NTTデータの社債特典支援サービス委託先SaaSへの不正アクセス（委託先経由で投資家情報漏洩の懸念）
公表日
NTTデータが社債特典付与サービスで利用する委託先SaaSが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、社債購入者らの情報が外部に流出したおそれがあります。
対象者は？
近鉄グループホールディングスの第135回無担保社債を100万円以上購入した投資家（2,678件）、楽天証券で販売された対象のデジタル特典付き社債を購入した一部の顧客（延べ362件）、野村證券の一部顧客、JR西日本の社債投資家（2件）など。なお、証券口座番号やパスワードは含まれていません。
楽天証券では影響が確認された顧客へ個別に連絡するとしています。詳細や最新情報は各社の公式発表をご確認ください。
いますぐできること
- 証券会社や社債発行企業を装った不審なメール、SMS、電話に注意し、記載されたリンクを開いたり個人情報を入力したりしないようにしてください。
何が起きたのか
2026年10月30日、NTTデータが提供する社債特典支援サービス「STdirectServices」が利用している委託先のシステム「デジタル証券プラットフォーム」で不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が発生し、内部の情報が外部に持ち出された可能性があることが判明しました。これを受け、NTTデータは対象サービスを停止し、利用していた近鉄グループホールディングス、楽天証券、野村證券などの各社が投資家情報の流出のおそれを発表しました。
なぜ起きたのか・なぜ広がったのか
委託先が提供・利用するSaaS（クラウドサービス）が第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受けたためです。侵入経路などの技術的な詳細な原因については、委託先において調査が進められています。
いまの状況2026-11-01 時点続報待ち
NTTデータは当該サービスを停止しています（停止時点で対象の社債がないため特典業務への影響はありません）。委託先の企業名や侵入経路、全体の詳細な影響範囲については、まだ発表されていません。
企業として考えたいこと
自社サービスで利用している外部のSaaSや委託先が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受けた場合、預けている顧客データのリスクを速やかに把握し関係先へ連絡できる体制になっていますか？
技術的な要約
NTTデータは、社債購入者に対する特典付与支援サービス「STdirectServices」において、委託先が利用するSaaS（デジタル証券プラットフォーム）が第三者による不正アクセスを受けたと2026年10月31日に発表した。この不正アクセスに伴い、プラットフォーム内で取り扱う投資家の個人情報が外部へ持ち出された可能性がある。影響先として、近鉄グループホールディングスの社債購入者2,678件、楽天証券の購入者延べ362件、JR西日本の社債投資家2件などの情報漏洩の可能性が各社から公表された。NTTデータはSTdirectServicesのサービスを停止したが、公表時点で対象となる社債がないため特典付与業務への影響はないとしている。委託先の社名や侵入経路等の技術的要因については詳細調査が進められている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明委託先が利用するSaaSへの第三者による不正アクセス。侵入経路や技術的要因は調査中と発表されている
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 社債購入者に対する特典付与支援サービス「STdirectServices」を停止。ただし停止時点で対象社債がないため業務影響はなし
- データ
- おそれ上限 3,042確定 —件氏名その他近鉄GHD社債購入者2,678件、楽天証券販売分延べ362件、JR西日本社債投資家2件の合計。全体総数は未公表。証券口座番号やパスワードは対象外
- 波及先
- 4 組織
- 近鉄グループホールディングス株式会社
- 楽天証券株式会社
- 野村證券株式会社
- 西日本旅客鉄道株式会社
- 金銭影響
- —
- サプライチェーン
- NTTデータの委託先が利用・提供するSaaS「デジタル証券プラットフォーム」が不正アクセスを受け、NTTデータのサービス利用者へ影響が波及した
時系列
技術解説
委託先SaaSへの不正アクセスと関係各社への波及経緯 事実
2026年10月30日、NTTデータが提供する社債特典付与支援サービス「STdirectServices」が利用する委託先のSaaS（デジタル証券プラットフォーム）に対し、第三者による不正アクセスが発生し、内部の情報が外部に持ち出された可能性が報告された。NTTデータは同日中に顧客企業である野村證券、近鉄グループホールディングス、楽天証券へ連絡を実施した。翌31日、NTTデータはSTdirectServicesのサービス停止を公表した。あわせて、近鉄GHDが無担保社債購入者2,678件、楽天証券が購入者延べ362件、野村證券が購入顧客、JR西日本の社債投資家2件について、それぞれ情報流出のおそれを公表した。ただし、証券口座番号やログインパスワードは漏洩対象に含まれていないとされている。
BtoBtoBモデルにおける委託先依存と一次情報の非公表 解釈
NTTデータの公表内容では、侵入を受けた委託先企業の名称、具体的な侵入経路、技術的要因、不正アクセスの詳細な発生時期、サービス再開見込みなどが明らかにされておらず、委託先による詳細調査中とされている。NTTデータは金融機関や発行体企業に対し中間プラットフォームサービスを提供する立場にあり、その背後で稼働する委託先SaaSのインシデントによって下流の複数金融機関・企業へ一斉に情報漏洩リスクが波及する構造が浮き彫りとなった。直接の侵入先が自社外の委託先SaaSである場合、ログ保全や原因究明の主導権が相手方に依存するため、事態把握や確定的な影響報告までに時間を要する課題が生じていると解釈できる。
特典付与業務と保持データの範囲による影響の限定化 解釈
NTTデータは公表時点で特典付与の対象となる社債が存在しないことから、STdirectServicesの停止に伴う直接的な特典付与業務への影響はないと説明している。また、プラットフォーム内で保持していたデータには氏名や社債購入金額が含まれる一方、証券口座番号やパスワードといった金融資産に直接関わる認証情報・取引情報は保持しておらず、発表時点で本件に起因する不正アクセスや不正取引は確認されていない。業務機能の稼働時期とデータ最小化設計により、取引停止等の致命的な業務麻痺や金銭詐取などの二次被害リスクが一定程度抑えられていると分析できる。
対応
- 封じ込め
- NTTデータは不正アクセス発生を受け、委託先SaaSを利用する「STdirectServices」のサービスを停止した
- 公表の仕方
- NTTデータが2026年10月31日に公式ウェブサイトで「STdirectServicesのサービス停止についてのお知らせ」を公表したほか、楽天証券や近鉄GHDなどの利用各社も同日付で公表を行った
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 外部SaaSおよび再委託先におけるセキュリティガバナンスと可視性の確保 | 自社サービスで組み込む外部SaaSや業務委託先に対し、アクセス制御やログ監視、インシデント発生時の技術的報告義務を契約書およびSLAへ具体的に盛り込み、定期的なセキュリティ評価を実施する。 |
| 委託先プラットフォームに預託・連携する個人情報の最小化 | 特典付与支援などの外部連携サービスでは、業務に必要な属性情報（氏名や購入金額等）のみに限定し、口座情報や認証情報を同一領域で保持・連携しないデータ分離設計を徹底する。 |
| サプライチェーン上の委託先でインシデントが発生した際の迅速なエスカレーション手順の確立 | 外部委託先やSaaS環境での侵害検知から24時間以内に自社への一次報告および下流の顧客企業（証券会社・発行体等）へ連絡できる体制とテンプレートを整備しておく。 |
| 顧客・利用者への注意喚起と二次被害（フィッシング・詐欺）防止策の周知 | 漏洩のおそれが生じた個人情報（氏名や社債購入履歴など）を悪用したなりすまし連絡に備え、公表直後に対象顧客へ不審連絡の注意喚起を通知する連絡手順を用意する。 |
自組織などでの確認項目
- 自社の主要サービスが依存している外部SaaSや再委託先事業者において、インシデント発生時の連絡・調査手順が契約上定められているか。
- 外部サービスへ連携または預託しているデータに、本来不要な認証情報や高機微な個人情報が含まれていないか棚卸しが行われているか。
- 委託先で情報漏洩のおそれが生じた場合、被害を受けた可能性のある顧客や取引先へ連絡を行うまでの連絡ルートや判断基準が準備されているか。
未解明点
- 不正アクセスを受けた委託先SaaSの企業名および具体的な侵入経路（脆弱性悪用、認証情報窃取など）は何であったのか。
- 委託先プラットフォーム全体で外部に持ち出された可能性がある個人情報の確定件数および全容。
出典
- 1＠SOHO編集部2026-10-31報道本文確認済
- 2近鉄グループホールディングス株式会社2026-10-31公式本文確認済
- 3Innovatopia2026-11-01報道本文確認済
- 4NHKニュース2026-10-31報道本文確認済
- 5CNET Japan2026-11-01報道本文確認済
- 6ビジネス＋IT2026-10-31報道本文確認済
- 7The Forward2026-10-31報道本文確認済
- 8日本経済新聞2026-11-01報道本文確認済
- 9株式会社NTTデータ2026-10-31公式本文確認済