ニフティの回線申込システムへの不正アクセス（最大542,513件）：会員ID・氏名・住所・電話番号などが対象、光回線の利用者がやること

発表によれば、対象は2019年以降に回線を申し込んだお客様（当社Webサイトをのぞく）で、対象サービスは＠nifty光、＠nifty MAX光、＠nifty auひかりプラスです。

同社のWebサイトからの申込は対象から除かれていると読めますが、どの申込方法が対象かの詳しい説明は発表にありません。対象者に個別に連絡するかどうかも書かれていません。自分が対象か分からない場合は、下の窓口で確かめてください。

対象の項目には、氏名、住所、電話番号、メールアドレスが含まれます。これだけそろうと、宛名も住所も正しい、本物らしいメールやSMSが作れます。

同社は、同社や関係者を装った不審なメール、電話、SMS等に注意し、記載されたURLへのアクセスや個人情報の入力をしないよう呼びかけています。たとえば「お詫び」「回線契約の確認」「料金の返金」といった名目（当サイトの例）でも、本文のリンクは開かず、自分でブックマークや検索から開いた公式サイトで確かめてください（見分け方は フィッシングとは）。

同社は、本件に関して、お客様に個別に電子メールや電話等で連絡し、暗証番号やパスワード、クレジットカード情報等を尋ねることはないとしています。こうした情報を聞く連絡は、同社を名乗っていても偽物と考えてください。

今回の項目には会員ID、生年月日、住所も含まれます。相手が会員IDや生年月日を言えても、それは本物の証拠にはなりません。その場で答えずに電話を切り、自分で調べた番号にかけ直します。自宅を訪ねてくる人や郵便物にも同じ考え方で対応してください。

生年月日は、メールアドレスや電話番号と違って変えられません。今回、氏名・住所と組み合わさった形で対象になりました。

銀行やクレジットカードの暗証番号、スマホの画面ロックなどに生年月日（「0815」など）を使っているなら、今のうちに変えておきます。これは同社の案内ではなく、当サイトの一般的な助言です。

パスワードは、影響を受ける可能性がある項目に挙げられておらず、発表に記載もありません。同社はパスワードの変更を求めていません。

一方で、記載がないことは、漏れていないと確定したという意味ではありません。＠niftyと同じパスワードを他のサービスでも使っているなら、この機会に分けておくと安心です。棚卸しは パスワードマネージャー に任せるのが現実的です。

発表に載っている窓口は、＠nifty専用ダイヤル（電話 0120-924-719、受付時間 10時〜18時、毎日）です。番号は、届いた連絡に書かれたものではなく、自分で開いた同社の発表ページで確かめてください。

不審な連絡を受けて、すでに個人情報を伝えたり入力したりしてしまった場合も、まずこの窓口に相談します。お金を払った、口座やカードの情報を伝えたという場合は、銀行やカード会社、警察の相談窓口（#9110）にも連絡してください。

一般に、脆弱性診断や監視は、お客様が使うWebサイトから先に手が付けられがちです。一方で、社内の申込管理や受付管理のツールは、顧客向けのフォームと同じかそれ以上の個人情報をまとめて持っています。

顧客の個人情報を持つシステムを、顧客向け・社内向けを問わず1つの一覧にし、それぞれ「どこから接続できるか」「誰のアカウントで使うか」「操作の記録をどこに残すか」を書き出します。顧客向けか社内向けかで点検の範囲を分けず、一覧の全部に同じ点検をかけます。

今回の対象は、2019年以降の申込者でした。一般に、申込の受付が終わった後の記録は、日々の受付業務ではあまり使われません。

受付の画面から引ける期間を決め、それを過ぎた記録は別の保管先に移す、項目を減らす、といった扱いにしておくと、管理用ツールが侵害されたときに対象になる人数と項目を小さくできます。法令や契約で保存が必要な期間は、業務の画面とは分けて保管します。

同社は、本件で暗証番号やパスワード、クレジットカード情報等を尋ねることはないと発表に明記しました。利用者が偽の連絡を見分けるのに、すぐ使える情報です。

事故が起きる前に、自社が電話やメールで聞かないことと、重要な連絡に使う送信元を決めて公式サイトに載せておくと、事故の当日に同じ案内をすぐ出せます。送信元のなりすまし対策は なりすましメールを防ぐSPF・DKIM・DMARC にまとめています。