大和証券の委託先に不正アクセス。約11万人・22万件の漏えい「可能性」と確認先

まず初めに

証券会社のニュースで「問い合わせ管理」が主役になるとは、裏方にも出番がある。だが、今回の発表で分かるのは、委託先のサーバーが不正アクセスを受け、問い合わせ履歴の情報が漏えいした可能性があるという範囲まで。「外注したから漏れた」で片付けたら、調査報告書より先に評論が完成してしまう。まずは発表の限定語を、面倒でも落とさず読む。※個人の感想です

何が起きているのか

10月5日の公式発表の発表者は大和証券株式会社です。上場主体の大和証券グループ本社と、今回の顧客向け発表を行った会社は区別する必要があります。

大和証券は、インターネット経由の問い合わせ内容の管理等に利用するサービスの提供会社、株式会社スカラコミュニケーションズすからこみゅにけーしょんず（SC社）から、同社サーバーへの不正アクセスふせいあくせすと顧客情報へのアクセス・取得の形跡について報告を受けたとしています。保存されていた問い合わせ履歴に係る情報が漏えいした可能性があります。社員アカウントや証券取引システムへの侵入を公表した事案ではありません。

公式発表の項目	確認できる範囲
不正アクセスの期間	SC社の説明では10月2日20時33分頃〜10月3日8時1分頃
大和証券への連絡	10月3日
個人を特定できる情報	約11万人に係る氏名・メールアドレス・口座番号等が漏えいした可能性
問い合わせ等を含む合算	約22万件の情報が漏えいした可能性。約11万人に22万件を加算する意味ではない
大和証券のシステム	不正アクセスは確認されていない

SC社からは緊急セキュリティ強化を実施し、現時点で追加的な不正アクセスや情報漏洩は確認されていないと報告されたとしています。これは10月5日発表時点の説明です。

なぜ重要なのか

問い合わせ履歴にも、氏名や口座番号などの情報が含まれます。取引システムの話ではないから顧客への影響もない、とは読めません。一方、委託していた事実だけで委託先の防御の弱さや管理上の過失が立証されたわけでもありません。

公式発表は、SC社の原因調査と恒久対策を確認し、大和証券の委託先管理のあり方を検証するとしています。確認済みの事実、漏えいの可能性、これから調べる原因は分けて扱う必要があります。

私たちへの影響

大和証券は、対象となる可能性のある顧客へ速やかに個別連絡する方針です。連絡がまだ来ていないことだけでは対象外と判断できません。心配な場合や身に覚えのない連絡・取引がある場合は、公式ホームページ等で確認した正規の窓口へ問い合わせてください。

公式発表に記載された専用窓口は0120-851850、受付は9時〜17時（土・日・祝日を除く）です。窓口の最新案内は公式資料で確認してください。

同社は、漏えいした可能性のある本件情報だけでは、オンライントレードを含む証券口座へのアクセスや各種取引はできず、発表時点で本件に起因する不正取引、情報のインターネット上への公開・拡散も確認されていないとしています。これは、本件情報と発表時点に限定された説明です。

氏名や問い合わせ内容を使い、大和証券や関係者を装う電話・メールによる詐欺のおそれにも注意を促しています。不審な連絡のリンク・添付ファイルは使わず、取引用ID・パスワード、暗証番号、ワンタイムパスワード等を提供しないでください。

初心者が知っておくべきこと

委託先いたくさきとは、企業が自社の業務の一部を外部の別の会社に任せること、またその任せる相手の会社のことです。問い合わせ対応やシステムの一部運用など、専門性が必要な業務や、自社で抱えきれない業務量を外部に委託するのはよくある経営判断ですが、その委託先のセキュリティ対策も、委託した企業自身の情報を守る上で重要になります。

サプライチェーン攻撃さぷらいちぇーんこうげきとは、本来の標的企業を直接攻撃するのではなく、その企業と取引関係にある別の会社を経由して、情報を盗んだり被害を広げたりする攻撃の総称です。今回のように委託先のサーバーが攻撃されるケースは、この広い意味でのサプライチェーン上のリスクの一例といえます。

Q. 大和証券から連絡が来ていない場合、自分の情報は対象外と考えていいですか。 A. 現時点で確認できた出典の範囲では、大和証券は対象となる可能性のある顧客へ個別に連絡する方針としているとだけ分かっており、連絡の有無と対象範囲の詳細な線引きまでは明らかになっていません。心配な場合は、大和証券が設けた専用の問い合わせ窓口(0120-851850、平日9時〜17時)に確認することをおすすめします。

IT Postの見方――「委託先なので」で説明は終わらない

IT Postでは、問い合わせ履歴を扱うサービスも顧客情報の保護を考える対象であり、取引システムだけの説明で済ませないことが重要だと考える。ただし、今回の発表から管理不備が原因と決めつけることはできない。委託先の調査と対策、大和証券側の管理検証がどう説明されるかを見たい。

「委託先なので」で顧客の疑問が片付くわけではない。だからこそ欲しいのは、威勢のいい原因当てより、誰のどの情報が対象になり、どう連絡し、何を変えるのかという説明だ。IT Postでは、続報も可能性と確認済みを分けて読むべきだと考える。

今後どうなりそうか

大和証券は、対象範囲・対策・顧客対応について、調査で新たな事実が判明した場合に知らせるとしています。10月5日の公式資料では、原因調査と恒久対策の確認、委託先管理の検証・管理強化策と実施時期の決定が今後の対応に含まれます。原因や管理上の責任を調査前に確定した話へ置き換えないことが必要です。