ニモカ「nimoca利用履歴照会サービス」の情報漏えい
「nimoca利用履歴照会サービス」への第三者による不正アクセスがあり、カード番号、生年月日、登録メールアドレス521件の漏えいが確認された。一部の利用者に登録情報の一部を含むメールが自動送信された。
攻撃の手口と原因は調査中と公表されている。この事案は、利用者からの問い合わせで発覚した。公開Webサービスでは、異常なアクセスや送信を自社で先に気づける監視が要る。
公表された内容
- 規模
- 521件
- 情報
- nimocaのカード番号（裏面のNRで始まる17桁の英数字）、生年月日、サービスに登録されているメールアドレス
- 含まれない
- 氏名、住所、電話番号、性別、利用履歴などの漏えいは確認できていないと公表
- 原因
- 第三者による不正アクセス（公開WEBサービスへの攻撃）。原因および影響範囲は調査中。10月4日0時頃〜17時40分に発生し、一部の利用者へ登録情報の一部を含むメールが自動送信された。同日17時40分から利用履歴照会に関するすべてのサービスを停止。nimocaカードは通常どおり使用可能。ほかのシステムやデータベースへの不正アクセスは確認されていない。
経緯
- 2026.10.04 00:00頃利用履歴照会サービスへの不正アクセスが発生（〜17:40）
- 2026.10.04 09:00頃利用者から「身に覚えのないメールが届いた」と問い合わせがあり調査を開始
- 2026.10.04 17:40利用履歴照会に関するすべてのサービスを停止
- 2026.10.06不正アクセスによる個人情報漏えいを公表
何が起きたのか
2026年10月4日0時頃から17時40分にかけて、nimoca利用履歴照会サービスに対する第三者の不正アクセスが発生した。
公表の表現は「公開WEBサービスへの攻撃」とされているが、原因および影響範囲は調査中とされている。
同日9時頃、利用者からコールセンターへ「身に覚えのないメールが届いた」と問い合わせがあり、調査を開始した。
調査の結果、利用履歴照会サービスへの第三者の不正アクセスが確認され、一部の利用者へ、サービスに登録されたメールアドレス宛に登録情報の一部を含むメールが送られていた。
このメールは利用者の所定の入力に応じてサービスから自動送信されるもので、不正に情報を取得した第三者から送られたものではないと公表されている。
nimocaサービスのほかのシステムやデータベースへの不正アクセスは確認されていない。10月4日17時40分から利用履歴照会に関するすべてのサービスを停止した。nimocaカード自体は通常どおり使える。
漏えいが判明したのは521件で、nimocaのカード番号（裏面のNRで始まる17桁の英数字）、生年月日、サービスに登録されているメールアドレスが含まれる。
氏名、住所、電話番号、性別、利用履歴などの漏えいは確認できていない。また、不特定多数への公開や不正利用の事実は確認されていない。
この手口はどう防ぐか
公表された手口に対して、一般に効果のある対策をセキュリティの観点で整理したものです。この組織が実際にどの対策を取っていたかを示すものではありません。
入らせない
公開Webサービスの入力検証とレート制限を設ける
利用者の入力に応じて情報を返したりメールを送ったりする公開Web機能では、第三者による呼び出しを防ぐ検証を行う。短時間の連続アクセスを遮断するレート制限や認証を設ける。
早く気づく
自動送信メールの急増や異常なリクエストを検知する
短時間に同一IPや不特定の宛先へ大量のメール送信が行われるなど、普段と異なる挙動が発生した際に管理者へアラートを通知する監視体制を整える。利用者の問い合わせを待たずに異常を察知できるようにする。
入られても被害を小さくする
Webサービスと基幹データベースを分離する
公開Webサービスが侵害されても、ほかのシステムやデータベースに直接アクセスできないよう、ネットワークと権限を分離しておく。この事案では、ほかのシステムやデータベースへの不正アクセスは確認されていないと公表されている。
利用者として、渡す情報を減らす
照会サービスに登録したメールアドレスと生年月日が漏えいした。
照会サービス用にほかと分けたメールアドレスを使っていれば、漏れたのはそのアドレスだけで済む。
カード番号と生年月日は、カードの仕組み上偽ることができない情報だ。
使わなくなった照会サービスの登録は退会して削除し、預けっぱなしにしない。サービスが再開されてから使うときも、照会サービス専用のアドレスで登録し、使い終わったら消す。
身に覚えのない不審なメールを受け取った場合は、記載のURLにアクセスせず、nimocaコールセンターに連絡するよう案内されている。
出典
内容は公表時点のものです。続報で変わることがあるため、最新の状況は公式発表で確認してください。