楽天証券は2026年10月31日、「デジタル特典付き社債」を購入した一部の顧客の情報が、外部サービスの提供元であるNTTデータの委託先のシステムへの不正アクセスで漏えいした可能性があると発表しました。楽天証券での対象は3銘柄の購入者の一部で、延べ362件です。同じ日に野村證券も、デジタル特典付き社債の購入者の一部の情報が漏えいした可能性があると発表しています。
結論から言うと、楽天証券は自社のシステムが不正アクセスを受けたものではないとしています。野村證券も、自社システムへの不正アクセスは確認されていないと説明しています。不正アクセスがあったのは、NTTデータの委託先が提供するシステムです。 楽天証券のログインID・パスワードや取引に必要な情報は、漏えいした可能性のある情報に含まれていないと説明されています。対象の社債を買った人がまずやっておきたいのは、証券会社を装った不審なメール・SMS・電話への警戒です。出典は、楽天証券のお知らせ、野村證券のお知らせ（野村ホールディングスのサイト）、NTTデータのお知らせです。
楽天証券の発表で何が起きたのか
楽天証券によると、デジタル特典付き社債の特典申込などに使う外部サービスの提供元はNTTデータです。そのNTTデータから、NTTデータの委託先が提供するシステム「デジタル証券プラットフォーム」が第三者の不正アクセスを受け、プラットフォーム内の情報が外部に持ち出された可能性がある、との報告を受けたという流れです。楽天証券の発表では、発生日は2026年10月30日（金）とされています。
楽天証券は、本件は自社のシステムが不正アクセスを受けたものではないとしています。また、現時点で本件に起因すると考えられる不正アクセスや不正取引は確認されていない、と説明しています。
楽天証券で対象になる社債と件数
楽天証券での対象は、同社が販売したデジタル特典付き社債3銘柄の購入者の一部で、合計は延べ362件です。
| 銘柄 | 発行日 | 楽天証券での対象 |
|---|---|---|
| カゴメ株式会社 第1回無担保社債 | 2023年2月21日 | 一部の顧客 |
| 西日本旅客鉄道株式会社 第80回無担保社債 | 2024年6月19日 | 一部の顧客 |
| 近鉄グループホールディングス株式会社 第135回無担保社債 | 2026年7月24日 | 100万円以上購入した顧客 |
延べ362件は、楽天証券で対象になった件数です。
野村證券とNTTデータの発表
野村證券も2026年10月31日に、委託先のNTTデータから、NTTデータの委託先が提供する「デジタル証券プラットフォーム」への第三者による不正アクセスで、デジタル特典付き社債を購入した一部の顧客の情報が漏えいした可能性があるとの報告を受けたと発表しました。連絡を受けたのは10月30日です。野村證券によると、デジタル特典付き社債の購入者に関する顧客管理業務の一部を、NTTデータの委託先が担っていました。
野村證券は、証券口座番号やパスワード等の金融取引に関する情報は同プラットフォーム上で保持していないため、漏えいした可能性のある情報に含まれないとしています。情報の不正利用や同社システムへの不正アクセスは確認されていない、とも説明しています。
NTTデータは同じ10月31日、同社が提供する「STdirectServices」で利用している委託先のSaaSサービスで第三者による不正アクセスが発生したため、サービスを停止していると発表しました。委託先のサービスで取り扱う個人情報が漏えいした可能性があり、委託先で調査中です。STdirectServicesは、社債購入者への特典付与を支援するサービスです。現時点で特典付与の対象となる社債がないため、停止による特典付与業務への影響はないとしています。
楽天証券・野村證券の件で、まだ公表されていないこと
漏えいした可能性のある情報の具体的な項目（氏名や住所など）は、楽天証券の発表には列挙されておらず、野村證券は内容を確認中としています。野村證券での対象の銘柄名・件数、委託先の社名や侵入経路も、各社の発表には書かれていません。原因は、NTTデータの委託先で侵入経路や技術的な要因を詳しく調べている段階です。
楽天証券の利用者がやっておきたいこと
楽天証券は、影響が確認された顧客には個別に連絡するとしています。野村證券も、対象と確認された顧客に順次個別に案内するとしています。そのうえで、両社の案内に沿って次の点を意識しておくと安心です。
- 楽天証券・野村證券や関係会社を装った不審なメール・SMS・電話に注意する
- 不審な連絡に書かれたURLにはアクセスせず、添付ファイルも開かない。個人情報やパスワード・暗証番号を入力・回答しない
- 気になる連絡が来たら、公式サイト等に掲載の窓口で確認する（野村證券の案内）
- 楽天証券を使っている人は、「パスキー認証」を設定しておく。楽天証券はパスキー認証によるログインの必須化を進めていて、未設定の人に設定を呼びかけています
情シス目線：委託先の委託先も、自社の守備範囲
今回は、野村證券から見ると委託先（NTTデータ）のさらに委託先、楽天証券から見ると外部サービスの提供元（NTTデータ）の委託先のシステムが不正アクセスを受けた、という構図です。楽天証券は自社システムへの不正アクセスではないとし、野村證券も自社システムへの不正アクセスは確認されていないとしていますが、それでも顧客の情報が漏えいした可能性が出ています。原因はまだ調査中なので、ここからは今回の件に限らない一般論として、委託先管理（サプライチェーン）でやっておきたいことを整理します。
| 観点 | やっておきたいこと |
|---|---|
| 再委託の把握 | 委託先が、どの業務・どのデータを、どの再委託先やSaaSに渡しているかを一覧にしておく |
| 契約 | 再委託の事前承認や通知、事故時の報告の期限を契約に入れておく |
| 渡すデータの絞り込み | 業務に要らない項目は委託先に渡さない・持たせない |
| 事故時の連絡体制 | 委託先から報告を受けたときの社内の連絡先、顧客への案内文の雛形を用意しておく |
野村證券は、証券口座番号やパスワード等は同プラットフォーム上で保持していないため、漏えいした可能性のある情報に含まれないと説明しています。持たせていない情報は漏れようがない、という点は、委託の設計でいちばん効く考え方です。おかずを全部詰めた弁当を外に預けるより、要る分だけ小皿に分けて渡すほうが、こぼれたときの被害も小さく済みます。
まとめ：楽天証券のデジタル特典付き社債の件のポイント
- 楽天証券は2026年10月31日、デジタル特典付き社債3銘柄の購入者の一部、延べ362件の情報が漏えいした可能性があると発表した。野村證券も同日、デジタル特典付き社債の購入者の一部の情報が漏えいした可能性を発表した
- 不正アクセスを受けたのはNTTデータの委託先のシステムで、楽天証券は自社システムへの不正アクセスではないとし、野村證券は自社システムへの不正アクセスは確認されていないとしている
- 楽天証券のログインID・パスワードや取引に必要な情報、野村證券の証券口座番号やパスワード等は、漏えいした可能性のある情報に含まれないと説明されている
- 対象者には個別に連絡が来る。証券会社を装った不審な連絡に注意し、楽天証券はパスキー認証の設定を呼びかけている
情報は2026年10月31日の各社の発表時点です。ほかの IT の話題は、当ブログの技術ネタカテゴリーからどうぞ。
ITもごはんも、腹八分目が長続きのコツ！
コメント