NTTデータは10月31日、同社が提供する「STdirectServices」で利用している委託先のSaaSが第三者による不正アクセスを受けたと発表した。委託先のサービスで取り扱う個人情報が漏えいした可能性があり、現在調査が進められている。

この不正アクセスを受け、楽天証券、SBI証券、野村證券などの証券会社に加え、近鉄グループホールディングス、カゴメ、JR西日本などの社債発行企業が、相次いで顧客情報の漏えいの可能性を公表している。

NTTデータの委託先SaaSで不正アクセス、サービスを停止

「STdirectServices」は、NTTデータが提供する、社債購入者への特典付与を支援するサービス。

NTTデータは不正アクセスを受けて同サービスを停止した。現時点では特典付与の対象となる社債がないため、サービス停止による特典付与業務への影響はないとしている。

同社は引き続き、関係各社と連携して状況の確認を進めるという。

近鉄は2678件、SBI証券は1169名が対象

NTTデータの委託先への不正アクセスを受け、複数の社債発行会社や証券会社が顧客情報の漏えいの可能性を公表している。11月2日時点で確認できた企業と対象件数は以下の通り。

企業名 区分 対象件数 漏えいした可能性のある情報
近鉄グループホールディングス 社債発行 2,678件 氏名（カタカナ）、社債購入金額、メールアドレス
SBI証券 証券会社 1,169名 氏名、購入金額
楽天証券 証券会社 延べ362件 社債購入者情報（詳細項目は要確認中）
カゴメ 社債発行会社 109名 氏名、住所、電話番号、メールアドレス、性別、生年月日
三菱UFJモルガン・スタンレー証券 証券会社 95名 氏名、購入金額
JR西日本 社債発行会社 2件 氏名、住所、電話番号、メールアドレス、性別、生年月日
野村證券 証券会社 調査中 調査中

※社債発行会社と証券会社の公表件数には重複があるため、各社の件数を単純に合算することはできない。また、記載した件数は情報漏えいの可能性がある対象者数・件数であり、実際に漏えいが確認された件数を示すものではない。 近鉄グループホールディングスは11月2日、10月31日に公表した情報漏えいの可能性について続報を発表した。2026年7月24日に発行した第135回無担保社債を100万円以上購入した投資家2678件について、氏名（カタカナ）、購入金額、メールアドレスが漏えいした可能性があるという。

当初の発表では氏名と購入金額を対象としていたが、その後の調査で氏名がカタカナ表記であることに加え、メールアドレスも外部に持ち出された可能性が判明した。

同社は、金融機関などを装ったフィッシングメールへの注意を呼びかけている。

近鉄グループホールディングスの社債を取り扱ったSBI証券は1169名、三菱UFJモルガン・スタンレー証券は95名について、それぞれ情報漏えいの可能性を公表している。

三菱UFJモルガン・スタンレー証券では、同じ社債を購入した顧客95名が対象となっている。

楽天証券は、カゴメ、JR西日本、近鉄グループホールディングスが発行したデジタル特典付き社債の購入者について、延べ362件の情報が漏えいした可能性があると発表した。

カゴメは、2023年に発行したデジタル特典付き社債「カゴメ 日本の野菜で健康応援債」の購入者5472名のうち、109名について、氏名、住所、電話番号、メールアドレス、性別、生年月日が漏えいした可能性があると発表した。

対象者には、社債の販売元である楽天証券が、ログイン後の「重要なお知らせ」を通じて個別に連絡しているという。

野村證券も同様の事案を公表しているが、対象件数や情報項目については確認を進めている。

なお、社債発行会社と証券会社がそれぞれ公表している対象者には重複があるため、各社の件数を単純に合算することはできない。

共通の外部サービスを通じて複数企業に影響

今回の事案では、社債の発行会社と販売を担当した証券会社の双方が、同じ外部サービスへの不正アクセスによる影響を公表している。

このように、共通の外部サービスで個人情報を取り扱う場合、サービス提供元への不正アクセスが、複数の利用企業やその顧客に影響する可能性がある。

なお、楽天証券やSBI証券などは、自社のシステムが不正アクセスを受けたものではないと説明している。また、証券口座番号やパスワードなどの金融取引情報は、漏えいした可能性のある情報に含まれていないとしている。

現時点では、不正アクセスの具体的な手口や侵入経路、情報漏えいの全容は明らかになっていない。今後、委託先による調査結果や関係企業からの追加発表が注目される。

関連資料