NTTデータの委託先が運用するシステムへの不正アクセスをきっかけに、社債を購入した投資家の情報が外部に漏れた可能性があるとして、楽天証券と近鉄グループホールディングスが10月31日に相次いで公表した。いずれも、自社のシステムが直接攻撃されたわけではないと説明している。東京報道新聞やセキュリティ専門媒体の報道を基に、分かっていることを整理する。
何が起きたのか|NTTデータ委託先への不正アクセス
東京報道新聞によると、楽天証券は10月30日にNTTデータから、外部からの侵入でシステム内の情報が持ち出された可能性があると報告を受け、翌31日に公表した。原因となったのは、NTTデータの委託先が運用する「デジタル証券プラットフォーム」への第三者による不正アクセスとされる。
NTTデータは、社債購入者向けの特典付与を支援するサービス「STdirectServices」の運用を停止した。CyberCrewの記事は、公表時点で特典付与の対象となる社債が存在しないため、現行の特典付与業務への影響は出ていないという説明を伝えている。
楽天証券は延べ362件、近鉄は2,678人
楽天証券が公表した件数は延べ362件。対象は、同社でカゴメの第1回無担保社債(2023年2月発行)、JR西日本の第80回無担保社債(2024年6月発行)、近鉄グループHDの第135回無担保社債(2026年7月発行、100万円以上購入)を買った一部の顧客だ。
近鉄グループHDは、同じ第135回社債を100万円以上購入した個人投資家2,678人の情報が漏れた恐れがあるとした。漏えいの恐れがあるのは氏名と購入金額で、証券口座の番号やパスワードは含まれないと説明している。
セキュリティ対策Labの見出しは、近鉄・カゴメ・JR西日本と証券4社に波及したと伝える。影響が複数の発行体や証券会社に広がっている点が、今回の特徴だ。
なぜ起きたのか|委託先の管理が問われる
今回のように、事業者が直接管理するシステムではなく、その先の委託先のクラウドが入口になる事案は近年目立つ。委託元から見ると、自社の防御が固くても外側のサービスが破られれば情報が出てしまうためだ。
ただし、侵入経路や技術的な要因は現時点で調査中とされている。委託先企業の名前も公表されておらず、「なぜ防げなかったのか」を断定できる材料はまだない。判明している範囲の事実と、今後の調査結果を分けて見る必要がある。
影響と、投資家が取るべき対応
報じられている範囲では、現時点で不正利用や金銭的な被害は確認されていない。ログインに必要なIDやパスワード、重要な取引情報は漏えいの対象に含まれていないとされる。
ただ、氏名や購入金額が知られた場合は、証券会社や発行体を装うメール、SMS、電話に使われるおそれがある。楽天証券は、不審な連絡のURLを開かず個人情報も入力しないよう呼びかけ、フィッシングに強い「パスキー認証」の早期設定を勧めている。対象者には個別に連絡する方針だ。
今後の焦点
注目点は、侵入経路の特定、影響範囲の確定、そしてサービスの再開時期である。件数や対象項目は調査の進み方で変わる可能性があり、各社の追加発表で数字が修正されることも考えられる。
まとめ
NTTデータの委託先への不正アクセスにより、楽天証券で延べ362件、近鉄グループHDで2,678人分の社債購入者情報が漏れた恐れがあると公表された。口座番号やパスワードは含まれないとされるが、不審な連絡への警戒は欠かせない。原因の全容は調査中であり、続報を公式発表で確認してほしい。
コメント