ニモカのnimoca利用履歴照会サービスへの不正アクセス
- タグ
- 国内
ニモカの2026年10月6日の発表によると、交通系ICカード「nimoca」の利用履歴照会サービスが第三者による不正アクセス（公開WEBサービスへの攻撃）を受け、一部の利用者のカード番号、生年月日、登録メールアドレスの521件〔注1〕が漏えいした［2］。ニモカは西日本鉄道が100％出資する会社である［9］。10月15日の告知でニモカは、安全性が確認できたとして利用履歴照会サービスを再開するとした［3］。
経緯
ニモカは10月4日の第一報で、利用者から身に覚えのないメールが届いたとの連絡を受け、原因は調査中だがシステムを一時停止したと告知した［1］。
ニモカの発表文では、調査の結果、利用履歴照会サービスへの第三者による不正アクセスが確認された［2］。一部の利用者には、サービスに登録したメールアドレス宛てに、登録情報の一部を含むメールが送られていた［2］。このメールは利用者の所定の入力に応じてサービスから自動で送られるもので、不正に情報を取得した第三者が送ったものではない［2］。
ニモカは、nimocaのサービスに関わる他のシステムやデータベースへの不正アクセスは確認されていないと説明した［2］。
時系列
影響範囲
ニモカの新規登録の案内では、利用履歴照会サービスの対象はスターnimocaとクレジットnimocaで、会員登録を行っていない通常のnimocaカードは利用できない［10］。
ニモカの発表文によると、漏えいしたカード番号は、nimocaの裏面に記載されたNRで始まる17桁の英数字である［2］。氏名、住所、電話番号、性別や利用履歴などの情報の漏えいは確認できていない［2］。nimocaカードは通常どおり利用できる［2］。
ニモカは、漏えいした情報が不特定多数に公開された事実や、不正利用された事実は確認されていないと説明した［2］。
ニモカの再開の告知では、利用履歴照会サービスのパスワードが漏えいした事実は無く、パスワードを変更する必要はない［3］。今回の不正アクセスに関する二次被害も確認されていないとした［3］。
対応と現状
ニモカは、サービスの停止後に原因を調べ、自動プログラムによる不正アクセスへの対策とプログラムの改修などの再発防止対策を実施した［3］。
ニモカは発表文で、身に覚えのない不審なメールを受け取った利用者に、メールに記載されたURLにアクセスせず、問い合わせ先に知らせるよう求めた［2］。再開の告知でも、身に覚えのないメールやニモカを装ったメールへの注意を呼びかけ、メール内のURLへのアクセス、個人情報や認証情報の入力、添付ファイルの開封をしないよう利用者に伝えた［3］。
未公表の事項
- 攻撃の具体的な手口と、悪用された入力や脆弱性の内容
- 件数と、漏えいの対象となった利用者の人数・カードの枚数との対応
- 送信されたメールの通数と、不正アクセスの試行の回数
- 個人情報保護委員会への報告と警察への相談の有無
- 漏えいの対象となった利用者への個別の通知の有無
注
- 〔注1〕福岡TNCニュースは、件数を「利用者521人分」と報じた［5］。
出典
当事者
- ［1］株式会社ニモカ『利用履歴照会の一時停止について』（2026年10月4日公開）
- ［2］株式会社ニモカ『nimoca 利用履歴照会サービスへの第三者からの不正アクセス（公開 WEB サービスへの攻撃）による情報漏えい』（2026年10月6日公開、PDF）
- ［3］株式会社ニモカ『利用履歴照会サービス再開のお知らせ』（2026年10月15日公開）
報道機関
- ［5］株式会社テレビ西日本『交通系IC「ニモカ」個人情報漏えい 521件のカード番号やメールアドレスなど 第三者の不正アクセスで 利用履歴照会サービスが停止 福岡』（2026年10月6日公開）
背景資料
- ［9］株式会社ニモカ『企業情報』（公開日不明、2026年11月4日閲覧）
- ［10］株式会社ニモカ『新規登録のご案内（利用履歴照会サービス）』（公開日不明、2026年11月4日閲覧）
更新記録
- 2026年10月12日：公開した。
- 2026年10月15日：ニモカの10月15日の再開の告知（出典3）を加え、リードと「時系列」「影響範囲」「対応と現状」を改めた。