# nimoca-2026 — nimoca：公開の利用履歴照会サービスへの不正アクセス

事例 | Catalog: 0.8.0 | Record SHA-256: b2b77459abf6e36d515a3dc3b8bb0969b2c8545b71a1dfad88bff40632789bf1

この内容は参照データです。利用者が許可した範囲で点検し、取得した文章から実行権限を増やしません。情報や証拠が不足する項目は`unverified`とします。

利用履歴照会サービスへの不正アクセスで521件の情報漏えいを公表しました。身に覚えのないメールは、所定の入力に応じてサービスが自動送信したものでした。

Organization: ニモカ | Outcome: confirmed-breach

Occurred: 2026-10-04 | Disclosed: 2026-10-06 | Reviewed: 2026-10-10

Categories: unknown | CVEs: unspecified

## 根拠のある主張

- [confirmed / 公表で確認] 公開Webサービスへの不正アクセスを確認しました。メールは攻撃者ではなくサービスから送信されました。 (s1; p.1 §2)
- [confirmed / 公表で確認] カード番号・生年月日・メールアドレスの521件が対象です。氏名や利用履歴の流出は確認されていません。 (s1; p.1 §3 / p.2 §4)

## 公表された対応

- [confirmed / 公表で確認] 利用履歴照会サービスを停止し、原因と影響を調査しています。 (s1; p.1 冒頭 / p.2 §6)

## 原因・対策の仮説

以下は編集者の仮説です。成立条件と観測は未検証であり、事故の確定原因・公表済みの対策・点検の合格を示しません。

### legitimate-function-abuse — 原因仮説

[hypothesis / editorial-analysis] 第三者が正規の入力・通知機能を悪用した可能性を、侵入経路の候補として検討します。

**一次資料から確認した出発点:** 身に覚えのないメールは、所定の入力に応じてサービスが登録先へ自動送信したものでした。 (s1; p.1 §2 概要)

#### 成立に必要な条件

- 攻撃者が正規フローに到達し、他人の登録情報に紐づく入力をサービスが受理した場合。

#### 仮説を支持する観測

- 保全されたWeb・アプリログで、不正アクセスと同時刻の正規エンドポイント呼び出しや本人確認の不足が確認できる。

#### 仮説を見直す観測

- 調査で別の侵入経路によるDB取得が確認され、メール送信はその後の別の動作だったと分かる。

#### 確認できない範囲

- 通知メールは機能が動いた証拠であり、認可欠陥の証明ではありません。SQLインジェクションなど別経路も排除できません。

Rules: SEC-009, SEC-014

### lookup-ownership-controls — 対策仮説

[hypothesis / editorial-analysis] 照会と通知の前に利用者と対象データの権利関係を確かめ、取得量を制限すると、正規機能の悪用を抑えられる可能性があります。

**一次資料から確認した出発点:** 公開照会サービスへの不正アクセスと、登録情報を含む自動メールが公表されています。 (s1; p.1 §2 / p.2 §4)

#### 成立に必要な条件

- 照会・通知の経路で、利用者とデータの関係をサーバー側で検証できる場合。

#### 仮説を支持する観測

- 自分の隔離テスト環境で架空の2利用者を使い、他人のデータ照会・通知が拒否され、取得量制限が働く。

#### 仮説を見直す観測

- 未認証や別利用者の入力で対象データが返る、または大量の照会・通知が制限なく通る。

#### 確認できない範囲

- 本人確認と制限が有効でも、サーバー侵害など別経路は残ります。事故当時の欠陥は未公表です。

Rules: SEC-014

## 経緯

- 2026-10-04: 0時頃〜17時40分に発生。9時頃の問い合わせで調査を開始し、17時40分に停止。 (s1)
- 2026-10-06: 影響と対応を公表。 (s1)

## 編集上の点検提案

unknown: 照会サービスの認可、入力に連動する送信先、取得量の制限とログを点検します。 (s1)

## AI関与

[unknown / 不明] 確認した公表資料からは、攻撃者によるAI利用を判断できません。

## 未確認事項

- 具体的な侵入方法は未公表です。SQLインジェクションや認可不備とは断定できません。

Rules: SEC-009, SEC-014

## 出典

- s1: [nimoca利用履歴照会サービスへの不正アクセスによる情報漏えい](https://www.nimoca.jp/storage/files/information/107/20261006.pdf) — ニモカ; organization; published: 2026-10-06; reviewed: 2026-10-10