株式会社ニモカの「nimoca 利用履歴照会サービス」が攻撃を受け、521件の登録情報が漏えいしました。サービスの自動送信機能が悪用され、カード番号、生年月日を含むメールが登録アドレスあてに送られました。
事故の概要
- 漏れたもの
- 生年月日
- メールアドレス
- その他
- 件数
- 521件521件
- 誰の情報か
- 利用者(会員・顧客)
- 状態
- 確定
- 原因
- 不正アクセス
- ドメイン
- nimoca.jp
経緯
- 検知10/4
- 初動対応10/4
- 公表10/6
- 続報10/15
- 調査結果—
- 再発防止策—
検知2026年10月4日
2026年10月4日(日)9時ごろ、ニモカのnimocaコールセンターに、利用者から「身に覚えのないメールが届いた」との問い合わせがあり、同社は調査を始めました。
調べた結果、利用履歴照会サービスに第三者の不正アクセスがあり、一部の利用者の登録メールアドレスあてに、登録情報の一部を含むメールが送られていたことが分かりました。不正アクセスは同日0時ごろから続いていました。メールはサービスが入力に応じて自動で送るもので、第三者が送ったものではありません。
出典nimoca 利用履歴照会サービスへの第三者からの不正アクセス(公開 WEB サービスへの攻撃)による情報漏えいPDFwww.nimoca.jp
初動対応2026年10月4日
ニモカは同日17時40分、利用履歴照会サービスの新規登録や照会など、すべての機能を止めました。
サイトには、利用者から身に覚えのないメールが届いたとの連絡があり、原因を調べるためにシステムを一時停止したと載せています。
出典利用履歴照会の一時停止についてwww.nimoca.jp
公表2026年10月6日
ニモカは、10月4日0時ごろから17時40分にサービスを止めるまでの間、利用履歴照会サービスに第三者の不正アクセスがあり、521件の個人情報が漏えいしたと公表しました。サービスが入力に応じて自動で送るメールが悪用され、nimocaカードの番号(裏面のNRで始まる17桁)、生年月日、登録メールアドレスを含むメールが、登録アドレスあてに送られていました。
氏名、住所、電話番号、性別、利用履歴の漏えいは確認されておらず、nimocaのほかのシステムやデータベースへの不正アクセスもありません。漏えいした情報の公開や悪用も確認されていません。照会サービスは止めたままですが、カードは通常どおり使えます。身に覚えのないメールが届いたらURLを開かず、コールセンターに知らせるよう求めています。
出典nimoca 利用履歴照会サービスへの第三者からの不正アクセス(公開 WEB サービスへの攻撃)による情報漏えいPDFwww.nimoca.jp
続報2026年10月15日
ニモカは、自動プログラムによる不正アクセスへの対策やプログラムの改修を終え、安全を確認できたとして、利用履歴照会サービスを再開しました。
パスワードは漏えいしておらず、変更の必要はないとしています。一部の利用者に届いたメールはシステムが自動で送ったもので、第三者が送ったものではないと改めて説明しました。パスワードを変えたい場合は、コールセンターで登録を消したうえで新規登録をし直す必要があります。二次被害は確認されておらず、同社を装うメールには注意するよう呼びかけています。
出典利用履歴照会サービス再開のお知らせwww.nimoca.jp
出典
正しい情報については、リンク元の一次情報を必ず参照してください。
このサービスを使っていた方へ
- 1会社を名乗るメールが来ても、リンクは開かず公式サイトから確かめてください。
- 2会社からの個別の連絡と問い合わせの窓口は、公式のお知らせで確かめてください。
誤りや続報のご連絡
掲載内容の誤りや続報の情報は、お問い合わせフォームより受け付けております。内容によっては、回答までにお時間をいただく場合がございます。