常陽銀行 取手支店での法人顧客リスト置き忘れによる情報漏えい（法人65先）
公表日
常陽銀行の取手支店で、2020年6月に紙の法人顧客リストが訪問先に置き忘れられ、取引先の法人65先の情報が第三者の目に触れる状態になっていました。2025年9月30日に公表されました。
対象者は？
取手・藤代・戸頭・取手西の各支店で取引のある法人65先（公表された対象数）。記載されていたのは取引店番・取引先番号、法人名・住所、取引状況（融資残高やインターネットバンキング利用の有無）、行内部の格付、電子申告利用の有無です。個人のお客さまの情報が含まれるとは、渡された出典には書かれていません。
対象の法人には、銀行が個別に事実関係を説明し、謝罪したと報じられています。心当たりがある場合は、お客さま相談室（0120-700-218、平日午前9時〜午後5時）に問い合わせられます。
いますぐできること
- 取引先の法人の方で、不安や心当たりがある場合は、お客さま相談室（0120-700-218）に問い合わせる。
- 銀行を名乗る不審な連絡があったときは、自分で調べた正規の連絡先に確認する。
何が起きたのか
2020年6月、常陽銀行取手支店の担当者が、営業のために紙の法人顧客リストを持って外を回っていました。訪問先の1社にそのリストを置き忘れ、第三者の目に触れる状態になりました。リストは訪問先からの連絡で戻りましたが、本部には報告されませんでした。2025年9月に銀行宛てに匿名の封書が届き、調査で事実が分かりました。銀行は監督官庁に報告し、対象の65先に説明して謝罪しました。
なぜ起きたのか・なぜ広がったのか
置き忘れの原因は、担当者が紙のリストを持ち歩いて訪問した際に残してしまったことです。回収後に本部へ報告されなかった理由や経緯は、渡された出典にはなく、まだ発表されていません。報道では、同支店での情報の取り扱い手続きが適切でなかったためと書かれています。
いまの状況2025-10-10 時点
2025年10月10日時点で、銀行はリストの回収を終え、対象先への説明と謝罪、監督官庁への報告を済ませています。管理・監督責任の所在を明らかにしたうえで、関係者を処分する方針です。第三者による悪用の有無や、再発防止策の具体的な内容は、まだ発表されていません。
企業として考えたいこと
あなたの会社では、外出先に持ち出す紙の資料を置き忘れたとき、回収できた場合でも必ず会社に報告され、記録が残る仕組みになっていますか。
技術的な要約
常陽銀行は2025年9月30日、取手支店で法人顧客の情報が漏えいしていたと公表した。2020年6月、同支店の担当者が営業推進のため紙の法人顧客リストを携行して外訪中、訪問先1社に置き忘れ、第三者の目に触れる状態となっていた。リストには取手・藤代・戸頭・取手西の各支店で取引のある法人65先について、取引店番・取引先番号、法人名・住所、融資残高やインターネットバンキング利用の有無、行内部の格付、電子申告利用の有無が記載されていた。リストは訪問先からの連絡で回収されたが本部には報告されないままで、2025年9月に匿名の封書が届き行内調査で判明した。同行は対象先への個別説明と謝罪、監督官庁への報告を行い、管理・監督責任を明らかにしたうえで関係者を処分する方針である。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 物理公表で確認外部からの侵入ではなく、担当者が紙の法人顧客リストを携行して外訪中、訪問先に誤って置き忘れ、第三者の目に触れる状態となった。報道では同支店での情報取り扱い手続きの不適によるものと記載されている。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 業務停止に関する記載はない。
- データ
- 確定上限 65確定 —件住所取引先情報その他対象は取手・藤代・戸頭・取手西の各支店の法人取引先65先。記載情報は取引店番・取引先番号、法人名・住所、取引状況（融資残高、インターネットバンキング利用の有無）、行内部の格付、電子申告利用の有無。リストは回収済み。第三者による悪用の有無は出典に記載がない。
- 波及先
- 65 社
- 取手支店、藤代支店、戸頭支店、取手西支店の法人取引先
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
事案の内容（公表された事実） 事実
常陽銀行は2025年9月30日、取手支店で発生した法人顧客情報の漏えいを公表した。2020年6月、同支店の担当者が営業推進のため紙の法人顧客リストを携行して外訪中、訪問先1社に誤って置き忘れ、第三者の目に触れる状態となっていた。リストには取手・藤代・戸頭・取手西の各支店で取引のある法人65先の情報が載っていた。記載は取引店番・取引先番号、法人名・住所、取引状況（融資残高やインターネットバンキング利用の有無）、行内部の格付、電子申告利用の有無である。リストは訪問先からの連絡で回収されたが、本部には報告されないままだった。
発覚の経緯と同行の対応（公表された事実） 事実
2025年9月に同行宛てに匿名の封書が届き、本部が行内調査を実施した結果、置き忘れの事実が判明した。報道では、同支店での情報取り扱い手続きの不適によるものと記載されている。同行は発覚後、速やかに監督官庁へ報告し、対象の65先に個別に事実関係を説明して謝罪した。今後は管理・監督責任の所在を明らかにしたうえで、行内規定に基づき関係者を処分する方針とされる。問い合わせはお客さま相談室（0120-700-218、平日午前9時〜午後5時）で受け付けている。第三者による悪用の有無は、出典に記載がない。
発覚まで約5年かかった構造 解釈
本件は外部からの攻撃ではなく、紙の資料の置き忘れという物理的な事象である。注目すべきは、リストが訪問先からの連絡で回収された時点で本部への報告が行われず、公表資料の範囲では、約5年後に匿名の封書が届くまで組織として把握されなかった点である。回収という現場の対応は取られていたとみられるが、それを事故として記録し、影響範囲を評価して必要な措置につなげる流れが当時機能していたかは、出典からは分からない。個人の注意だけに帰さず、報告の経路と記録の仕組みの観点で見るのが適切だろう。
記載情報の性質と評価上の留意点 解釈
漏えいした情報は、融資残高や行内部の格付など、銀行が内部で管理する取引先の評価に関わる項目を含む。氏名や口座番号のような個人情報とは性質が異なるが、法人の信用や取引状況を示すため、取引先にとっては公にしたくない情報と考えられる。一方、対象は65先に限られ、リストは回収済みで、悪用の有無は出典に記載がない。そのため、影響を大きいとも小さいとも断定できない。また、公式発表は渡された出典に含まれず、本稿は報道に基づく。数値の65先は公表された対象数で、流出が確認された件数としては区別されていない。
対応
- 封じ込め
- リストはすでに回収済み。対象先への個別説明と謝罪を行った。
- 公表の仕方
- 2025年9月30日に公表。お客さま相談室（0120-700-218）で平日午前9時〜午後5時に問い合わせを受け付けている。
- 当局対応
- 監督官庁に発覚後、速やかに報告
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 紙の顧客リストの持ち出しは、置き忘れを前提に管理する必要がある。 | 外訪用の一覧は必要項目だけに絞り、格付や融資残高など内部評価の項目は原則載せない。印刷物には通し番号と持出者を記録する持出台帳を設け、帰店時に突合する。 |
| 回収できた事故でも、本部に報告されなければ組織として把握できない。 | 置き忘れ・誤送付は回収済みでも必ず報告する規程にし、インシデント管理票を起票する。報告期限と報告先をチェックリスト化し、半期ごとに未報告案件がないか点検する。 |
| 発覚が匿名の通報に依存すると、把握の時期を組織側で制御できない。 | 内部通報窓口と顧客からの申告窓口を整備して周知し、受付から本部調査への引き継ぎ手順と、受付後の判断期限を決めておく。 |
| 取引先の評価情報は、漏えい時の影響が大きい情報として分類する必要がある。 | 情報資産の分類で格付・融資残高を高機微に設定し、印刷・持出しにはシステム側で承認を必須にする。印刷時に取扱注意の透かしを入れ、出力ログを保存する。 |
| 古い事案の把握後は、対象先への説明と当局報告を速やかに進める必要がある。 | 事故判明時の初動手順（対象特定、回収確認、対象先への個別説明、当局報告、公表判断）を文書化し、年1回は紙媒体の事故を想定した机上訓練で確認する。 |
自組織などでの確認項目
- 自組織で、外出先に持ち出す紙の資料に、取引先の評価や金額などの機微な項目が含まれていないか、確認できるか。
- 資料の置き忘れや誤送付が起きたとき、回収済みでも本部や管理部門に必ず報告される規程と記録の仕組みがあるか。
- 過去に現場で処理されたまま、組織として記録されていない事故がないかを、内部通報や棚卸しで確認する方法があるか。
- 紙の持出しについて、持出者・持出日・返却を後から追える台帳やログが残っているか。
未解明点
- リストを置き忘れた訪問先や、第三者の目に触れた範囲の具体的な状況（第三者による悪用の有無を含む）。
- 2020年6月の回収時に本部へ報告されなかった経緯と、その後約5年間の社内での取り扱い。
- 匿名の封書の送り主と、その送付の目的や内容の詳細。
- 関係者の処分の内容と時期、および再発防止策の具体的な中身。
出典
- 1セキュリティ対策Lab(合同会社ロケットボーイズ)2025-10-02報道本文確認済
- 2ScanNetSecurity2025-10-10報道本文確認済
- 3日本経済新聞2025-09-30報道本文確認済
- 4ニッキンONLINE（日本金融通信社）2025-09-30報道本文確認済
- 5ワンビ株式会社（パソコンの情報漏洩ニュース）2025-09-30報道本文確認済