ニフティ54万件超の漏えい懸念｜申込フォームの顧客情報を守る対策

会社のホームページにある「お問い合わせ」「お見積もり依頼」「資料請求」。そのフォームに入力された顧客情報が、どこに保存されているかご存じでしょうか。

申し込みフォームは、新しい顧客との接点になる便利な仕組みです。しかし、氏名や住所、電話番号、メールアドレスなどが集まる場所でもあります。

2026年10月19日、ニフティの光回線申し込みシステムが不正アクセスを受け、54万件超の情報が漏えいした可能性があると報じられました。

ここで注目したいのは、件数の大きさだけではありません。

「申し込みフォームに集まった情報を、会社はどこまで管理できているか」という問題です。

中小企業でも、ホームページ制作会社、フォーム提供会社、クラウドサービスなど、複数の事業者が顧客情報の取り扱いに関係している場合があります。

この記事では、報道内容を出発点に、申し込みフォームの情報管理、アクセス権限、外部委託先との役割分担、事故発生時の対応を、経営者向けに解説します。

※2026年10月20日時点の記事です。54万件超という数値は報道に基づくもので、すべての情報が実際に流出したと断定するものではありません。以下の対策は一般的な情報セキュリティの解説であり、今回の企業に特定の管理上の不備があったことを意味するものではありません。

1. ニフティの不正アクセス報道で何が分かったのか

2026年10月19日、ニフティの光回線申し込みシステムが不正アクセスを受け、54万件超の情報が漏えいした可能性があると報じられました。

申し込みシステムは、サービスを利用したい顧客から情報を受け付ける重要な仕組みです。

そのため、不正アクセスが発生した場合には、システムの安全性だけでなく、保存されている顧客情報への影響を確認する必要があります。

ただし、今回の報道について、本記事の作成時点では、正確な対象件数、漏えいした可能性がある情報の項目、侵入経路、対象期間、二次被害の有無などを公式発表の原文で照合できていません。

未確認の事項について、原因や被害を推測して断定することは避けます。

2. 54万件超という数字をどう受け止めるか

「54万件超」と聞くと、多くの人が大規模な情報漏えいを想像するでしょう。

しかし、情報漏えいに関する発表では、次の違いに注意する必要があります。

これらは同じ意味ではありません。

さらに、対象となる情報が氏名だけなのか、連絡先や認証情報も含まれるのかによって、必要な対応は変わります。

ニュースを見る際は、件数だけでなく、何が確認され、何が調査中なのかを確認することが大切です。

3. 申し込みフォームに集まる顧客情報

申し込みフォームは、顧客がサービスを利用するための入口です。

取り扱う情報は業種によって異なります。

これらは一般的な例であり、今回のニフティの事案で実際に漏えいした情報の項目を示すものではありません。

中小企業でも、日々の業務の中で多くの個人情報を受け取っています。

大切なのは、フォームを設置した後も、その情報が安全に管理されているか確認することです。

4. 入力した情報はどこに保存されるのか

ホームページのフォームから送信された情報は、必ずしも自社のパソコンだけに保存されるわけではありません。

利用するサービスによって、保存先や送信先は異なります。

• ホームページを設置しているサーバー
• フォーム提供会社のクラウドサービス
• 自社や担当者のメールボックス
• 顧客管理システム
• 外部の営業支援・予約管理サービス

例えば、フォームから届いた内容をメールで受信し、さらに顧客管理システムへ転記している場合、同じ情報が複数の場所に存在することになります。

このような構成自体が問題というわけではありません。

ただし、保存先が増えるほど、それぞれの管理状況を把握する必要があります。

「どこに保存され、誰が見られるのか」を説明できる状態にすることが重要です。

5. フォームが攻撃の対象になる理由

申し込みフォームは、顧客がインターネットから利用できるように設計されています。

そのため、関連するシステムや管理画面が外部から攻撃の対象になる可能性があります。

一般的なリスクには、次のようなものがあります。

• ソフトウェアの脆弱性を悪用した攻撃
• 管理者アカウントへの不正ログイン
• 設定ミスによる情報の公開
• 必要以上に広いアクセス権限
• 更新されていないプラグインや外部連携機能

これらは一般的なリスクであり、今回のニフティの不正アクセス原因として確認されたものではありません。

自社のフォームを安全に運用するには、入力画面だけでなく、裏側の管理機能も含めて点検する必要があります。

6. 中小企業で起こり得る具体例

ここからは、今回の事案とは別の仮想事例です。

例えば建設会社では、見積もり依頼フォームに、工事場所、建物の状況、連絡先などが入力される場合があります。

顧客から預かった情報を守るためには、送信後の保存先と、社内で閲覧できる担当者を確認することが重要です。

7. 外部委託先と情報管理の責任分担

中小企業では、ホームページ制作会社やシステム提供会社に、フォームの設置・管理を任せている場合があります。

しかし、外部に任せているからといって、顧客情報の管理について確認する必要がなくなるわけではありません。

次の項目を確認しておきましょう。

• フォームのシステム管理者は誰か
• ソフトウェアの更新を誰が行うか
• 顧客情報の保存場所はどこか
• 管理画面にアクセスできる担当者は誰か
• 事故発生時に誰から連絡が来るか
• ログの保存と調査への協力は可能か
• 契約終了後にデータを削除できるか

契約書やサービス仕様書に記載がある場合は、その内容も確認します。

外部サービスの管理については、クラウド事業者のリスクと企業が確認したいことも参考にしてください。

8. 管理画面とアクセス権限の対策

申し込みフォームの管理画面には、顧客から送信された情報が表示される場合があります。

そのため、管理者アカウントの保護は重要です。

中小企業でも、次の対策から確認できます。

• 利用できる場合は多要素認証を設定する
• 管理者アカウントを必要最小限にする
• 担当者ごとに個別のアカウントを利用する
• 退職者・異動者の権限を速やかに見直す
• 推測されにくいパスワードを利用する
• ソフトウェアやプラグインを適切に更新する
• ログイン履歴や操作ログを確認できるようにする

独立行政法人情報処理推進機構（IPA）の中小企業の情報セキュリティ対策ガイドラインも参考になります。

9. 不要な個人情報をため込まない

フォームの情報管理では、情報を安全に保管するだけでなく、必要以上に集めたり、長期間保存したりしないことも大切です。

例えば、資料請求に必要なのが氏名とメールアドレスだけであれば、ほかの情報まで取得する必要があるか見直せます。

また、過去の問い合わせ情報が長期間保存されている場合、業務上の必要性や法令上の保存義務を確認したうえで、適切な保存期間を決めることが重要です。

ただし、事故調査中のデータや法令上保存が必要な情報を、確認せずに削除することは避けてください。

個人情報の取り扱いについては、個人情報保護委員会の公式情報も確認しましょう。

10. 不正アクセスを疑ったときの初動対応

フォームや顧客管理システムに異常が見つかった場合、最初の対応が重要になります。

一般的には、次のような手順を検討します。

1. 異常を発見した日時と内容を記録する
2. 社内責任者とシステム管理者へ連絡する
3. 専門家と相談し、必要なアクセス制限や通信遮断を行う
4. 調査に必要なログや証拠を保全する
5. 対象となる顧客情報と影響範囲を確認する
6. フォーム提供会社や委託先と情報を共有する
7. 法令や契約に基づく報告・通知の要否を確認する
8. 安全性を確認したうえで復旧を判断する

原因を調べる前にログを消去したり、証拠を残さずシステムを初期化したりすると、調査が難しくなる場合があります。

事前の連絡体制については、サイバー事故の緊急連絡先を事前に準備する重要性も参考にしてください。

11. 顧客への説明と二次被害の防止

個人情報の漏えいが確認された場合や、そのおそれがある場合には、事故の内容によって本人通知や関係機関への報告が必要になることがあります。

顧客への案内では、次の内容を分かりやすく整理することが重要です。

• 何が起きたのか
• どの情報が対象となる可能性があるか
• 現時点で確認できている事実
• 調査中の事項
• 顧客自身が注意すべきこと
• 問い合わせ窓口と今後の案内

氏名や連絡先などが流出した場合には、不審なメールや電話などに利用される可能性も考えられます。

ただし、今回のニフティの事案で実際に二次被害が発生したと確認したものではありません。

顧客に注意を呼びかける場合は、公式サイトや正規の窓口から情報を確認するよう案内することも重要です。

12. 事故対応費用とサイバー保険

顧客情報の漏えいが疑われる場合、被害の確認や原因調査のため、外部専門家への依頼が必要になることがあります。

状況によっては、次のような費用や業務上の影響が発生します。

• 不正アクセスの原因調査費用
• 影響範囲を確認するための調査費用
• システム復旧や安全対策の費用
• 顧客への通知・問い合わせ対応費用
• 法律相談などの費用
• 申し込み受付の停止による業務への影響

サイバー保険では、契約内容と事故状況によって、これらの費用や賠償責任、事業中断による損失の一部が補償対象となる場合があります。

ただし、情報漏えいの可能性があるだけで、すべての費用が自動的に補償されるわけではありません。

保険商品ごとの補償対象、免責金額、支払限度額、待機期間、事故通知条件などを確認する必要があります。

詳しくは中小企業が知るべきサイバー保険の全貌と実務ポイントも参考にしてください。

13. 社長向けチェックリストと今日の一歩

自社の申し込みフォームについて、次の項目を確認してみましょう。

• □ ホームページにあるフォームをすべて把握している
• □ フォームで取得する個人情報の項目を把握している
• □ 送信された情報の保存先を把握している
• □ 管理画面にアクセスできる担当者を把握している
• □ 管理者アカウントの多要素認証を確認している
• □ フォームやプラグインの更新担当者が決まっている
• □ 外部委託先の緊急連絡先を把握している
• □ 不要な個人情報の保存期間を見直している
• □ 事故発生時の報告と顧客通知の担当者が決まっている
• □ サイバー保険の事故対応条件を確認している

今回のニュースは、光回線の申し込みシステムだけの問題ではありません。

問い合わせフォームや見積もり依頼フォームを利用している中小企業にとっても、顧客情報の管理状況を確認するきっかけになります。

今日の一歩は、自社ホームページのフォームを一つ開き、「入力された情報がどこに保存されるか」「誰が管理画面を見られるか」を担当者に確認することです。

顧客情報を守るために、まずは身近なフォームから点検してみてください。

【参考情報】

• IPA｜中小企業の情報セキュリティ対策ガイドライン
• 個人情報保護委員会｜公式サイト
• 中小企業庁｜BCP関連情報