眼科医療機器メーカーの株式会社ニデック（愛知県蒲郡市）、Webサイトのソフトウェア脆弱性を悪用した不正アクセス — 会員約28,000名・問い合わせ約4,500名分に影響
| 項目 | 内容 |
|---|---|
| 発生日 | 公表されていない。2026年7月24日に不正アクセスの痕跡を確認した旨を公表 |
| 公表日 | 2026年7月24日（第一報）／2026年8月7日（調査結果） |
| 対象組織・業界 | 株式会社ニデック（NIDEK CO., LTD.／愛知県蒲郡市。眼科医療機器・健診機器・眼鏡関連機器のメーカー／製薬・医療機器） |
| 影響件数 | 会員登録者 約28,000名分、問い合わせ者 約4,500名分（計 約32,500名分）。外部へ流出した事実は確認されていないが、可能性は完全には否定できないとされる |
| 攻撃手法 | 同社Webサイトで使用していたソフトウェアの脆弱性を悪用した不正アクセス |
| 情報源 | 株式会社ニデック 第一報（2026年7月24日）、株式会社ニデック 調査結果（2026年8月7日）、ScanNetSecurity（2026年8月12日） |
眼科医療機器・眼鏡関連機器メーカーの株式会社ニデック（NIDEK CO., LTD.／愛知県蒲郡市）は2026年7月24日、同社が運営するWebサイトに対し、第三者による不正アクセスの痕跡を確認したと公表しました。第一報の時点では「一部会員情報へのアクセスの可能性を確認」とされ、影響範囲と漏えいの有無は調査中とされていました。
外部専門機関との調査を経て、同社は8月7日に調査結果を公表します。原因はWebサイトで使用していたソフトウェアの脆弱性を悪用した不正アクセスと判明しました。アクセスの対象になった可能性があるのは、会員登録者 約28,000名分と、Webサイトから問い合わせを行った約4,500名分の情報です。
会員登録者について対象となった項目は、氏名（本会員のみ）、会員ID、メールアドレス、会員区分（国内会員のみ）、保護されたパスワード（本会員のみ）。問い合わせ者については、氏名、メールアドレス、勤務先名、所属、電話番号、郵便番号、住所、問い合わせ内容です。同社は「対象情報が外部へ流出した事実は確認されていない」としつつ、流出の可能性を完全には否定できない状況であると明記しています。
再発防止策として、脆弱性が確認されたソフトウェアのアップデートに加え、問い合わせデータの保管状況を見直し、不要となった過去データを削除したことが公表されています。
- 侵入の開始時期: 公表されていない
- 2026年7月24日: 同社Webサイトへの不正アクセスの痕跡を確認した旨を公表。一部会員情報へのアクセスの可能性を確認、詳細は調査中とする
- 2026年7月24日以降: 外部専門機関と連携し、影響範囲および情報漏えいの有無を調査
- 2026年8月7日: 調査結果を公表。原因をソフトウェアの脆弱性の悪用と特定し、対象件数と情報項目を開示。再発防止策を実施
- 2026年8月12日: 報道により広く伝えられる
判明している事実: 同社は調査結果において、原因を「Webサイトで使用していたソフトウェアの脆弱性を悪用した不正アクセス」と明示しています。該当ソフトウェアの製品名、脆弱性の識別番号（CVE）、公開時期、パッチ適用が遅れた理由は公表されていません。侵入の開始時期と滞留期間も明らかにされていません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”対象が「会員登録」と「問い合わせフォーム」という、いずれもコーポレートサイト上の機能である点から、侵害されたのはCMSやそのプラグイン、フォーム処理を担うコンポーネントといったWeb公開層のソフトウェアであった可能性が考えられます。この層は業務システムと違って改修の頻度が低く、構築時のベンダーとの契約が終了した後は更新の担い手が不明確になりやすい部分です。
同社が再発防止策として「不要となった過去データの削除」を挙げていることは、問い合わせフォームで受け取ったデータが、対応完了後も削除されずに蓄積されていたことを示唆します。問い合わせ者4,500名分に勤務先名・所属・住所・電話番号まで含まれているのは、フォームの入力項目がそのまま保存され続けていたためと考えられます。
パスワードが「保護された」と表現されている点については、ハッシュ化などの処理が施されていたことを意味しますが、アルゴリズムやソルトの有無は公表されていません。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. コーポレートサイトを資産台帳の外に置かない
Section titled “1. コーポレートサイトを資産台帳の外に置かない”今回破られたのは、製品でも工場でもなく、会員向けの機能を持つ企業Webサイトでした。この種のサイトは広報・マーケティング部門が主管し、構築は外部ベンダーに委託されることが多く、情報システム部門の資産管理台帳やパッチ管理の対象から外れがちです。脆弱性情報が公開されても、自社が使っているかどうかの照合対象にすら入らなければ、更新は起こりません。外部から到達できるサイトとそのソフトウェア構成は、業務システムと同じ台帳で管理する必要があります。
2. 問い合わせフォームの受信データに寿命を設定する
Section titled “2. 問い合わせフォームの受信データに寿命を設定する”問い合わせ者4,500名分には、勤務先名・所属・住所・電話番号・問い合わせ内容が含まれていました。問い合わせは対応が終われば役目を終える情報であり、保管し続ける業務上の理由は多くの場合ありません。それでも残るのは、削除の手順とタイミングを誰も決めていないためです。同社が再発防止策で過去データの削除に触れているとおり、削除ルールの有無が、侵害されたときの影響件数をそのまま決めます。
3. ハッシュ化されたパスワードでも、利用者への注意喚起は必要になる
Section titled “3. ハッシュ化されたパスワードでも、利用者への注意喚起は必要になる”パスワードが保護されていたことは被害を抑える方向に働きますが、同じパスワードを他サービスで使い回している利用者がいる限り、リスクはその利用者の他のアカウントに移ります。会員IDとメールアドレスが同時に対象になっている場合はなおさらです。技術的に安全側であっても、対象者への変更案内と、認証情報の使い回しを前提にした監視は別途必要です。
ヤグラの視点 — 攻撃面の拡張：攻撃者は組織図を見て侵入先を選ばない
Section titled “ヤグラの視点 — 攻撃面の拡張：攻撃者は組織図を見て侵入先を選ばない”医療機器メーカーにとって、守るべき対象として真っ先に挙がるのは製品そのものと製造現場です。薬機法対応、製品のサイバーセキュリティ要求、工場の制御系——投資の議論はそこに集まります。今回侵害されたのは、そのどれでもない会員向けの機能を持つコーポレートサイトでした。攻撃者は組織にとっての重要度で標的を選ぶのではなく、外部から到達できて、かつ古いソフトウェアが動いている場所から入ります。守る側の優先順位と、破られる場所の順位は一致しません。
流出した可能性がある情報の性質も見ておく必要があります。眼科医療機器メーカーの会員登録者や問い合わせ者は、その多くが医療機関や眼鏡小売の関係者です。氏名・勤務先名・所属・メールアドレスが揃った名簿は、その業界の内部関係者を装うための材料になります。「先日お問い合わせいただいた件で」という書き出しのメールは、実際に問い合わせた本人には自然に見えます。流出の事実が確認されていない段階でも、二次波が来る前提で構えておくことに損はありません。
騙される前提に立つなら、報告の間口を1クリックまで下げ、報告されたメールをAIが数分で分析し、同じメールが社内の誰に届いているかまで自動で調べる体制が、二次被害を断つ現実的な手立てになります（→ PhishAI）。そのうえで、防御の起点は無限に見つかる脆弱性を全件潰すことではなく、外部から到達できる資産を数え、そこに置いたデータの寿命を先に決めることにあります。今回、同社が再発防止策として真っ先に挙げたのがソフトウェアの更新とデータの削除だったのは、その順序を正しく踏んだ結果と言えます。
- 悪用されたソフトウェアと脆弱性の特定、パッチ公開から悪用までの期間
- 侵入の開始時期と、痕跡確認までの滞留期間
- 対象者への個別通知の状況と、外部流出の有無に関する最終的な確定
判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-08-12 | 2026年7月24日の第一報および8月7日の調査結果をもとに記事を公開 |