大和証券の委託先に不正アクセス、約11万人の顧客情報が漏洩した可能性。企業が見直すべき委託先管理

大和証券が問い合わせ管理などに利用している外部サービスで不正アクセスが発生し、約11万人の顧客情報が漏洩した可能性があります。同社は2026年10月5日にこの事案を公表しました。

氏名や過去の問い合わせ内容を知っている相手でも、正規の担当者とは限りません。利用者はなりすましの連絡に注意し、企業は問い合わせ履歴も含めて、外部サービスに預けている顧客情報の管理を見直す必要があります。

大和証券の問い合わせ管理委託先で発生した不正アクセスの経緯

不正アクセスを受けたのは、株式会社スカラコミュニケーションズのサーバーです。大和証券は同社のサービスをインターネット経由の問い合わせ管理などに利用し、受付済みの問い合わせ履歴を保存していました。10月3日、顧客情報へのアクセスと不正取得の形跡があるとの連絡を同社から受けています。

委託先は大和証券に対し、緊急のセキュリティ強化を実施済みであり、追加の不正アクセスや情報漏洩は確認されていないと報告しています。大和証券も既存の委託先の点検を進めるとともに、原因調査の結果と恒久対策を確認したうえで、委託先の管理方法と強化策を検討する方針です。具体的な侵入経路や原因は、今回の公表資料では示されていません。

漏洩した可能性のある情報と対象者

対象となるのは、顧客がインターネット経由で問い合わせた際の情報などです。大和証券の公表内容を整理すると、次のようになります。

約11万人は顧客の人数、約22万件は情報の件数であり、集計の単位が異なります。個人情報の項目は公表された範囲を示したもので、対象者全員について、すべての項目の漏洩が確定しているわけではありません。

大和証券は、今回の対象情報だけでは、オンライントレードを含む証券口座へのアクセスや各種取引はできないと説明しています。公表時点では、本件に起因する不正取引や、対象情報がインターネット上に公開・拡散された事実も確認されていません。

氏名や問い合わせ情報を使ったなりすましに注意

口座へのアクセスに直接使えない情報でも、詐欺の連絡を本物らしく見せる材料になるおそれがあります。大和証券も、氏名や問い合わせ内容を利用して同社や関係者を装った、電話・メールによる詐欺に注意を呼びかけています。

例えば、自分の氏名が書かれた「お問い合わせへの回答」というメールが届くと、無差別に送られてくる迷惑メールよりも信用してしまいがちです。偽サイトへ誘導され、パスワードや認証コードを入力してしまうおそれがあります。また、過去の問い合わせ内容を知っている相手から電話がかかってくると、実際に対応した担当者からの連絡だと思い込みやすくなります。

これらは想定される二次被害の例です。相手が個人情報を知っているというだけで信用せず、次の点に注意して正規の連絡かどうかを確認しましょう。

メールのリンクからログインしない

問い合わせへの回答や安全確認を装った連絡が届いても、不審なリンクや添付ファイルは開かないでください。取引状況やお知らせは、登録済みのブックマークなどから公式サイトを開いて確認しましょう。大和証券も、この方法を対策として案内しています。

パスワードや認証コードを相手に渡さない

取引用ID、パスワード、暗証番号、ワンタイムパスワードなどを、電話やメールの相手に提供しないでください。「情報漏洩への対応」「口座を保護するため」と説明されても、相手に求められるまま入力・回答することは避けましょう。

不審な連絡や取引は公式窓口に相談する

身に覚えのない取引に気づいた場合や、偽サイトに認証情報を入力した可能性がある場合は、速やかに大和証券へ相談してください。その際は、連絡してきた相手が示す電話番号ではなく、公式サイトで確認した窓口を利用しましょう。本件の対象者には、大和証券が個別に連絡する方針です。

本件に関する顧客専用の対応窓口は、次のとおりです。

• 電話番号：0120-851850
• 受付時間：9時〜17時（土・日・祝日を除く）

問い合わせ管理の委託先への不正アクセスから企業が学ぶべきこと

顧客情報を守るには、取引や決済のシステムに加え、外部サービスに保存された問い合わせ履歴まで管理対象に含めることが大切です。問い合わせ管理、メール配信、顧客対応など、日常業務で利用するサービスにも目を向けましょう。

IPAの「情報セキュリティ10大脅威 2026」では、組織向け脅威の第2位に「サプライチェーンや委託先を狙った攻撃」が選ばれています。解説書では、委託先の対策状況と情報資産の管理実態を定期的に確認すること、責任範囲を明確にすること、連絡プロセスを整備することが挙げられています。

以下は、今回の事案を踏まえた企業向けの確認ポイントです。

外部サービスと保存データを棚卸しする

サービスごとに、提供会社、利用部署、保存している情報、アクセスできる担当者を整理しましょう。問い合わせフォームの自由記述欄や添付資料も確認対象です。必要以上の個人情報が蓄積されないよう、入力を求める項目、保存期間、削除条件を見直します。

委託先で異常が起きたときの連絡体制を整えておく

漏洩の疑いが生じたときに、誰が、いつ、どの情報を委託元へ伝えるのかを決めておきましょう。休日や夜間の連絡先、調査結果の共有方法、対象者の特定に必要な情報まで整理しておくと、顧客への案内や初動対応を進めやすくなります。

確認結果を改善につなげ、再確認まで行う

委託先のセキュリティを確認した後は、見つかった課題の改善を依頼し、対応結果まで確かめます。契約時の審査や定期的な確認に、日々変化するリスクの把握を組み合わせることが大切です。

委託先の漏洩情報と外部脆弱性を継続的に把握する

委託先が増えるほど、担当者が個別に情報を集める方法では、確認漏れや対応の遅れが生じやすくなります。聞き取りや管理実態の確認に加え、外部から見えるリスクを継続的に把握する仕組みも役立ちます。

例えば、委託先に関連するメールアドレスや認証情報の露出、インターネットに公開されている資産の脆弱性や設定不備などが挙げられます。得られた情報を、委託先に預けているデータや自社との接続関係と照らし合わせ、追加の確認や改善依頼の優先順位を決めます。

ダークウェブアイ/SCMで取引先のリスクを一元管理する

ダークウェブアイ/SCMは、取引先・委託先・関連会社の情報漏洩と外部脆弱性を継続的に把握し、一元管理できるセキュリティ管理ツールです。主に次の確認と管理を支援します。

• 漏洩情報の把握：ダークウェブや一般に公開されているウェブ（サーフェスウェブ）などの情報源から、取引先に関連するメールアドレスや認証情報の露出を確認
• 外部脆弱性の把握：インターネットから確認できる脆弱性や設定不備を可視化
• 継続的な確認と一元管理：定期スキャンやダッシュボードを使い、リスクの変化を把握

外部資産のスキャンは、同意を得た範囲で実施し、同意の取得状況もあわせて管理できます。外部から得られる情報を委託先への確認や改善依頼につなげ、対応状況まで追う運用に活用しましょう。

企業が情報漏洩で信頼を失わないためにできること

まずは、問い合わせ履歴も含めて、どの委託先にどの情報を預けているかを整理しましょう。そのうえで、保存範囲の見直し、事故時の連絡体制の整備、改善後の再確認を日々の運用に組み込みます。

委託先のリスクを見つけた後、自社の顧客情報や業務への影響を確認して対応につなげられる体制が、信頼の維持を支えます。継続的なリスク把握を担当部署や委託先とのやり取りに結びつけ、問題への対応の遅れを減らしていきましょう。

参考にした記事・公表資料

1. 大和証券「外部委託先への不正アクセスによるお客様情報の漏洩の可能性について」（2026年10月5日）
2. 大和証券「不審な電子メール・SMS等にご注意ください」
3. IPA「情報セキュリティ10大脅威 2026 解説書［組織編］」（委託先対策：13〜15ページ）