楽天証券がNTTデータ委託先の不正アクセスで社債購入者情報362件の漏えい可能性を公表｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. 楽天証券がNTTデータ委託先の不正アクセスで社債購入者情報362件の漏えい可能性を公表
             

楽天証券がNTTデータ委託先の不正アクセスで社債購入者情報362件の漏えい可能性を公表



楽天証券は10月31日、同社が販売したデジタル特典付き社債を購入した一部の顧客について、情報が延べ362件漏えいした可能性があると発表した。本件で不正アクセスを受けたのは楽天証券のシステムではないとされ、NTTデータの委託先が提供する基盤が起点となっている。

同じ事案はNTTデータや野村證券なども公表しており、複数の組織に影響が及んでいる。

概要

楽天証券は、特典申込などに使われる外部サービスの提供元であるNTTデータから、同社の委託先が提供する「デジタル証券プラットフォーム」への第三者による不正アクセスで、一部の顧客の情報が漏えいした可能性があるとの報告を受けた。プラットフォーム内の情報が外部に持ち出された可能性があるとされる。侵入経路や技術的な要因は、委託先で調査中とされる。

楽天証券の発表によると、時系列は次のとおり。

10月30日、NTTデータの委託先が提供する「デジタル証券プラットフォーム」で第三者による不正アクセスが発生した。楽天証券が報告を受けた正確な日時は、確認できた範囲では公表されていない。

10月31日、楽天証券が発表を行った。同日にNTTデータも委託先の事案を公表している。

NTTデータの発表によると、同社が提供する「STdirectServices」で利用している委託先のSaaSで第三者による不正アクセスが発生した。同社は、この発生を受けてサービスを停止している。現時点では特典付与の対象となる社債がないため、サービス停止による特典付与業務への影響はないとしている。委託先の企業名は公表されていない。

被害・影響の範囲

対象は、楽天証券が販売した3銘柄の購入者である。カゴメ第1回無担保社債（2023年2月21日発行）と西日本旅客鉄道第80回無担保社債（2024年6月19日発行）は一部の顧客が対象となる。近鉄グループホールディングス第135回無担保社債（2026年7月24日発行）は、100万円以上購入した顧客が対象となる。件数は延べ362件である。

楽天証券のログインに必要なIDやパスワード、取引に必要な各種情報は、漏えいした可能性がある情報に含まれていないと報告を受けている。漏えいした可能性がある個人情報の項目は、今回確認できた報道や発表の範囲では、楽天証券分について明確な記載を確認できていない。

二次被害については、発表時点でこの件に起因すると考えられる不正アクセスや不正取引は確認されていない。

他の組織にも影響が出ている。野村證券は、NTTデータから同じプラットフォームへの不正アクセスで一部の顧客の情報が漏えいした可能性があるとの報告を受けたと公表した。NHKは、このサービスを利用する近鉄グループホールディングスが、自社社債の購入者の氏名や購入金額の情報について漏えいの可能性を公表したと伝えている。NTTデータ全体の対象件数や項目は、確認できた範囲では公表されていない。

企業・団体の対応

楽天証券は、本件を重要な事案として認識しているとしている。NTTデータやその委託先を含む関係各所と連携し、不正アクセスの原因、影響範囲、外部に漏えいした可能性のある情報について詳細調査を進めている。

影響が確認された顧客には個別に連絡し、状況に応じて対応するとしている。

利用者への注意喚起も行っている。同社や関係会社を装った不審なメール、SMS、電話などに注意し、不審な連絡に記載されたURLへのアクセスや個人情報の入力を控えるよう呼びかけている。

警察や個人情報保護委員会への届出については、確認できた発表には記載がない。NTTデータは、サービスを停止したうえで、関係各社と連携して状況の確認を進めるとしている。

編集部コメント（読者企業が取るべき対策）

今回の事案は、自社のシステムが無事でも、委託先の、さらにその委託先で情報が漏れうることを示している。再委託先まで含めた情報の流れを把握できていなければ、通知や調査が遅れかねない。外部サービスの利用実態を見直す契機としたい。

利用状況の棚卸し
自社が利用する外部サービスと、そこに預けている個人情報の種類・件数・保管期間を一覧にする。キャンペーンや特典など、本業の周辺で使うサービスも漏らさず対象にする。

委託先への確認事項
委託先がさらに再委託を行っているか、再委託先のSaaSを使っているかを書面で確認する。事故時の連絡期限と連絡窓口、調査結果の共有範囲も契約に明記する。

フィッシング対策
漏えいの可能性が公表された後は、関係者を装うメールやSMSが増えるおそれがある。顧客への注意喚起文を事前に用意し、公式な連絡手段と連絡内容の種類をあらかじめ周知しておく。

委託先管理の見直し
預ける情報は目的に必要な最小限にとどめ、不要になった情報は削除させる。委託先の監査や第三者評価の結果を定期的に確認し、認証強化やアクセス監視の状況も点検する。

顧客への情報提供
影響範囲が確定する前でも、判明した事実と調査中の事項を分けて早期に知らせる体制を整える。対象かどうかを顧客が確認できる問い合わせ窓口も準備する。

なお、不正アクセスの原因と侵入経路、漏えいした可能性のある情報の詳細、NTTデータ全体の影響範囲は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

No related posts.

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。