめた資料に書かれていません。
| 日時 | 出来事 | 出典 |
|---|---|---|
| 2019年〜 | 漏えいの可能性がある申込情報の期間の始まり（2019年以降、Web サイト以外からの申込） | 第一報 |
| 2026-10-19（月）10:20頃 | 回線申込・受付管理システムへの外部からの不正アクセスを確認。直ちに当該の通信元からのアクセスを遮断 | 第一報 |
| 2026-10-19 | 第一報を公表。最大542,513件に漏えいの可能性 | 第一報 |
| 今後 | 外部の専門機関と連携した詳細調査と、個人情報保護委員会への報告手続き。新たな事実が分かれば改めて告知 | 第一報 |
| 2026-10-20 | 本記事の確認時点。侵入の手口・開始時期・原因・実際に持ち出された件数は公表されていない | — |
10時20分頃は不正アクセスを「確認した」時刻で、侵入が始まった時刻ではありません。いつから入られていたかは、第一報に書かれていません。
何が起きたか：申込フォームではなく、社内の管理用ツールが狙われた
NOT THE SIGN-UP FORM狙われた場所
入口は申込フォームではなく社内の管理用ツール
申込フォーム（Web サイト）
お客様が直接アクセスして申し込む
- 今回のシステムとは別（第一報）
- ここからの申込は対象に挙がっていない
回線申込・受付管理システム
当社側で情報登録をするための管理用ツール
- 2019年以降の Web 以外の申込が対象
- 最大542,513件・7項目
- 口座・カード情報は保有せず
第一報は、対象の回線申込・受付管理システムを「当社側で情報登録をするための管理用ツール」と説明し、「お客様が直接アクセスして申し込むWebサイト（申込フォーム等）とは異なるシステム」としています。漏えいの可能性がある申込情報が「Web サイト以外から申し込んだ分」に限られているのは、この違いと一致します。電話や店頭などで受けた申込を、ニフティ側がこのツールに登録していたと本記事は読んでいますが、申込の経路ごとの扱いを第一報は列挙していません。
第一報から言えること、言えないこと
| 項目 | 第一報で言えること | 公表されていないこと |
|---|---|---|
| 入口 | 回線申込・受付管理システム（社内の管理用ツール） | 認証情報が盗まれたのか、脆弱性を突かれたのかなどの手口 |
| 時期 | 10/19 10:20頃に確認し、通信元を遮断 | 侵入が始まった時期と、入られていた期間 |
| 件数 | 最大542,513件に漏えいの可能性 | 実際に持ち出された件数 |
| 項目 | 会員ID・氏名・性別・生年月日・住所・電話番号・メールアドレス | — |
| 対象外 | 口座・クレジットカードの情報（システムに保有していない） | — |
| 関わった者 | — | 委託先や販売代理店が関わったかどうか |
| 届く範囲 | — | このツールがインターネットから直接開ける構成だったか |
本記事は、原因を推測で埋めません。後半の対策は社内の管理用ツール一般の守り方で、この件の原因の説明ではありません。
6月の @nifty メールの件とは別の事案
「ニフティ 漏洩」「nifty 情報漏洩」で調べると、2026年6月23日に第一報、7月6日に第二報が出た @nifty メールサービスへの不正アクセスも出てきます。こちらは KDDI が ISP 向けに提供していたメールシステムへの不正アクセスです（経緯はKDDI情報漏洩とは｜ISPメールのパスワード761万人分が平文、対象の見分け方・原因と利用者がやること）。
| 2026年6月の件 | 今回（10月19日） | |
|---|---|---|
| 入口 | KDDI の ISP 向けメールシステム | ニフティの回線申込・受付管理システム |
| 対象の情報 | @nifty メールのアドレスとパスワード | 回線の申込情報（会員ID・氏名・住所など7項目） |
| 告知 | support.nifty.com の第一報・第二報 | nifty.co.jp の第一報 |
本記事は、二つの件を結びつける情報を確認していません。
ニフティ 不正アクセスの対策：利用者が確かめることと、二次被害への備え
自分が対象かの見分け方
第一報の条件は3つです。
・時期：2019年以降に申し込んだ
・サービス：@nifty光・@nifty MAX光・@nifty auひかりプラスのどれか
・経路：ニフティの Web サイト（申込フォーム）以外から申し込んだ。電話・店頭・訪問・代理店での申込はこれに当たりうるが、経路ごとの扱いは第一報に列挙されていない
3つとも当てはまれば、対象に入っている可能性があります。分からなければ、ニフティの問い合わせ窓口で確かめます。窓口の番号は、届いたメールや SMS からではなく、自分で開いた第一報や公式サイトのページから取ります。
漏れた項目ごとに起きうること
WHAT FOLLOWS項目ごとの備え
本人の情報を言い当てる連絡ほど疑う
漏れた可能性がある項目
気をつけること
漏れた可能性がある項目: 氏名・住所・電話番号・生年月日
気をつけること: 本人確認を装う電話。かけ直すのは公式の窓口
漏れた可能性がある項目: メールアドレス
気をつけること: お詫び・返金を装うメールと SMS。リンクは開かない
漏れた可能性がある項目: 会員ID
気をつけること: ログインの試行の材料。パスワードを使い回さない
漏れた可能性がある項目: 口座・カード（対象外）
気をつけること: カード番号を聞く連絡は詐欺を疑う
| 項目 | 起きうること（一般論） | 備え |
|---|---|---|
| 氏名・住所・電話番号・生年月日 | 「ニフティです。ご契約の確認で」と本人の情報を言い当てる電話や郵便。言い当てられると本物らしく見える | 一度切って、公式サイトで調べた窓口にかけ直す |
| メールアドレス | お詫び・返金・パスワード再設定を装うメールや SMS | リンクを開かず、公式サイトを自分で開く |
| 会員ID | ログイン画面での試行の材料。他で漏れたパスワードと組み合わされうる | @nifty のパスワードを他のサービスと使い回していれば変える |
| 口座・クレジットカード | 第一報では対象外 | カード番号や暗証番号を聞く連絡は、この件を口実にした詐欺を疑う |
漏えいの可能性がある項目に、パスワードは挙がっていません。それでも会員IDが知られると、他のサービスから漏れたパスワードを試すリスト型攻撃の的になりえます。仕組みはリスト型攻撃の対策｜他社で漏れたパスワードで自社が破られる仕組みと、パスワード漏洩確認の実装・ログでの検知で扱っています。
本物の連絡かを確かめる手順
- 届いたメール・SMS のリンクや、電話で告げられた番号は使わない
- ブラウザで公式サイト（会社の告知は nifty.co.jp、@nifty のサポートは support.nifty.com）を自分で開き、同じ内容の告知があるか確かめる
- 暗証番号・パスワード・カード情報を聞かれたら、答えずに切る。ニフティは本件でこれらを電話やメールで尋ねないとしている
- 入力してしまったら、そのパスワードを使っている全てのサービスで変え、カード番号を伝えたならカード会社に連絡する
管理用ツールを持つ側の対策：顧客向けフォームの外にある入口
社員や委託先だけが使う管理用ツールは、「中の人しか使わない」前提で、公開している申込フォームほど守りが検討されないことがあります。ニフティの件でどこが破られたかは公表されていないので、ここでは管理用ツール一般について、攻撃者が何を得たらどうなるかを整理します。
| 攻撃者が得たもの | できること | 止める・小さくする手 |
|---|---|---|
| 管理用ツールの ID・パスワード | 正規の利用者としてログインし、検索・閲覧・出力する | 多要素認証、届く範囲の制限 |
| ツールやその部品の脆弱性 | 認証を飛ばしてデータを読む | 届く範囲の制限、更新 |
| 社員の端末の操作 | その端末からツールを正規に使う | 出力件数の上限、大量参照の警報 |
| 委託先・代理店のアカウント | 与えられた権限の範囲でデータを見る | 権限の最小化（自分が受けた申込だけ見える） |
手を入れる項目は次のとおりです。
・届く範囲を絞る：社内網・VPN・接続元 IP の制限、または利用者の ID を確かめるプロキシの後ろに置く。インターネットから開ける必要があるかを先に問う
・多要素認証：パスワードだけで入れる管理画面を残さない
・出力に上限：一括出力・CSV・検索結果の件数を役割ごとに絞り、超えたら承認か警報にする
・権限を最小にする：委託先・代理店のアカウントは担当分だけ見えるようにする
・ログを残して見る：ログイン元と出力の量を記録し、普段と違う接続元・時間帯・量に警報を出す
・持つ期間を決める：保持する期間の長さは、そのまま漏えいの上限になる。第一報が口座・カードを「保有しておらず」対象外としたとおり、持っていないデータは漏れない
外部公開の棚卸しから優先順の付け方までは、IPAの不正アクセス対策を実践する手順｜外部公開・外部サービス・保有データの3つの点検、ログの見方と今日から今月の優先順で手順にしています。
自システムの確認コマンド：管理用ツールが外から届くか、ログに跡が無いか
ここからは自社の管理用ツールを持つ側の確認です。ニフティの件の原因を調べるものではありません。どれも読み取りだけで、見ているのは「届くかどうか」と「ログに残った目印」です。侵入されたかどうかの判定ではありません。
1. 管理用ツールが社外から届くか
社外の回線（スマートフォンのテザリングなど、社内網と VPN を通らない回線）から実行します。ADMIN_URL の値は、自分の管理用ツールの URL に置き換えます。
ADMIN_URL="https://admin.example.com/"
curl -sS --noproxy '*' -o /dev/null --max-time 10 -w '%{http_code} %{remote_ip}\n' "$ADMIN_URL"
| 出力 | 読み方 |
|---|---|
000（名前解決か接続に失敗） |
この回線からは届かない |
200・302 |
届く。ログイン画面が社外に出ている |
401・403 |
届く。サーバーは応答している。403 が接続元 IP の制限によるものかは、この結果だけでは判断できない |
--noproxy '*' は、社内プロキシを経由した結果と取り違えないための指定です。社内 DNS にしか名前が無いツールは 000 になりますが、IP アドレスで直接届くかは別に確かめます。
2. アクセスログに、社外からのログインと大量の出力が無いか
nginx の combined 書式のログを想定しています。/admin/login と export|download|csv は自分のツールのパスに、awk の許可リスト（社内網の範囲と、例として置いた 203.0.113.0/24）は自社の出口 IP に置き換えます。
zgrep -hE '"POST /admin/login[^"]*" 302 ' /var/log/nginx/access.log* | awk '$1 !~ /^(10\.|172\.(1[6-9]|2[0-9]|3[01])\.|192\.168\.|203\.0\.113\.)/ {print $1}' | sort | uniq -c | sort -rn
zgrep -hE '"GET /admin/[^"]*(export|download|csv)[^"]*" 200 ' /var/log/nginx/access.log* | awk '$10 > 1000000 {print $1, $4, $7, $10}'
1行目は、許可リストの外からログインに成功した接続元を、回数の多い順に出します。ログインに成功すると 302 で画面を移す作りを前提にしているので、成功も失敗も 200 を返す画面ではこの行では見分けられません。2行目は、管理画面からの出力のうち 1MB を超えた応答を、接続元・時刻・パス・バイト数で出します。圧縮済みの古いログ（.gz）も読みます。
結果の読み方と、このコマンドの限界
ダミーのログと手元の HTTP サーバーで、掲載したままのコマンドを走らせました（ログの場所と URL だけ検証用に差し替え）。
| コマンド | 陽性対照（目印を置いた） | 陰性対照（置かない） |
|---|---|---|
| 届くか | 手元のサーバーで 200、401 を返すサーバーで 401 |
閉じたポートで 000。admin.example.com のままでは名前解決できず 000 |
| 社外からのログイン | 許可リスト外の 2 つの接続元が出た（片方は .gz のログ）。失敗（200）・社内・許可リストからのログインは出なかった |
社内と許可リストからの成功だけのログで0行 |
| 大量の出力 | 50MB と 3MB の出力が出た。2KB の出力は出なかった | 2KB の出力だけのログで0行 |
読むときの注意は2つです。
・何も出なくても侵入が無かったとは限らない：ログの保存期間より前は見られない。許可リストの中（VPN や乗っ取られた社内端末）からの操作は出ない。API や DB への直接の接続は、この Web サーバーのログに残らない
・出ても侵入とは限らない：在宅勤務の社員や委託先の正規のログイン、定例の出力も拾う。接続元と担当者を社内の記録と突き合わせる
影響範囲と、続報で見るべき点
| 対象 | 第一報での扱い |
|---|---|
| 2019年以降に Web サイト以外から @nifty光・@nifty MAX光・@nifty auひかりプラスを申し込んだ人 | 申込情報（7項目）に漏えいの可能性。最大542,513件 |
| 同じ3サービスを Web サイト（申込フォーム）から申し込んだ人 | 対象に挙がっていない |
| 2018年以前に申し込んだ人 | 対象に挙がっていない |
| 口座・クレジットカードの情報 | システムに保有しておらず、対象外 |
| ほかの @nifty のサービス | 対象に挙がっていない |
件数の単位は「件」で、人数とは限りません。続報では次の点を確かめます。
・実際に持ち出された件数と、対象者への個別の連絡があるか
・侵入の手口と、いつから入られていたか
・申込の経路（電話・店頭・代理店など）ごとの扱い
・個人情報保護委員会への報告のあとの扱い
参照ソース
・ニフティ【第一報】当社回線申込・受付管理システムへの不正アクセスの発生について（2026-10-19） — 確認日時・対象システム・件数・項目・対象外の情報・今後の対応・注意喚起
・ニフティ【第二報】当社メールサービスへの不正アクセスについて（2026-07-06） — 6月の @nifty メールの件（別事案）
・ニフティの回線申込・受付管理システムへ不正アクセス、最大54万2,513件の個人情報漏えいの可能性（セキュリティ対策Lab） — 第一報の要約（補助）
