NTTデータ、委託先への不正アクセスで社債特典サービスを停止、デジタル証券めぐり漏えいの公表相次ぐ

☑️ NTTデータが委託先SaaSへの不正アクセスで社債特典サービスを停止
☑️ 社債購入者情報が対象、発行体のJR西日本も公表し近鉄は2,678件
☑️ セゾンの不動産STでも1,889名の漏えい確認、委託先経由の公表が業界で相次ぐ

NTTデータは10月31日、社債購入者への特典付与を支援するサービス「STdirectServices」を停止していると発表しました。同サービスで利用している委託先のSaaSサービスで第三者による不正アクセスが発生したことを受けた措置で、委託先が取り扱う個人情報が漏えいした可能性があり、委託先で調査が進められています。

この委託先が提供する「デジタル証券プラットフォーム」は、デジタル特典付き社債の特典申込や顧客管理に使われています。同日、楽天証券、近鉄グループホールディングス、SBI証券、野村證券が、同じプラットフォームをめぐる情報漏えいの可能性を相次いで公表し、社債の発行体である西日本旅客鉄道（JR西日本）も、投資家情報が漏えいした可能性を明らかにしました。NTTデータの発表では、不正アクセスを受けた委託先の社名や、漏えいした可能性のある情報の件数・項目、発生時期は示されておらず、サービスの再開時期にも言及がありません。なお、現時点では特典付与の対象となる社債がないため、サービス停止による特典付与業務への影響はないとしています。

社債購入者の氏名や購入金額が対象に

近鉄グループホールディングスによると、対象は2026年7月に発行した第135回無担保社債を100万円以上購入した投資家の2,678件で、特典を申し込んだ投資家に限られません。漏えいした可能性があるのは氏名と購入金額で、証券口座番号やパスワードなどの金融取引に関する情報は保持しておらず、含まれていないとしています。同社は10月30日にNTTデータから、プラットフォーム内の情報が外部に持ち出された可能性があるとの報告を受け、個人情報保護委員会などの関係機関へ報告を行っています。

SBI証券では、同社でこの社債を購入した対象の顧客が1,169名で、漏えいした可能性がある情報は氏名と購入金額です。楽天証券では、同社が販売したデジタル特典付き社債3銘柄の一部購入者が対象で、延べ362件としています。対象には近鉄グループホールディングスの第135回無担保社債のほか、カゴメの第1回無担保社債、JR西日本の第80回無担保社債が含まれます。

三菱UFJモルガン・スタンレー証券でも、同社経由でこの社債を購入した顧客95名が対象となり、漏えいした可能性がある情報は氏名と購入金額です。証券口座番号やパスワードなどの金融取引に関する情報は含まれていないとの報告を受けたとしています。

野村證券は、デジタル特典付き社債の購入者に関する顧客管理業務の一部をNTTデータの委託先が担っていたと説明しています。漏えいした可能性のある情報の内容は確認中で、対象と確認された顧客には順次、個別に案内するとしています。4社とも、証券口座番号やパスワードなどの金融取引に関する情報は漏えいの対象に含まれていないと説明しています。楽天証券と野村證券は、本件に起因する不正取引や不正利用は現時点で確認されていないとしています。

JR西日本によると、漏えいした可能性があるのは、第80回無担保社債を購入した投資家情報2件で、項目は氏名、住所、電話番号、メールアドレス、性別、生年月日です。同社は10月30日にNTTデータから、プラットフォーム内の情報が外部に持ち出された可能性があるとの報告を受けており、対象の投資家には、販売会社である楽天証券から個別に連絡しているとしています。

ソニー銀行、スターツ証券、セゾン、フィリップ・キャピタル証券も委託先の漏えいを公表

デジタル証券に関連する外部委託先の事案は、同じ時期に別の公表もありました。ソニー銀行は10月30日付のお知らせで、デジタル証券に関連する外部委託先のシステムへの不正アクセスにより、顧客情報の漏洩が判明したと公表しました。漏洩が確認されたのは、4名分の氏名・住所・生年月日・口座番号と、617名分の氏名です。委託先は10月29日にシステムの異常を検知し、同日に不正アクセスと特定したといいます。

スターツ証券は31日、同社が取り扱うセキュリティ・トークンをめぐり、プラットフォーム提供会社のSecuritizeから、同社システム「Securitize PF」への不正アクセスの報告を受けたと公表しました。Securitizeは10月29日に不正アクセスを検知し、第三者が顧客情報の一部を取得したことが判明したということです。漏えいの懸念があるのは氏名と保有口数で、住所や電話番号などの連絡先、パスワードなどの認証情報へのアクセスは確認されていないとしています。今回のデジタル証券をめぐる一連の公表で、委託先の社名が示されたのはスターツ証券の発表におけるSecuritizeだけです。

カード会社の不動産セキュリティ・トークンでも、外部委託先の漏えいが確認されました。クレディセゾンは31日、不動産セキュリティ・トークン「セゾンのスマート不動産投資」について、外部委託先が提供する会員管理プラットフォームへの不正アクセスで、顧客の個人情報が漏えいしたと公表しました。不正アクセスは10月29日3時42分から6時17分にかけて発生し、外部からアクセス可能となっていた認証の仕組みの不備が悪用されたとの報告を、同社は同日、委託先から受けました。漏えいが確認されたのは1,889名で、うち39名分は、氏名、メールアドレス、住所、生年月日、電話番号、国籍、配当金受取口座に関する情報、投資家適合性に関する情報、購入口数で、漏えいした項目は顧客によって異なります。残る1,850名分は氏名と購入口数です。会員プラットフォームではクレジットカード情報を保有しておらず、カード番号の漏えいはないとしています。また、保有資産に関する記録の書き換えや、ブロックチェーン上での資産の移転は確認されていないということです。会員プラットフォームは10月29日22時から緊急停止されており、影響を受けた顧客には順次連絡するとしています。

フィリップ・キャピタル証券も、デジタル証券に関連する外部委託先1社のシステムへの不正アクセスで、顧客情報の漏えいが確認されたと発表しました。漏えいが確認されたのは162名分で、氏名や取引数量、取引後の保有数量、国、取引日時のほか、うち100名については投資家IDやメールアドレス、生年月日など、1名については住所も含まれます。委託先は10月29日に異常を検知して同社へ第一報を入れたとしており、銀行口座情報は委託先のシステムに登録されていないため漏えいには含まれていないとしています。この事案による不正な取引は確認されていないとしています。

10月の証券業界、委託先経由の漏えい公表が連鎖

証券業界では10月、委託先のシステムを経由した情報漏えいの公表が相次ぎました。大和証券は10月5日、問い合わせ管理などに利用するサービスの提供元であるスカラコミュニケーションズのサーバへの不正アクセスで、約11万人の顧客に関する氏名やメールアドレス、口座番号などが漏えいした可能性があると発表しました。個人を特定できない情報を含めると、対象は約22万件に上ります。

岩井コスモ証券は10月20日、インターネット取引のシステム運用・保守を委託するトレードワークスへの不正アクセスで、漏えいの対象が4,975人になったと発表しました。この事案では、売買管理システムへの攻撃で7つの口座に意図しない売買注文が出され、5つの口座で約定しましたが、取引前の状態に戻す措置は完了しています。同じ20日には、マネックス証券も、外部委託先のシステムに対する不正アクセスの形跡が確認されたとして、証券総合取引口座の新規開設を一時停止しました。

野村證券は10月23日にも、ポートフォリオ管理ツール「i-Port」のメール配信を委託するユミルリンクのシステムへの不正アクセスで、金融機関などの利用者のメールアドレス等が漏えいした可能性があると発表しています。

ニッキンONLINEの報道によると、日本証券業協会の日比野隆司会長は10月21日の定例会見で、証券会社の外部委託先への不正アクセスによる顧客情報の漏えいや不正取引が相次いで発生しているとし、「本体というより委託先が狙われている」と危機感を示し、委託先を含む管理の重要性を強調しました。

業界側の対応も進んでいます。金融庁は10月9日、金融機関等への注意喚起で、サードパーティリスク管理やインシデント対応態勢を含めたサイバーセキュリティ対策の点検を求めました。認証面では、金融庁や日本証券業協会、警察庁が、フィッシングに耐性のある多要素認証（パスキーによる認証など）の提供・必須化を証券各社に要請してきました。金融庁は監督指針に基づく必須化について、原則として2026年6月末までに対応するよう求めており、各社でパスキー認証の必須化が進んでいます。

NTTデータは、引き続き関係各社と連携し、状況の確認を進めるとしています。

発表日時: 2026年10月31日
関連URL: https://www.nttdata.com/global/ja/news/release/2026/103101/