大和証券の顧客情報漏えいの可能性(2026年10月公表)
結論から
- 大和証券は2026年10月5日、問い合わせ管理に使う委託先のサーバーが不正アクセスを受け、約11万名の氏名・メールアドレス・口座番号などが漏えいした可能性があると公表しました。大和証券のシステムへの不正アクセスは確認されていません。
- 委託先のスカラコミュニケーションズによると、10月2日夜にFAQシステム「i-ask」の管理サイトへ不正ログインされ、不正なプログラムを置かれました。同じサーバー上の最大5社が対象で、延べ最大71万3,126件です。
- 漏えいした可能性のある情報では、証券口座へのアクセスや取引はできないと大和証券は説明しています。2026年10月30日時点で、大和証券の第2報は出ていません。
概要
- 公表日
- 2026年10月5日
- 発生
- 2026年10月2日
- 検知・発覚
- 2026年10月3日
- 最新の公表
- 2026年10月6日
- 組織・業種
- 大和証券(委託先: スカラコミュニケーションズ「i-ask」)(証券 / 金融・保険・証券)
- 漏えいした情報・件数
- 大和証券: 約11万名の氏名・メールアドレス・口座番号等。個人を特定できない問い合わせを合わせて約22万件(いずれも漏えいの可能性)。委託先全体では最大5社・延べ最大713,126件(問い合わせ単位、名寄せ中)
- 業務への影響
- 大和証券のシステムへの不正アクセスは確認されていない。漏えいした可能性のある情報では証券口座へのアクセス・取引はできないと説明
- 業績への影響
- 2026-10-30時点で公表なし
- 犯行グループ(企業・当局の認定)
- 2026-10-30時点で、犯行グループは公表されていない
- 行政の対応
- スカラコミュニケーションズは個人情報保護委員会へ報告し、警察に相談したと公表。行政の処分などは2026-10-30時点で公表なし
この事案の続報をメールで受け取る
続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。
経緯
-
20時30分ごろ(大和証券の発表では20時33分ごろ)、第三者が「i-ask」の管理サイトに不正ログインし、サーバーに不正なプログラムを設置 [2]
-
朝、スカラコミュニケーションズがデータベースの監視アラートを受けて調査を開始。8時ごろ(大和証券の発表では8時1分ごろ)までに不正アクセスを遮断 [2]
-
スカラコミュニケーションズが大和証券に、顧客情報へのアクセスと取得の形跡を報告 [1]
-
大和証券が公表。約11万名・約22万件が漏えいした可能性。対象者に個別に連絡する方針 [1]
-
スカラコミュニケーションズが経緯を公表。対象は最大5社・延べ最大713,126件 [2]
-
シチズン時計が、同じ委託先の件で約10万人分の漏えいの可能性を公表 [5]
-
損害保険ジャパン(約6万件)と東武鉄道(閲覧・取得の形跡は確認されていない)が、同じ委託先の件を公表 [5]
-
大和証券が、対象の顧客に10月5日に続いて、お知らせBOXやメールなどで個別に連絡したと公式サイトのトップで案内 [6]
侵入経路と原因
被害を受けたのは大和証券ではなく、委託先の株式会社スカラコミュニケーションズのサーバーです。大和証券は、インターネット経由の問い合わせの管理に同社のサービスを使っており、受け付けた問い合わせの履歴がこのサーバーに保存されていました。
スカラコミュニケーションズの発表によると、第三者は2026年10月2日20時30分ごろ、FAQシステム「i-ask」の管理サイトに不正ログインしました。そのうえでサーバーに不正なプログラムを置き、同じサーバー上にある利用企業のデータベースから問い合わせ情報を取得した可能性があります。
管理サイトへのログインに使われたアカウントの情報が、どのように攻撃者の手に渡ったのかは、2026年10月30日時点で公表されていません。脆弱性の悪用があったかどうかも公表されていません。
同社は、アップロードされたファイルをプログラムとして実行できないよう設定を変えたことと、今後の対策として多要素認証(パスワードに加えて別の要素で本人確認する仕組み)の導入と環境間の分離を挙げています。複数の利用企業のデータが同じサーバーに置かれていたことが、被害が複数社に広がった背景にあります。
影響
大和証券によると、約11万名の顧客の氏名、メールアドレス、口座番号などが漏えいした可能性があります。個人を特定できる情報のない問い合わせも合わせると、約22万件です。大和証券は、これらの情報ではオンライントレードを含めて口座へのアクセスや取引はできないと説明しています。
2026年10月5日の公表時点で、この件による不正な取引は確認されておらず、情報がインターネット上に公開・拡散された事実も確認されていません。一方で、氏名や問い合わせ内容を使い、大和証券などを装った電話やメールの詐欺が行われるおそれがあるとしています。
影響は大和証券にとどまりません。スカラコミュニケーションズによると、対象になりうる利用企業は最大5社、件数は延べ最大713,126件です。これは問い合わせ単位の数で、同じ人の複数回の問い合わせを含み、実際の人数は名寄せ中です。項目は利用企業によって異なり、氏名、メールアドレス、問い合わせ内容などです。
日経クロステックによると、シチズン時計が約10万人分(10月6日)、損害保険ジャパンが事業者向けドライブレコーダーサービスの問い合わせ情報約6万件(10月7日)の漏えいの可能性を公表しました。東武鉄道も同じサービスの利用を公表しましたが、閲覧・取得の形跡は確認されていないとしています。
会社の対応と再発防止策
スカラコミュニケーションズは、不正ログインに使われたアカウントと全環境の管理者アカウントのパスワードを変え、攻撃元のIPアドレスを遮断し、不正なプログラムを隔離しました。外部の専門調査機関とフォレンジック調査(ログや機器を調べて何が起きたかを特定する調査)を進め、個人情報保護委員会へ報告し、警察に相談しています。
再発防止策として、同社は管理者認証の強化(多要素認証の導入など)、環境間の分離、監視体制の強化、第三者による定期的な脆弱性診断を挙げています。恒久的な対策は調査結果をもとに決めるとしています。
大和証券は、対象の顧客に10月5日と10月14日に、お知らせBOXやメールなどで個別に連絡したと公式サイトのトップで案内しています。分からない場合は専用ダイヤル(0120-851850)に問い合わせるよう求めています。不審な連絡のリンクや添付ファイルを開かず、取引用のID・パスワード、暗証番号、ワンタイムパスワードを伝えないよう呼びかけ、専用の電話窓口を設けました。
大和証券は、委託先の選定・管理のルールに沿って同社を管理していたとしたうえで、既存の委託先の点検を進めています。委託先管理のあり方を検証し、管理強化策と実施時期を決めるとしています。2026年10月30日時点で、その内容は公表されていません。
この事案から学べること
- 自社のシステムが無事でも、問い合わせ管理のように外部サービスに預けた情報から漏えいします。委託先に何の情報が置かれているかの把握が出発点になります。
- 1つのサーバーに複数の利用企業のデータが置かれていたため、1回の侵入で最大5社に影響が出ました。委託先側で利用企業ごとの環境が分かれているかは、委託元から見えにくい点です。
- 入口は管理サイトへの不正ログインでした。スカラコミュニケーションズは再発防止策に多要素認証の導入を挙げています。
- 大和証券が公表した10月5日の後も、10月7日までに他の利用企業の公表が続きました。同じ委託先を使う会社では、公表の時期や内容が分かれます。
自社で確認すること
- 1 問い合わせ管理やFAQなど、顧客とのやり取りを預けている外部サービスを一覧にし、どの情報が置かれているか把握していますか?
- 2 委託先の管理画面に多要素認証がかかっているか、他社とデータの置き場所が分かれているかを確認していますか?
- 3 委託先で事故が起きたとき、何時間以内に、何を報告してもらうかを契約で決めていますか?
同じ手口の事案
委託先・取引先経由
- ベネフィット・ワン(トク買) (2026年10月28日) 委託先のシステムに不正アクセス。クレディセゾン会員向け優待サービスの2万9,465人分が漏えい
- JAL・ANA(Amadeus) (2026年10月28日) 航空会社が使う予約システムに不正アクセス。JAL・JTAの延べ約9万2,000件の予約情報が対象に
- デジタル庁 (2026年10月22日) Web制作サービス「Studio」への不正アクセスの波及で、問い合わせフォームの入力内容 最大1万3,323件が漏えいした可能性
利用しているSaaS・他社製ソフト
- JAL・ANA(Amadeus) (2026年10月28日) 航空会社が使う予約システムに不正アクセス。JAL・JTAの延べ約9万2,000件の予約情報が対象に
- デジタル庁 (2026年10月22日) Web制作サービス「Studio」への不正アクセスの波及で、問い合わせフォームの入力内容 最大1万3,323件が漏えいした可能性
- バルテック (2026年10月22日) 業務クラウドの脆弱性を突かれてマルウェアを設置され、契約企業1,213件の情報などを外部へ送信。20超のサービスを停止
関連する事案
よくあるご質問
- 大和証券の口座が不正に使われるおそれはありますか?
- 大和証券は、漏えいした可能性のある情報では、オンライントレードを含めて口座へのアクセスや取引はできないと説明しています。2026年10月5日の公表時点で、この件による不正な取引は確認されていません。大和証券を装った電話やメールには注意が必要です。
- 大和証券のシステムが攻撃されたのですか?
- いいえ。攻撃を受けたのは委託先スカラコミュニケーションズのサーバーで、大和証券のシステムへの不正アクセスは確認されていないと公表されています。
出典
- 外部委託先への不正アクセスによるお客様情報の漏洩の可能性について ↗ (大和証券株式会社、2026-10-05)
- FAQシステム「i-ask」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ ↗ (株式会社スカラコミュニケーションズ、2026-10-06)
- 大和証券、問い合わせ管理サービスへの不正アクセスで約11万人の利用者情報漏えいの可能性 ↗ (INTERNET Watch、2026-10-05)
- 大和証券・シチズン漏えい、システム提供元が経緯公表 金曜夜に攻撃、DB監視アラートで発覚→遮断 ↗ (ITmedia NEWS、2026-10-07)
- スカラ不正アクセスの影響、シチズン時計・損保ジャパン・東武鉄道も公表 ↗ (日経クロステック、2026-10-07)
- 大和証券 公式サイト トップの告知「外部委託先への不正アクセスによるお客さま情報の漏洩の可能性について」 ↗ (大和証券株式会社、2026-10-14)
- スカラコミュニケーションズへの不正アクセス、大和証券の約11万名の顧客に係る個人情報も漏えいした可能性 ↗ (ScanNetSecurity、2026-10-27)