伊予銀行の満足度アンケート委託先クラウド（ローレルバンクマシン「Jijilla」）への不正アクセス（自由記述欄2先と回答者IDが流出の可能性）
公表日
伊予銀行の満足度アンケートの処理を担っていた委託先のクラウドサービスが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、自由記述欄に氏名・住所等を書いた2件（2先）と回答者IDが流出した可能性があると、2025年11月25日に公表された。
対象者は？
2021年9月と2023年2月に実施された「伊予銀行に対する満足度に関するアンケート調査」の回答者のうち、自由記述欄に氏名・住所等を自分で書いていた2件（2先）と、アンケートに付けられた回答者IDが対象。顧客名簿や連絡先一覧の形での流出は示されていない。回答者ID単体では個人を特定できないと説明されている。
該当者への個別の連絡の有無や方法は、まだ発表されていません。詳しくは下の報道記事と、伊予銀行の発表をご確認ください。
何が起きたのか
伊予銀行は満足度アンケートを野村総合研究所に委託し、そこから日本アスペクトコアへ再委託されていました。郵送で集めた回答を電子化するため、ローレルバンクマシン社のサービス「Jijilla」が使われていました。2025年9月25日、このサービスのデータ保存サーバーが、身代金を要求する不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けました。システムの隔離と第三者機関の調査を経て、10月15日に個人情報の一部が流出した可能性が分かったとされています。伊予銀行は11月25日にこれを公表しました。伊予銀行自身のシステムが攻撃されたわけではありません。
なぜ起きたのか・なぜ広がったのか
侵入の手口や悪用された弱点は、まだ発表されていません。伊予銀行の調査は、委託と再委託を重ねた先のクラウドサービスで行われていました。自由記述欄に回答者自身が氏名・住所等を書いていたものがあり、それがクラウド側に保存されていたため、流出の可能性があると判断されました。同じサービスを使っていた他の組織でも被害が公表されています。
いまの状況2025-12-08 時点続報待ち
2025-12-08時点で、状況は調査中です。伊予銀行の公表では、影響は一部の自由記述欄と回答者IDに限られると説明されています。同じサービスの被害は、広島銀行、第一フロンティア生命保険、みずほ証券、丸三証券、東洋証券、慶應義塾大・通信教育部、パーソル総合研究所でも公表されています。伊予銀行の再発防止策などは、まだ発表されていません。
企業として考えたいこと
自社が行うアンケートや書類の電子化は、どの委託先のどのクラウドで、何段階の再委託を経て処理されているかを、説明できますか。
技術的な要約
2025年11月25日、伊予銀行は「伊予銀行に対する満足度に関するアンケート調査」で利用していた委託先企業のクラウドサービスが不正アクセスを受け、一部情報が外部へ流出した可能性があると公表した。対象は2021年9月と2023年2月に実施した2回分で、伊予銀行が野村総合研究所（NRI）へ委託し、NRIが日本アスペクトコア（NAC）へ再委託、NACがローレルバンクマシン（LBM）のAI-OCRサービス「Jijilla」を利用していた。2025年9月25日にLBMのデータ保存サーバーが身代金要求を伴う不正アクセスを受け、10月15日に個人情報の一部が漏えいした可能性が判明したとされる。影響は、自由記述欄に回答者自身が氏名・住所等を記入していた2先と、アンケートに付与した回答者IDに限られると説明されている。回答者ID単体では個人を特定できないとされ、伊予銀行自身のシステムが攻撃されたわけではない。同じJijillaの被害は広島銀行、パーソル総合研究所など他組織でも公表されている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 委託先経由報道・研究者伊予銀行自身のシステムではなく、委託・再委託先（NRI→NAC→LBM）にあるクラウドサービスが狙われた。不正アクセスを受けたのはLBM社のデータ保存サーバーで、身代金要求を伴う攻撃だったと報じられている。LBM社サーバーへの具体的な侵入手口は、渡された情報には記載がない。
- 脆弱性
- CVE 非公表不明Jijilla（ローレルバンクマシン社のAI-OCRサービス／入力補助ツール）悪用された脆弱性やCVEは、渡された情報には記載がない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり LBM社によれば、Jijillaのサーバーが不正アクセスを受け一部サービスが停止した。伊予銀行自身の業務停止は、渡された情報には記載がない。
- データ
- おそれ上限 2確定 —件氏名住所その他アンケート自由記述欄に回答者自身が氏名・住所等を記入していたものが2件（2先）。内容がクラウド側に保存されており、流出の可能性があると判断された。回答者ID（集計用に付与した番号）も流出対象で、ID単体では個人を特定できず、顧客名簿や連絡先一覧形式の流出は示されていない。「その他」は回答者IDを指す。
- 波及先
- 7 組織
- 第一フロンティア生命保険
- みずほ証券
- 丸三証券
- 東洋証券
- 広島銀行
- 慶應義塾大・通信教育部
- パーソル総合研究所
- 金銭影響
- —
- サプライチェーン
- 伊予銀行→野村総合研究所（NRI）→日本アスペクトコア（NAC）→ローレルバンクマシン（LBM）のJijillaという委託・再委託の連鎖の中で発生した。同じJijillaの被害は、広島銀行、第一フロンティア生命、みずほ証券、丸三証券、東洋証券、慶應義塾大・通信教育部、パーソル総合研究所でも公表されている。
時系列
技術解説
委託・再委託の連鎖と攻撃を受けた場所 事実
伊予銀行は2021年9月と2023年2月に実施した満足度アンケートを野村総合研究所（NRI）に委託し、NRIは集計等の一部業務を日本アスペクトコア（NAC）に再委託した。NACは郵送で回収した回答を電子データ化するため、ローレルバンクマシン（LBM）のAI-OCRサービス「Jijilla」などのクラウド基盤を利用していた。不正アクセスを受けたのはLBM社のデータ保存サーバーで、身代金要求を伴う攻撃だったと伝えられている。LBM社によれば9月25日にサーバーが第三者による不正アクセスを受け、一部サービスが停止した。伊予銀行自身のシステムが攻撃されたわけではなく、委託・再委託の先にあるクラウドサービスが狙われた形と説明されている。
流出した情報の範囲と数字の読み方 事実
伊予銀行の公表では、流出が確認された情報として、自由記述欄に回答者自身が氏名・住所等を記入していたものが2件と、回答者IDが挙げられている。一方で、個人を特定できる情報を自由記述欄に書き込んでいたケースが2先あり、その内容がクラウド側に保存されていたため、不正アクセスにより外部流出の可能性があると判断されたとも説明されている。このため、2件（2先）は「確認」と「可能性」の両方の表現で伝えられており、確定件数としては扱えない。回答者IDは集計のために付与した番号でID単体では個人を特定できず、伊予銀行はIDの流出自体がお客さまに不利益を及ぼすものではないとしている。顧客名簿や連絡先一覧の形式での流出は示されておらず、影響範囲は一部の自由記述欄と回答者IDに限られると説明されている。
同じJijilla事案の広がり 事実
同じJijillaへの不正アクセスは、伊予銀行以外にも複数の組織が公表している。広島銀行は2025年10月29日、2020・2021年度の「お客さま満足度調査」のデータ一部が流出したと発表し、NRIから10月27日に顧客2名の氏名の漏えいが判明したとの報告を受けたとしている。パーソル総合研究所は11月14日に公表し、研修後の満足度アンケートを電子化したデータ51件が流出した可能性があるとした。同社は10月10日に報告を受け、10月15日に流出の可能性を示す痕跡を確認している。このほか第一フロンティア生命、みずほ証券、丸三証券、東洋証券、慶應義塾大・通信教育部も情報流出の可能性を発表している。いずれも委託・再委託の流れの中で、NACが利用したツールが起点である。
構造面から見た論点（解釈） 解釈
この事案は、発注元から見ると三層以上先にある事業者のサーバーで起きた点に特徴がある。発注元の銀行は直接の契約先であるNRIまでしか見えないため、再委託先がどのクラウドにどの期間データを置くかを把握しにくい構造だったと考えられる。また、自由記述欄は設問側で想定していない氏名・住所等が書かれ得る領域であり、名簿のような管理対象にならないまま保存されやすい性質があるように見える。公表では被害が少数件に限られると説明されているが、公式発表が渡された出典に含まれず、報道経由の情報に依っているため、内容は各社の発表で確認する必要がある。複数組織で同時期に公表が続いた点は、共通の委託先経由で被害が横断的に広がり得ることを示している。
対応
- 封じ込め
- LBM社が当該システムを隔離し、第三者機関による調査を実施した。広島銀行の事案では、NRIが関係各社と連携して当日中にツールへのアクセス遮断を確認したとされる。
- 公表の仕方
- 2025年11月25日に伊予銀行が公表した。影響範囲は「一部の自由記述欄」と「回答者ID」に限られると説明されている。回答者IDの流出自体はお客さまに不利益を及ぼすものではないとしている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 再委託先を含む取扱いデータの所在を把握しておく必要がある | 委託契約時に再委託先・利用クラウドサービス・データ保存場所の届出を義務づけ、変更時の事前通知を求める。委託先台帳を整備し、年1回以上の棚卸しでデータ種別と保存先を突き合わせる。 |
| 終了した調査のデータが外部クラウドに残り続けると、数年後の事故でも影響が出る | アンケート等の業務完了後は、委託先・再委託先に対し、保存データの削除期限と削除証明の提出を契約で定める。クラウド側のオブジェクトにライフサイクルルールを設定し、期限超過データを自動削除する。 |
| 自由記述欄には想定外の個人情報が含まれ得る | 電子化の段階で自由記述欄を正規表現や固有表現抽出で走査し、氏名・住所・電話番号を検出したらマスキングまたは別管理にする。回答用紙にも個人情報を書かないよう注意書きを入れる。 |
| 委託先で起きた事故を速やかに発注元が把握できる連絡経路が要る | 委託契約にインシデント発生時の通知期限（例：検知後24時間以内の一報）と連絡窓口を明記する。再委託先の事故も元請け経由で発注元へ伝わるよう、連絡訓練を委託先を含めて実施する。 |
| 回答者IDなどの識別子は単体で安全とは限らない | 委託先に渡す識別子と個人を結ぶ対応表は自社内だけで保管し、委託先には渡さない。対応表を同じ環境に置く場合は分離してアクセス権を最小化し、閲覧ログを記録する。 |
自組織などでの確認項目
- 自組織が行った顧客・従業員アンケートの電子化は、どの事業者のどのクラウドで処理され、再委託が何段階あるか把握できているか。
- 過去の調査データは、委託先・再委託先に今も残っていないか。削除の期限と、削除を確認する手順が契約や運用に定められているか。
- 自由記述欄や備考欄など、想定していない個人情報が入り得る項目を、どのように検出・管理しているか。
- 委託先の再委託先で事故が起きた場合、自組織に何時間以内にどの経路で情報が届くか、実際に連絡訓練で確認したことがあるか。
未解明点
- LBM社サーバーへの具体的な侵入手口や悪用された脆弱性は、渡された情報では示されていない。
- 攻撃者の名称や犯行声明の有無、身代金への対応は、渡された情報には記載がない。
- 伊予銀行の該当者への個別連絡、再発防止策、当局への報告状況は、渡された情報では示されていない。
- 自由記述欄の2件（2先）が確認された流出か可能性にとどまるのかは、報道ごとに表現が異なり、確定件数は示されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-11-27報道本文確認済
- 2セキュリティ対策Lab(合同会社ロケットボーイズ)2025-10-31報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2025-11-17報道本文確認済
- 4ScanNetSecurity2025-11-13報道本文確認済
- 5ScanNetSecurity2025-12-08報道本文確認済
- 6ScanNetSecurity2025-12-08報道本文確認済