大和証券の委託先に不正アクセス｜約11万人の顧客情報が漏えいした可能性
大和証券が公表した情報漏えいの概要
2026年10月5日、大和証券株式会社は、顧客からのインターネット経由の問い合わせ管理に利用している外部サービスが不正アクセスを受け、約11万人の顧客情報が漏えいした可能性があると公表しました。
不正アクセスを受けたのは、委託先である株式会社スカラコミュニケーションズのサーバーです。大和証券は、自社のシステムへの不正アクセスは確認されていないと説明しています。
現時点で公表されている内容は、次のとおりです。
| 項目 | 公表内容 |
|---|---|
| 不正アクセスの発生期間 | 2026年10月2日20時33分頃〜10月3日8時1分頃 |
| 大和証券が委託先から連絡を受けた日 | 2026年10月3日 |
| 大和証券の公表日 | 2026年10月5日 |
| 対象 | インターネット経由の問い合わせ履歴に含まれる情報 |
| 個人を特定できる情報を含む対象 | 約11万人 |
| 個人を特定できない問い合わせを含む合計 | 約22万件 |
| 大和証券のシステムへの侵入 | 確認されていない |
「約11万人」と「約22万件」は同じ数え方ではありません。約11万人は、氏名などの個人を特定できる情報を含む顧客の人数です。約22万件は、個人を特定できない問い合わせも加えた問い合わせ情報の件数です。
漏えいした可能性がある情報
大和証券は、約11万人について、次の情報が漏えいした可能性があるとしています。
- 氏名
- メールアドレス
- 口座番号
- 問い合わせ内容など
公式発表では「氏名、メールアドレス、口座番号等」と記載されており、対象となるすべての情報項目は明らかにされていません。また、現段階では「漏えいした可能性」であり、正確な対象範囲は引き続き調査されています。
委託先のスカラコミュニケーションズは10月6日、FAQシステム「i-ask」の管理サイトへ第三者が不正にログインし、サーバー上に不正なプログラムを設置したと公表しました。同じサーバーで稼働していた最大5社の環境から、問い合わせ情報が取得された可能性があると説明しています。
なお、大和証券の公式発表では、利用していたサービスの名称は明記されていません。
証券口座や取引への影響
大和証券によると、漏えいした可能性がある情報だけでは、オンライントレードを含む証券口座へのアクセスや取引はできません。
2026年10月5日の発表時点では、次の事実も確認されていません。
- 本件に起因する不正な取引
- 対象情報のインターネット上での公開・拡散
一方、氏名や問い合わせ内容などを利用し、大和証券や関係者を装う電話やメールが送られる可能性はあります。「自分の名前や過去の問い合わせ内容を知っているから本物だ」と判断せず、連絡元を確認することが重要です。
対象となる顧客が確認したいこと
大和証券は、対象となる顧客へ2026年10月5日に「お知らせBOX」で個別に連絡しています。心当たりがある方は、受信した案内を確認してください。
不審な電話やメールを受け取った場合は、次のように対応します。
- メッセージに記載されたリンクや添付ファイルを開かない
- 取引用ID、パスワード、暗証番号、ワンタイムパスワードを伝えない
- メッセージに記載された連絡先ではなく、大和証券の公式サイトで確認した窓口へ問い合わせる
- 身に覚えのない取引や連絡がないか確認する
本件に関する大和証券の専用窓口は、0120-851850です。受付時間は平日の9時から17時までと案内されています。
公式発表では、すべての顧客にパスワード変更を求めているわけではありません。まず個別通知の有無を確認し、不審な取引や連絡がある場合は公式窓口へ相談してください。
大和証券と委託先が公表した対応
大和証券は、既存の委託先を点検するとともに、スカラコミュニケーションズによる原因調査と恒久対策を確認し、委託先管理の強化策と実施時期を決めるとしています。
スカラコミュニケーションズは、被害拡大を防ぐため、次の対応を実施したと公表しています。
- 不正ログインに使われたアカウントと、全環境の管理者アカウントのパスワード変更
- 攻撃元IPアドレスからのアクセス遮断
- 設置された不正プログラムの隔離
- アップロードされたファイルをプログラムとして実行できないようにする設定変更
- 外部専門機関と連携したフォレンジック調査
今後は、管理者認証への多要素認証の導入、環境間の分離、監視体制の強化、第三者による定期的な脆弱性診断などを進めるとしています。
外部サービスを利用する企業が確認したい5つの項目
以下は、今回の不正アクセスの原因を推測するものではありません。問い合わせ管理や顧客情報の保管を外部サービスへ委託している企業が、一般的な備えとして確認したい項目です。
1. 委託先に保存されている情報を把握しているか
どの委託先に、どのような顧客情報を、どのくらいの期間保存しているかを一覧にします。委託先で事故が起きた際、影響を受ける情報と顧客を速やかに特定できる状態が必要です。
2. 管理画面の認証と権限が適切か
管理者アカウントに多要素認証を設定し、担当者ごとに必要な権限だけを付与します。退職、異動、委託終了時にアカウントを無効化する手順も確認します。
3. 顧客ごとの環境が適切に分離されているか
一つの環境への侵入が、ほかの顧客環境へ広がらない構成になっているかを確認します。ネットワーク、データベース、権限の分離が実際に機能するかを検証することも重要です。
4. 不審なログインや大量取得を検知できるか
通常と異なる接続元や時間帯からの管理者ログイン、短時間での大量データ取得、想定外のファイル設置を検知し、担当者へ通知できる仕組みを確認します。
5. 委託先と事故対応の手順を共有しているか
事故の連絡期限、調査に必要な記録、顧客への通知、関係機関への報告について役割を決めます。契約書に記載されているだけでなく、緊急連絡先が機能するか定期的に確かめることが大切です。
委託先を含めたシステムの安全性を確認したい企業へ
公表情報だけでは、不正ログインに使われた認証情報がどのように取得されたかまでは明らかになっていません。そのため、「特定の診断を実施していれば今回の事故を防げた」と断定することはできません。
一方、自社が管理するWebシステムだけでなく、顧客情報を預ける外部サービス、管理画面、アカウント権限を含めてリスクを整理することは重要です。
- Webアプリセキュリティ診断 — 問い合わせフォームや管理画面、認証機能の弱点を確認
- 脆弱性診断 — 公開システムの既知の脆弱性や設定不備を確認
- ペネトレーションテスト — 認証情報が侵害された場合の影響や重要情報への到達可能性を検証
対象範囲が決まっていない場合でも、システム構成や外部サービスとの接続状況を伺い、確認すべき範囲を整理できます。
よくある疑問
Q. 大和証券のシステムが不正アクセスを受けたのですか？
A. いいえ。大和証券は、自社のシステムへの不正アクセスは確認されていないと説明しています。不正アクセスを受けたのは、問い合わせ管理に利用していた外部委託先のサーバーです。
Q. 漏えいした可能性のある情報だけで証券口座へログインできますか？
A. 大和証券は、対象情報だけではオンライントレードを含む証券口座へのアクセスや取引はできないと説明しています。発表時点で、本件に起因する不正取引も確認されていません。
Q. 自分が対象かどうかは、どのように確認できますか？
A. 大和証券は、対象となる顧客へ2026年10月5日に「お知らせBOX」で個別に連絡しています。不明な場合は、大和証券の公式サイトに掲載された専用窓口へ確認してください。
Q. 全員がパスワードを変更する必要がありますか？
A. 公式発表では、すべての顧客に一律のパスワード変更を求める案内はありません。個別通知を確認し、不審な取引や連絡がある場合は公式窓口へ相談してください。
まとめ
大和証券が問い合わせ管理に利用していた外部委託先のサーバーが不正アクセスを受け、約11万人の氏名、メールアドレス、口座番号などが漏えいした可能性があります。個人を特定できない問い合わせを含めると、対象は約22万件です。
大和証券本体のシステムへの不正アクセスは確認されておらず、対象情報だけで証券口座へアクセスしたり取引したりすることはできません。一方、氏名や問い合わせ内容を使ったなりすましには注意が必要です。対象者は個別通知を確認し、不審な連絡があれば公式窓口へ相談してください。
参考情報
関連ページ
- Webアプリセキュリティ診断 — 問い合わせフォームや管理画面を含むWebシステムの安全性を確認
- 脆弱性診断 — システムの脆弱性や設定不備を幅広く確認
- ペネトレーションテスト — 攻撃者の視点で重要情報への到達可能性を検証
- 診断料金一覧 — 対象別の料金と診断プランを確認
御社のセキュリティは大丈夫ですか？
このインシデントと同様の攻撃に、御社のシステムは耐えられるでしょうか。
ペネトレーションテストで事前にリスクを把握することが最善の防御策です。
▼ セキュリティ対策の基礎知識