近鉄グループホールディングスは10月31日、同社が7月に発行した無担保社債を100万円以上購入した投資家2,678人分の氏名や購入金額が漏えいした可能性があると発表した。原因はNTTデータの委託先が提供するシステムへの不正アクセスとされる。同じ基盤を使う他社の社債購入者にも影響が広がっている。

概要

近鉄グループホールディングスの社債購入者の情報が、外部サービスへの不正アクセスにより漏えいした可能性がある。社債の特典申し込みに使う外部サービスを提供するNTTデータから、同社が報告を受けた。NTTデータの再委託先のシステムへの不正アクセスが原因とみられる。

不正アクセスを受けたのは、NTTデータの委託先が提供する「デジタル証券プラットフォーム」とされる。対象の社債は、今年7月に発行した第135回無担保社債である。

報道各社が伝えた近鉄グループホールディングスの発表によると、時系列は次のとおり。

7月、同社が第135回無担保社債を発行した。

10月30日、外部サービスの提供元であるNTTデータから、社債購入者の情報が漏えいした可能性があるとの報告を受けた。

10月31日、同社が漏えいの可能性を発表した。

NTTデータも10月31日に発表している。同社が提供する「STdirectServices」で利用する委託先のSaaSサービスで第三者による不正アクセスが発生し、サービスを停止している。委託先が取り扱う個人情報が漏えいした可能性があり、委託先で調査が進められている。

被害・影響の範囲

漏えいした可能性があるのは、第135回無担保社債を100万円以上購入した投資家全員の氏名と購入金額で、件数は2,678件である。

証券口座番号やパスワードなど、金融取引に関する情報は含まれていないという。日本経済新聞によると、同社はこれらの情報を保持していない。情報の不正利用の有無について、近鉄グループホールディングスの発表内容は確認できていない。

影響は近鉄グループホールディングスにとどまらない。楽天証券は、同社が販売した「デジタル特典付き社債」の3銘柄を購入した一部の顧客、延べ362件が対象になると発表した。野村證券も、デジタル特典付き社債を購入した一部の顧客の情報が漏えいした可能性があるとの報告をNTTデータから受けた。

NTTデータの発表では、委託先の社名や漏えいした可能性のある個人情報の総数は示されていない。日本経済新聞も、委託先企業名や流出の恐れがある個人情報の総数は明らかになっていないと伝えている。

企業・団体の対応

近鉄グループホールディングスは、「影響の範囲や外部に漏えいした可能性のある情報の詳細について調査を進めています」とコメントしている。あわせて、関係者に多大な心配と迷惑をかけたとしておわびした。

投資家に対しては、同社を装った不審なメールやSNSなどに注意するよう呼びかけている。

技術的な措置として、NTTデータは該当サービスを停止した。現時点では特典付与の対象となる社債がなく、停止による特典付与業務への影響はないとしている。

警察や個人情報保護委員会への届け出の有無は、確認した範囲では公表されていない。

編集部コメント（読者企業が取るべき対策）

今回の事案では、発行企業の社債購入者の情報が、自社から見て再委託先にあたるシステムへの攻撃で漏えいした可能性がある。自社のシステムが無事でも、委託の連鎖の先で事故が起きれば、顧客への説明責任は自社に生じる。委託先だけでなく、その先の事業者まで把握しておく必要がある。

外部サービスの利用状況の棚卸し
キャンペーンや特典の受付など、顧客情報を預けている外部サービスを洗い出す。サービスごとに、預けている情報の項目と件数、保管場所を一覧にする。

再委託先の確認
主な委託先に、再委託の有無と再委託先の名称、再委託先で扱う情報の範囲を書面で確認する。再委託先で事故が起きた場合の報告期限や連絡経路も契約で定めておく。

預ける情報の最小化
外部サービスに渡す情報は、目的に必要な項目に絞る。今回は金融取引に関する情報を預けていなかったため、漏えいの可能性がある項目は氏名と購入金額にとどまった。

フィッシング対策と顧客への注意喚起
氏名と購入金額は、投資家を装った詐欺に悪用されるおそれがある。公式の連絡手段と問い合わせ窓口を事前に案内し、メールやSNS、電話で個人情報を求めることはないと周知しておく。

事故発生時の公表体制の整備
委託先から報告を受けた後に、対象者の範囲や項目、件数を短時間で確定する手順を決めておく。同じ基盤を使う他社と、発表内容や時期をそろえる調整方法も確認しておく。

なお、不正アクセスの原因や侵入経路、影響の全容は現在調査中とされている。今後の続報に注意されたい。

出典

• NTTデータ「STdirectServicesのサービス停止についてのお知らせ」
• 日本経済新聞
• 関西テレビ
• 東京新聞デジタル（共同通信）
• 楽天証券「外部サービス提供元への不正アクセスによるお客様情報漏えいの可能性について」

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから