交通系ICカード「nimoca（ニモカ）」を運営するニモカは2026年10月6日、nimoca利用履歴照会サービスが第三者による不正アクセス（公開Webサービスへの攻撃）を受け、一部の利用者の個人情報が漏えいしたと発表した。漏えい件数は521件で、内容はnimocaのカード番号、生年月日、サービスに登録されたメールアドレスである。氏名、住所、電話番号、性別、利用履歴などの漏えいは確認されていない。同社は10月4日17時40分から利用履歴照会に関するすべてのサービスを停止している。nimocaカード自体は通常どおり使える。
「身に覚えのないメール」の問い合わせで発覚
同社の発表によると、不正アクセスがあったのは2026年10月4日（日）0時ごろから、サービスを停止した17時40分までの間である。同日9時ごろ、利用者からnimocaコールセンターに「身に覚えのないメールが届いた」との問い合わせがあり、調査を始めた。
調べたところ、利用履歴照会サービスに対する第三者の不正アクセスが確認され、一部の利用者に対し、サービスに登録されたメールアドレス宛てに登録情報の一部を含むメールが送られていた。このメールは、利用者が所定の入力をした際にサービスから自動で送られるもので、不正に情報を取得した第三者が送ったものではないとしている。漏えいしたカード番号は、nimoca裏面に記載された「NR」で始まる17桁の英数字である。
nimocaのサービスに関するほかのシステムやデータベースへの不正アクセスは確認されていない。現時点で、漏えいした情報が不特定多数に公開された事実や、不正利用された事実も確認されていないという。原因と影響範囲は引き続き調査中で、サービスの新規登録や利用履歴の照会も停止している。
公開Webサービスの「正規の機能」が攻撃の道具になる
今回の事案は、サーバーに侵入してデータベースを抜き取るタイプの攻撃とは異なり、外部に公開しているWebサービスの機能が悪用されたとみられる点に特徴がある。サービスが本来の仕組みとして自動送信するメールに登録情報が含まれていたため、第三者の操作をきっかけにその情報が利用者のもとへ送られた。具体的にどのような入力や手順が使われたのかは公表されていない。
照会や登録、パスワード再設定のように、外部からの入力を受けて自動でメールを返す機能は、多くのWebサービスが持っている。こうした機能では、同じ接続元から短時間に大量の入力がないか、入力の組み合わせが不自然でないかを監視し、一定の回数を超えたら止める仕組みが欠かせない。あわせて、自動送信メールに記載する登録情報を最小限に絞っておくことも、万一悪用された場合の影響を抑えることにつながる。
利用者に対して同社は、身に覚えのない不審なメールを受け取った場合は、記載されたURLにアクセスせず、nimocaコールセンターに知らせるよう呼びかけている。
同じ手口に、自社は備えられていますか？