建築資材流通・住宅事業のナイス株式会社（横浜市鶴見区）、メールアドレスへの不正アクセスで約2,400件が漏えいの可能性

項目	内容
発生日	2026年7月22日に不正アクセスが疑われる不審な挙動を確認。侵入の開始時期は公表されていない
公表日	2026年8月6日
対象組織・業界	ナイス株式会社（建築資材事業・住宅事業・木造建設事業／神奈川県横浜市鶴見区。東証スタンダード上場／建設・不動産）
影響件数	約2,400件。氏名、メールアドレス、電話番号、会社名、会社住所
攻撃手法	同社が管理するメールアドレスに対する第三者による不正アクセス。侵入経路は公表されていない
情報源	ナイス株式会社 公式発表（2026年8月6日）、サイバーセキュリティ.com（2026年8月13日）

概要

建築資材の流通と住宅事業を手がけるナイス株式会社（横浜市鶴見区）は2026年8月6日、同社が管理するメールアドレスが第三者による不正アクセスを受け、個人情報が漏えいした可能性があると公表しました。

2026年7月22日に不正アクセスが疑われる不審な挙動を確認したもので、対象件数は約2,400件です。含まれる項目は氏名、メールアドレス、電話番号、会社名、会社住所です。

同社は確認後ただちに、当該アカウントおよび連動する管理用パスワードの変更と、外部からのアクセスを遮断する応急措置を実施しました。今後はセキュリティ体制の再構築および監視体制の強化を進めるとしています。

現時点において、同社グループ内の他システムに対する不正アクセスの痕跡は確認されていません。対象となる方々には関係法令などを踏まえて速やかに個別に対応するとしており、追加の事実が判明した場合は速やかに公表するとしています。

経緯

• 侵入の開始時期: 公表されていない
• 2026年7月22日: 不正アクセスが疑われる不審な挙動を確認
• 確認後ただちに: 当該アカウントおよび連動する管理用パスワードを変更。外部からのアクセスを遮断する応急措置を実施
• 2026年8月6日: ナイス株式会社が公表。グループ内の他システムへの不正アクセスの痕跡は確認されていないとする

原因

判明している事実: 同社が管理するメールアドレスが第三者による不正アクセスを受けたことです。侵入経路、認証情報がどのように取得されたか、侵入の開始時期は公表されていません。

考えられる原因（推測）

対応として最初に挙げられているのが「当該アカウントおよび連動する管理用パスワードの変更」である点は、認証情報そのものが突破されたことを示唆します。脆弱性の悪用であればパスワードの変更は主要な対処になりません。フィッシングによる窃取、他サービスからの流用、あるいは試行の繰り返しによる推測といった経路が考えられます。

漏えい項目が氏名、メールアドレス、電話番号、会社名、会社住所という構成である点も、この事案の性格を示しています。個人の住所や生年月日ではなく、勤務先とその連絡先が揃った、法人取引の担当者情報です。約2,400件という規模から、そのメールアドレスが業務でやり取りしてきた相手が蓄積されていたと考えられます。

「連動する管理用パスワード」という表現からは、当該アカウントの認証情報が他の管理機能とも結びついていた可能性が読み取れます。グループ内の他システムへの痕跡が確認されていないことは、その連鎖が実際には使われなかったことを示していると考えられます。

対策

組織が学ぶべきこと

1. 業務メールアカウントは、それ自体が名簿である

今回漏えいしたのは、社内システムのデータベースではなくメールアドレス1つ分のやり取りです。それでも約2,400件の取引先担当者情報が対象になりました。業務用のメールボックスは、送受信を重ねるほど取引先の連絡先を蓄積していきます。保護対象を「顧客データベース」に限定して考えると、この経路は設計から漏れます。

2. 認証情報が突破される前提で、多要素認証を業務メールに適用する

パスワードの変更が最初の対処になっている以上、認証情報の突破が起点であった可能性が高いといえます。パスワードの強度だけに依存する防御は、フィッシングにも流用にも試行の繰り返しにも耐えません。業務メールへの多要素認証の適用は、この層での最も直接的な対策になります。

3. アカウントの権限が他の機能と連動していないかを棚卸しする

公式発表にある「連動する管理用パスワード」という記述は、1つのアカウントの侵害が他の機能に波及し得る構成だったことを示します。1つのアカウントが奪われたときにどこまで到達できるかを、事前に把握しておく必要があります。今回はグループ内の他システムへの痕跡が確認されていませんが、それは結果であって設計上の保証ではありません。

ヤグラの視点 — 二次攻撃の連鎖を断つ：奪われたのは取引先の宛名帳である

漏えいした項目は、氏名、メールアドレス、電話番号、会社名、会社住所です。個人の自宅住所も生年月日もカード情報も含まれていません。項目だけを見れば、機微さの低い情報に見えます。

ただし、この5項目の組み合わせには別の意味があります。誰が、どの会社の、どの担当者で、どこに連絡すれば届くのかが揃っている。しかもそれが、建築資材の流通という発注・納品・請求のやり取りが日常的に発生する業界の取引関係のなかから出てきたものです。攻撃者の側から見れば、これは取引先を装った連絡を組み立てるための材料になります。「先日の件で振込先が変わりました」という文面は、実際に取引がある相手には自然に見えます。

だからこの種の漏えいへの備えは、流出した情報の機微さで測るものではなく、その後に来るなりすましを何分で止められるかで考えるべきものです。取引先の側に不審な連絡が届いたとき、それが自社発の正規のメールなのかを短時間で判定できるか。同じ文面が他の取引先にも届いていないかを追えるか。報告の間口を1クリックまで下げ、報告されたメールをAIが数分で分析して同じものが誰に届いているかまで自動で調べる体制は、この空白を埋めるために働きます（→ PhishAI）。

同社は7月22日に不審な挙動を確認し、ただちにパスワード変更とアクセス遮断まで到達しています。侵害そのものへの初動は速い部類です。名簿が外に出た事案では、そこから先の二次波にどう構えるかが次の論点になります。

今後の対応

• 侵入経路と、認証情報が取得された経緯の特定
• 侵入の開始時期と、メールボックスが閲覧されていた期間
• 対象者への個別連絡の状況
• セキュリティ体制の再構築と監視体制強化の具体的内容

判明次第、本記事に追記します。

更新履歴

日時	内容
2026-08-14	2026年8月6日の公表内容をもとに記事を公開