NELで23万人超の情報流出｜データ分析ツールの盲点と対策

社長、売上や顧客の動向を調べるために導入したデータ分析ツールが、どこまで個人情報を参照できるか把握していますか。分析に必要なのは件数や傾向だけでも、設定によっては氏名や連絡先、銀行口座情報などへアクセスできる場合があります。

2026年10月29日、NEL株式会社は、利用していたデータ分析ツールの脆弱性を悪用した不正アクセスによって、個人情報が外部へ流出したと発表しました。対象者数は、個人情報保護委員会へ提出した速報で235,329人とされています。

今回の事例は、外部ツールを導入すること自体の問題ではありません。分析目的に対して必要な情報は何か、ツールに与えたアクセス権限が適切か、事故時にどの範囲まで影響するかを考えるきっかけになります。

1．NEL株式会社で何が起きたのか

NEL株式会社は2026年10月29日、同社が利用していたデータ分析ツールの脆弱性を悪用した不正アクセスによって、個人情報が外部へ流出したと公表しました。単に流出の可能性を調査している段階ではなく、個人情報の外部流出を確認したという発表です。

NELは、商品を紹介する動画などを通じてブランドと生活者をつなぐ「osina」を運営しています。今回の対象にはosina会員のほか、取引先担当者、問い合わせ者、提携候補のクリエイターなどが含まれます。

ただし、公式発表では、問題となったデータ分析ツールの製品名や具体的な攻撃手法は明らかにされていません。NELが提供するツールの脆弱性だったと断定したり、別の企業の事故と同じ製品だったと推測したりすることは避ける必要があります。

一次情報：NEL株式会社｜不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（2026年10月29日）

2．10月14日の発見から公表まで

NELの公式発表によると、不正アクセスは2026年10月14日に発見されました。同社は発見後、直ちにアクセス制限などの必要な措置を実施したと説明しています。

10月17日には個人情報保護委員会へ速報を提出し、10月29日に公式サイトで事案を公表しました。同日には対象者に対し、osinaアプリ内のお知らせ、プッシュ通知、メールなどによる案内も行っています。

10月29日時点では、新たな不正アクセスは確認されていないとしています。一方、被害範囲の調査と再発防止策の実施は継続中であり、今回の速報値や対象範囲が最終確定したという意味ではありません。

3．対象者235,329人の意味

NELは、2026年10月17日に個人情報保護委員会へ提出した速報において、対象者数を235,329人としています。これは速報時点の対象者数であり、235,329人全員について同じ種類の個人情報が流出したという意味ではありません。

公式発表では、対象となる情報項目は登録状況によって異なると説明しています。ログイン用の外部サービスIDや利用履歴のみが対象となる人も含まれます。

4．流出対象となった個人情報

公式発表では、対象となる情報を利用者の区分ごとに示しています。osina会員には銀行口座情報やSNS連携用の認証情報が含まれる一方、取引先担当者ではメールアドレスやハッシュ化済みパスワードなどが対象です。

また、問い合わせ者の連絡先や相談内容、提携候補クリエイターの活動名やSNSのURLなども含まれています。分析ツールから参照できる情報が、単純な集計数値に限られていなかったことを考える材料になります。

表は各区分で対象となり得る情報の整理です。すべての対象者について、記載した情報が一律に流出したという意味ではありません。

5．流出対象外とされた情報

NELは、osina会員のメールアドレスとパスワードを保有しておらず、クレジットカード情報も取り扱っていないため、これらは今回の対象に含まれないと説明しています。

一方、取引先担当者の情報には、メールアドレスとハッシュ化済みパスワードが含まれています。「パスワードは一切対象外」とまとめると、取引先担当者の情報について誤った説明になるため注意が必要です。

6．データ分析ツールの脆弱性とは

データ分析ツールは、売上、利用履歴、顧客属性などを集計・分析し、経営判断やサービス改善に役立てる仕組みです。業務上の必要性からデータベースへ接続する場合がありますが、参照できる範囲が広いほど、不正アクセス時の影響も大きくなる可能性があります。

今回NELが公表したのは、利用していた分析ツールの脆弱性が悪用されたという事実です。ツールの製品名、具体的な弱点、攻撃者が取得した権限の詳細は、確認した公式発表には記載されていません。

したがって、特定の分析製品が危険だと決め付けることはできません。自社では、分析ツールの更新状況、公開範囲、接続先、認証設定を確認することが重要です。

7．外部ツールに渡す情報の範囲

社長が考えたいのは、分析に本当に必要な情報が何かという点です。例えば、売上の月別推移を把握するだけなら、顧客の氏名や銀行口座番号を分析ツールから参照できる必要はない場合があります。

一方、個別の顧客対応や報酬計算など、業務目的によっては特定の情報が必要になることもあります。大切なのは、目的と参照権限を照らし合わせ、必要のない情報を見せない設計にすることです。

これは一般的な見直し例であり、NELが実際にどのような分析目的やデータ設計を採用していたかを示すものではありません。自社の業務目的に合わせて判断してください。

8．銀行口座情報とSNS連携情報のリスク

NELの公式発表では、osina会員の銀行口座情報やSNS連携用の認証情報が対象に含まれるとされています。これらは、氏名や連絡先とは異なる種類の注意が必要な情報です。

銀行口座情報については、金融機関や運営会社を装って、口座情報の再登録や送金を求める不審な連絡に注意する必要があります。また、SNS連携用の認証情報が対象となった場合、第三者による不正な投稿や閲覧などのおそれがあるとNELは説明しています。

なお、10月29日時点で本件に起因する二次被害の申告は確認されていないと公表されています。今後の被害がないことまで保証するものではありません。

9．分析ツールの権限を最小化する

分析ツールの安全管理では、利用者のログイン権限だけでなく、ツール自体がデータベースから何を読み取れるかも重要です。閲覧専用の接続であっても、必要以上に多くの個人情報を参照できる設定であれば、流出時の影響が広がる可能性があります。

社内担当者・委託先へ確認したい事項

• 分析ツールが接続しているデータベースはどれか
• 接続アカウントが参照できるテーブルと項目は何か
• 氏名、住所、口座番号、認証情報へのアクセスが必要か
• 分析専用の集計データを利用できないか
• ツールの更新と脆弱性情報を誰が確認しているか
• 外部公開、管理者権限、多要素認証をどう設定しているか
• 異常時に接続を停止する手順があるか

重要なのは、ツールを利用しないことではなく、分析に必要な範囲へ権限を絞ることです。不要な項目を参照できない設定にし、定期的に見直しましょう。

10．不正アクセス発見後の対応と注意喚起

NELは、不正アクセス発見後にアクセス制限などを実施し、個人情報保護委員会へ速報を提出しています。また、10月29日には対象者へアプリ内通知、プッシュ通知、メールなどで案内したと説明しています。

銀行口座情報を登録した会員には、不審な口座確認や振込依頼への注意を呼びかけています。SNS連携を利用する会員には、各SNSの公式アプリから連携状況を確認し、身に覚えのない投稿や設定変更がある場合は連携解除を行うよう案内しています。

取引先担当者については、対象情報や必要な対応を専用窓口へ問い合わせるよう案内されています。対象区分によって確認すべき事項が異なるため、公式発表の該当箇所を確認することが重要です。

一次情報：NEL株式会社｜対象情報・注意事項・問い合わせ窓口

11．中小企業に共通する外部ツール管理

今回の事例は、マーケティング会社だけの問題ではありません。建設会社の顧客分析、製造業の受発注分析、運送会社の配送データ分析、店舗の会員分析など、外部ツールを利用する企業に共通する課題があります。

例えば、顧客の地域別件数を調べたいだけなのに、分析ツールから顧客の氏名、住所、電話番号、取引履歴をすべて参照できる設定になっていないでしょうか。集計結果だけを渡す仕組みへ変更できれば、外部ツールが扱う個人情報を減らせる可能性があります。

これは、NELの事故によって建設業や運送業などでも被害が発生したという意味ではありません。外部分析ツールを利用する企業に共通する実務上の確認事項です。

12．社長向け7項目チェックリスト

自社でデータ分析ツールを利用している場合は、次の7項目を確認してください。すべてを経営者自身が操作する必要はありませんが、担当者から説明を受け、未確認の項目を把握することが重要です。

最初は、分析ツールの接続先と参照できる情報を一覧にするだけでも構いません。必要性が説明できない情報項目があれば、アクセスを制限できないか担当者へ確認しましょう。

13．まとめ｜今日できる一つの行動

NEL株式会社は、利用していたデータ分析ツールの脆弱性を悪用した不正アクセスによって、個人情報が外部へ流出したと公表しました。対象者は速報で235,329人ですが、流出対象となる情報の種類は登録状況によって異なります。

今回の事例から考えたいのは、外部ツールを導入するときに、分析目的に必要な情報だけを参照させているかという点です。氏名や銀行口座情報、SNS連携用の認証情報など、重要な情報へ不要にアクセスできる状態を避けることが大切です。

公式一次情報

• NEL株式会社｜不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（2026年10月29日）
• NEL株式会社｜個人情報保護方針
• 個人情報保護委員会｜大規模な漏えい等事案を踏まえた対応について（2026年10月7日）
• 個人情報保護委員会｜個人情報保護法ガイドライン（通則編）

※本記事は2026年10月30日時点の公式発表を基に作成しています。235,329人は速報対象者数であり、全員について同じ情報項目が流出したという意味ではありません。分析ツールの製品名や具体的な攻撃手法は公式発表で確認できていません。