「nimoca」の利用履歴照会サービスが不正アクセスを受け、カード番号・生年月日・メールアドレスなど521件が流出。利用者からの問い合わせで発覚した経緯と対応を確かめた
521件、という数字だけ見ると「大したことないのでは」と思ってしまいそうになるが、侮ってはいけない。きっかけは利用者からの「身に覚えのないメールが届いた」という一言の問い合わせだった、というのがこの話の肝だ。利用者がおかしいと気づかなければ、もっと長く放置されていたかもしれない――という意味では、521件という数字の小ささより、利用者の勘の良さの方を褒めるべき事案かもしれない。※個人の感想です
交通系ICカード「nimoca」を発行・運営する株式会社ニモカは2026年10月6日、カードの利用履歴を確認できるサービス「nimoca利用履歴照会サービス」が第三者からの不正アクセスを受けたと発表しました。公式発表によると、不正アクセスは10月4日午前0時ごろから同日17時40分まで発生し、521件の情報漏えいが確認されています。
漏えいが確認された情報は、nimocaのカード番号、生年月日、利用履歴照会サービスに登録されたメールアドレスの3種類です。一方、氏名、住所、電話番号、性別、カードの利用履歴そのものについては、漏えいが確認されていないとされています。
発覚の経緯は、2026年10月4日午前9時ごろ、利用者からnimocaコールセンターに「身に覚えのないメールが届いた」という問い合わせが入ったことでした。問い合わせを受けて同社が調査を開始し、同日17時40分に利用履歴照会サービスを停止しました。なお、利用者に届いた不審なメール自体は、第三者が送信したものではなく、サービスが利用者の操作に応じて自動送信した通知メールだったと説明されています。
現時点で、漏えいした情報が外部に公開された事実や、不正に利用された事実は確認されていないとしています。nimocaカードそのものは、乗車や決済など通常の利用に影響はありません。利用履歴照会サービスのみが停止されており、再開に向けて原因と影響範囲の調査が進められています。
今回の事案で注目したいのは、件数自体は521件と、このところ相次いでいる数十万~数百万件規模の情報漏えい事案と比べると小規模である一方、発覚の経緯が利用者側からの指摘だったという点です。利用者が「身に覚えのないメール」という違和感に気づき、コールセンターに問い合わせたことが、不正アクセスの発覚と対応の早さにつながりました。
交通系ICカードは、通勤・通学などで日常的に使われており、カード番号や登録情報が外部に流出すると、他のサービスとの紐づけや、なりすましの手がかりに使われる可能性があります。件数の規模だけでなく、カード番号・生年月日・メールアドレスという組み合わせが流出した点は、利用者にとって軽視できない要素です。
nimocaを利用している方のうち、今回対象になった521件に該当する方は、同社から連絡を受ける可能性があります。対象かどうかにかかわらず、nimoca利用履歴照会サービスに心当たりのないメールが届いた場合や、カードに関する不審な問い合わせがあった場合は、安易にリンクを開いたり個人情報を入力したりせず、公式サイトや公式のコールセンターで確認することが重要です。
nimocaカード自体の利用(乗車・決済など)には影響がないため、日常の利用を急いで止める必要はありません。利用履歴照会サービスを使っていた方は、サービス再開後にパスワードなど登録情報の見直しを検討するとよいでしょう。
今回の事案は、利用者が「見覚えのないメールが届いた」という違和感に気づいたことがきっかけで発覚しました。普段使っているサービスから、登録していないはずの操作に関する通知メールが届いた場合、それは不正アクセスやなりすましの早期発見につながる重要なサインです。
心当たりのない通知メールやログイン通知が届いた場合は、メール内のリンクを開く前に、まずそのサービスの公式サイトやアプリに直接アクセスして、身に覚えのない操作履歴が無いかを確認することをおすすめします。不安な場合は、メールに記載された連絡先ではなく、公式サイトに掲載されている問い合わせ窓口を使うことが安全です。
Q. nimocaカードは今まで通り使えますか? A. 出典で確認できた範囲では、今回停止されたのは「nimoca利用履歴照会サービス」のみで、nimocaカード自体の乗車・決済などの利用に影響はないとされています。
IT Postは、漏えいの件数が521件という「小さな数字」だけを見て、今回の件を軽く扱うべきではないと考える。むしろ注目すべきは、利用者からの一報で発覚し、わずか1日足らずでサービス停止という対応にこぎ着けた点だ。
被害の大小だけで事の重大さを測ると、数十万件規模のニュースの陰で、こうした「利用者の勘の良さに救われた」事案が埋もれてしまう。IT Postとしては、件数の規模にかかわらず、カード番号や生年月日のような識別情報が流出した事実そのものを、引き続き注視していくべきだと考える。※個人の感想です
株式会社ニモカは、原因と影響範囲の調査を継続し、サービスの再開に向けた対応を進めるとしています。発表時点では、不正アクセスの具体的な侵入経路や、サービスの再開時期は明らかにされていません。IT Postでは、続報があれば改めて取り上げます。
不正アクセスを受けた対象がカード自体であると読める見出しを、「nimoca利用履歴照会サービス」への不正アクセスと限定しました。本文、対象521件、カード自体を通常どおり利用できるという説明、初回公開日は変更していません。
ブックオフグループの10月9日公式発表は会員情報の流出を確認した一方、最大約643万件は漏えい可能性のある会員番号の件数と説明。人数・対象項目・公式の注意事項を分けて整理
スカラの10月6日公式発表では最大5社・最大71万3126件の延べ問い合わせが対象。東武鉄道の10月7日発表は閲覧・取得の形跡未確認という報告で、流出ゼロやその理由の証明ではない
アドベンチャーの10月9日公式発表で、3事案の流出・おそれ、約1464万件と他事案の件数を区別。カード番号非保有でも保存済みカード払いを停止した対応と、会員へのパスワード変更依頼を整理
株式会社物語コーポレーションが2026年10月5日に発表した、「焼肉きんぐ」公式アプリの会員管理システムへの不正アクセス。1,078万8,963件という漏えい規模と対象情報の内訳を確かめる
