---
title: "大和証券の委託先に不正アクセス。約11万人・22万件の漏えい「可能性」と確認先"
description: "大和証券株式会社の10月5日発表は、委託先の問い合わせ履歴情報が漏えいした可能性を説明。約11万人と約22万件の違い、原因調査中の範囲、公式窓口と不審な連絡への注意を整理する"
url: https://itpostjp.com/security/daiwa-securities-outsourced-vendor-unauthorized-access/
category: "セキュリティ"
published_at: 2026-10-05T08:10:00Z
updated_at: 2026-10-05T10:13:05Z
author: "IT Post編集部"
editor: "編集長 千田智也"
publisher: "IT Post by Rice Studio Lab"
language: ja-JP
ai_generated: true
ai_model: claude-sonnet-5
terms: ["サプライチェーン攻撃", "適時開示"]
---

# 大和証券の委託先に不正アクセス。約11万人・22万件の漏えい「可能性」と確認先

IT Post編集部 ＆ 編集長 千田智也

大和証券株式会社の10月5日発表は、委託先の問い合わせ履歴情報が漏えいした可能性を説明。約11万人と約22万件の違い、原因調査中の範囲、公式窓口と不審な連絡への注意を整理する

## 30秒で分かる結論

- 大和証券株式会社は10月5日、問い合わせ管理等に使う株式会社スカラコミュニケーションズのサーバーへの不正アクセスを公表しました。問い合わせ履歴の情報が漏えいした可能性があるとしています。
- 氏名・メールアドレス・口座番号等に係る対象は約11万人。個人を特定できない問い合わせ等も合算すると約22万件です。人数と情報件数を足す話ではありません。
- 大和証券自身のシステムへの不正アクセスは確認されていません。委託先の原因調査と対策は確認中で、管理不備を原因と断定できません。気になる連絡は公式案内・正規の窓口で確認してください。

## まず初めに

証券会社のニュースで「問い合わせ管理」が主役になるとは、裏方にも出番がある。だが、今回の発表で分かるのは、委託先のサーバーが不正アクセスを受け、問い合わせ履歴の情報が漏えいした可能性があるという範囲まで。「外注したから漏れた」で片付けたら、調査報告書より先に評論が完成してしまう。まずは発表の限定語を、面倒でも落とさず読む。※個人の感想です

## 何が起きているのか

[10月5日の公式発表](https://ssl4.eir-parts.net/doc/8601/tdnet/2891437/00.pdf)の発表者は大和証券株式会社です。上場主体の大和証券グループ本社と、今回の顧客向け発表を行った会社は区別する必要があります。

大和証券は、インターネット経由の問い合わせ内容の管理等に利用するサービスの提供会社、株式会社スカラコミュニケーションズ（SC社）から、同社サーバーへの不正アクセスと顧客情報へのアクセス・取得の形跡について報告を受けたとしています。保存されていた問い合わせ履歴に係る情報が漏えいした可能性があります。社員アカウントや証券取引システムへの侵入を公表した事案ではありません。

| 公式発表の項目 | 確認できる範囲 |
| --- | --- |
| 不正アクセスの期間 | SC社の説明では10月2日20時33分頃〜10月3日8時1分頃 |
| 大和証券への連絡 | 10月3日 |
| 個人を特定できる情報 | 約11万人に係る氏名・メールアドレス・口座番号等が漏えいした可能性 |
| 問い合わせ等を含む合算 | 約22万件の情報が漏えいした可能性。約11万人に22万件を加算する意味ではない |
| 大和証券のシステム | 不正アクセスは確認されていない |

SC社からは緊急セキュリティ強化を実施し、現時点で追加的な不正アクセスや情報漏洩は確認されていないと報告されたとしています。これは10月5日発表時点の説明です。

## なぜ重要なのか

問い合わせ履歴にも、氏名や口座番号などの情報が含まれます。取引システムの話ではないから顧客への影響もない、とは読めません。一方、委託していた事実だけで委託先の防御の弱さや管理上の過失が立証されたわけでもありません。

公式発表は、SC社の原因調査と恒久対策を確認し、大和証券の委託先管理のあり方を検証するとしています。確認済みの事実、漏えいの可能性、これから調べる原因は分けて扱う必要があります。

## 私たちへの影響

大和証券は、対象となる可能性のある顧客へ速やかに個別連絡する方針です。連絡がまだ来ていないことだけでは対象外と判断できません。心配な場合や身に覚えのない連絡・取引がある場合は、公式ホームページ等で確認した正規の窓口へ問い合わせてください。

公式発表に記載された専用窓口は0120-851850、受付は9時〜17時（土・日・祝日を除く）です。窓口の最新案内は公式資料で確認してください。

同社は、漏えいした可能性のある本件情報だけでは、オンライントレードを含む証券口座へのアクセスや各種取引はできず、発表時点で本件に起因する不正取引、情報のインターネット上への公開・拡散も確認されていないとしています。これは、本件情報と発表時点に限定された説明です。

氏名や問い合わせ内容を使い、大和証券や関係者を装う電話・メールによる詐欺のおそれにも注意を促しています。不審な連絡のリンク・添付ファイルは使わず、取引用ID・パスワード、暗証番号、ワンタイムパスワード等を提供しないでください。

## 初心者が知っておくべきこと

委託先とは、企業が自社の業務の一部を外部の別の会社に任せること、またその任せる相手の会社のことです。問い合わせ対応やシステムの一部運用など、専門性が必要な業務や、自社で抱えきれない業務量を外部に委託するのはよくある経営判断ですが、その委託先のセキュリティ対策も、委託した企業自身の情報を守る上で重要になります。

サプライチェーン攻撃とは、本来の標的企業を直接攻撃するのではなく、その企業と取引関係にある別の会社を経由して、情報を盗んだり被害を広げたりする攻撃の総称です。今回のように委託先のサーバーが攻撃されるケースは、この広い意味でのサプライチェーン上のリスクの一例といえます。

Q. 大和証券から連絡が来ていない場合、自分の情報は対象外と考えていいですか。
A. 現時点で確認できた出典の範囲では、大和証券は対象となる可能性のある顧客へ個別に連絡する方針としているとだけ分かっており、連絡の有無と対象範囲の詳細な線引きまでは明らかになっていません。心配な場合は、大和証券が設けた専用の問い合わせ窓口(0120-851850、平日9時〜17時)に確認することをおすすめします。

## IT Postの見方――「委託先なので」で説明は終わらない

IT Postでは、問い合わせ履歴を扱うサービスも顧客情報の保護を考える対象であり、取引システムだけの説明で済ませないことが重要だと考える。ただし、今回の発表から管理不備が原因と決めつけることはできない。委託先の調査と対策、大和証券側の管理検証がどう説明されるかを見たい。

「委託先なので」で顧客の疑問が片付くわけではない。だからこそ欲しいのは、威勢のいい原因当てより、誰のどの情報が対象になり、どう連絡し、何を変えるのかという説明だ。IT Postでは、続報も可能性と確認済みを分けて読むべきだと考える。

## 今後どうなりそうか

大和証券は、対象範囲・対策・顧客対応について、調査で新たな事実が判明した場合に知らせるとしています。10月5日の公式資料では、原因調査と恒久対策の確認、委託先管理の検証・管理強化策と実施時期の決定が今後の対応に含まれます。原因や管理上の責任を調査前に確定した話へ置き換えないことが必要です。



## 訂正履歴

- 2026-10-05T10:13:05Z: 漏えいの可能性を確定した結果へ置き換えた導入・論評と、委託先の防御や管理不備を原因として断定した見出し等を訂正しました。大和証券株式会社とグループ本社を区別し、委託先の正式名称、人数と件数、原因調査、公式窓口への確認を整理しました。

## 情報源

- [大和証券グループ本社[8601]：外部委託先への不正アクセスによるお客様情報の漏洩の可能性について(適時開示)](https://www.nikkei.com/nkd/disclosure/tdnr/20261005545891/) — 日本経済新聞(適時開示情報)（一次情報）
- [10月5日 外部委託先への不正アクセスによるお客様情報の漏洩の可能性について](https://ssl4.eir-parts.net/doc/8601/tdnet/2891437/00.pdf) — 大和証券株式会社（一次情報）
- [大和証券、口座番号など顧客情報22万件が漏洩か 委託先に不正アクセス](https://www.nikkei.com/article/DGXZQOUB053ZF0V01C26A0000000/) — 日本経済新聞
- [大和証券、約11万人の顧客情報漏えいか 委託先に不正アクセス](https://weekly.ascii.jp/elem/000/004/439/4439964/) — 週刊アスキー
- [大和証券、委託先への不正アクセスで約11万人の顧客情報漏洩の可能性―氏名・メールアドレス・口座番号など](https://rocket-boys.co.jp/security-measures-lab/daiwa-securities-scala-communications-data-breach-2026/) — セキュリティ対策Lab

## この記事に出てくるIT用語

- [サプライチェーン攻撃](https://itpostjp.com/terms/supply-chain-attack/): 攻撃対象を直接狙うのではなく、その対象が利用するソフトウェア部品や取引先などの供給網を経由して間接的に攻撃する手口です。
- [適時開示](https://itpostjp.com/terms/timely-disclosure/): 証券取引所に株式を上場する企業が、投資家の判断に影響する重要な情報を速やかに公表するルールのことです。

---

この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。

出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/daiwa-securities-outsourced-vendor-unauthorized-access/