Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2026-r0044c976金融・保険最終確認 2026-10-14 17:47

大和証券の委託先スカラコミュニケーションズ「i-ask」への不正アクセス（大和証券は約11万人、同一委託先経由で最大5社・延べ最大71万3126件）

公表日

大和証券株式会社
続報あり不正アクセスサプライチェーンサプライチェーン：波及先

大和証券が問い合わせ管理を委託していたスカラコミュニケーションズのサーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、大和証券では最大約11万人分の氏名・メールアドレス・口座番号などが漏れた可能性があります（個人を特定できない問い合わせを含めると約22万件）。

対象者は？

大和証券にインターネット経由で問い合わせをした顧客のうち、最大約11万人。氏名、メールアドレス、口座番号などが漏れた可能性があります。大和証券は、この情報だけでは証券口座へのアクセスや取引はできず、不正取引も確認されていないと説明しています。

対象のお客さまには10月5日にお知らせBOXで個別に連絡されています。分からない場合は専用ダイヤル（0120-851850）に問い合わせてください。

大和証券（トップページのお知らせ） ↗ASCII.jp：大和証券、約11万人の顧客情報漏えいか ↗＠IT：同じ委託先の5社への影響 ↗

いますぐできること

  • 大和証券のお知らせBOXに連絡が届いていないか確認する。
  • 大和証券などを装ったメール・SMS・電話に注意し、取引用ID、パスワード、暗証番号、ワンタイムパスワードは絶対に伝えない。
  • 対象かどうか分からないときは、専用ダイヤル（0120-851850）に問い合わせる。

何が起きたのか

2026年10月2日の夜から3日の朝にかけて、大和証券が問い合わせ管理に使っている委託先スカラコミュニケーションズのFAQシステム「i-ask」に、第三者が管理サイトから不正にログインしました。同じサーバー上にあった問い合わせ情報が取り出された可能性があります。委託先は3日朝に異常を見つけ、同日8時頃に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を止めて大和証券に報告しました。大和証券は10月5日に公表し、対象のお客さまへ連絡しました。大和証券自身のシステムへの不正アクセスは確認されていません。同じ委託先を使う企業は最大5社で、シチズン時計、損保ジャパン、東武鉄道、オリックス生命保険なども公表しています。委託先全体の件数は、最大で延べ71万3126件です（同じ人の複数回の問い合わせを含み、人数ではありません）。

なぜ起きたのか・なぜ広がったのか

不正ログインに使われた認証情報の入手経路や、侵入の詳しい方法は、まだ発表されていません。同じサーバー上に複数の企業の問い合わせ情報があったため、複数の企業に影響が出ました。

いまの状況2026-10-10 時点続報待ち

2026年10月10日時点の情報です。委託先は不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の遮断、パスワードの変更、外部専門会社による調査などを進めています。再発防止として、管理者認証の強化（多要素認証）や環境の分離なども挙げています。大和証券は、委託先の調査と恒久対策を確認し、自社の委託先管理も検証して、強化策と時期を決めるとしています。攻撃者や侵入の経路は、まだ発表されていません。

企業として考えたいこと

自社が外部サービスに預けている顧客の問い合わせデータには、どんな情報が、何件、いつまで残っていますか。そのサービスの管理画面は、多要素認証などで守られていますか。

技術的な要約

2026年10月2日20時33分頃から3日8時1分頃にかけて、大和証券が問い合わせ管理に利用する委託先スカラコミュニケーションズ（SC社）のFAQシステム「i-ask」が不正アクセスを受けた。第三者は管理サイトに不正ログインして不正なプログラムを設置し、同一サーバー上の利用企業のデータベースから問い合わせ情報を取得した可能性がある。大和証券は10月5日、約11万人分の氏名・メールアドレス・口座番号などが漏えいした可能性があると公表した。個人を特定できない問い合わせを含めると対象は約22万件になる。大和証券自身のシステムへの不正アクセスは確認されておらず、漏えい情報だけでは証券口座へのアクセスや取引はできず、不正取引も確認されていないと説明している。同じ委託先の事案は最大5社・延べ最大71万3126件に及び、シチズン時計、損保ジャパンなども公表している。侵入経路や認証情報の入手経路は未公表で、調査が続いている。

公開情報が限られている点について
渡された出典に大和証券の公式お知らせ本文はなく、トップページのみ。事実は報道・研究者の記事に基づく。侵入経路、認証情報の入手経路、攻撃者は未公表。大和証券の業務停止と金銭被害は公表されておらず、core_daysとfinancialはnullとした。
侵入
2026-10-02 20:33
被害発生
2026-10-02 20:33
検知
2026-10-03
第1報公表
2026-10-05
最新続報
2026-10-10
侵入 → 検知
1日
侵入日から算出
検知 → 公表
2日
データ（上限）
11万人
確定 —
波及先
5
社

攻撃の分類

侵入口
管理画面/API公表で確認
SC社の公表によると、第三者がi-askの管理サイトに不正ログインし、サーバー上に不正なプログラムを設置した。ログイン認証情報の入手経路は公表されていない。不正ログインに使われたアカウントのパスワードを変更したとの報告があり、特定アカウントが使われたと見られる（Rescana）。
脆弱性
CVE 非公表報道・研究者
i-ask（スカラコミュニケーションズ運営のFAQシステム）
CVE、CISA KEV登録、CVSSスコアは存在せず、公表されたソフトウェア脆弱性ではなくベンダー運営のホスト型プラットフォームの侵害とされる（Rescana）。
攻撃者
特定・主張なし
ATT&CK
T1078 Valid AccountsT1213 Data from Information Repositories

影響

業務停止
あり 大和証券の業務停止は公表されていない。漏えいした可能性のある情報だけでは、オンライントレードを含む証券口座へのアクセスや取引はできないと同社は説明している。
データ
おそれ上限 110,000確定 —人
氏名メール口座
約11万人の氏名・メールアドレス・口座番号などが漏えいした可能性がある。個人を特定できない問い合わせ情報などを含めると約22万件。10月5日時点で不正取引や情報のインターネット上への公開・拡散は確認されていない。SC社全体では最大5社・延べ最大71万3126件（問い合わせ単位で重複を含む）で、大和証券の件数との包含関係は明記されていない。
波及先
5 社
  • 大和証券（約11万人、約22万件）
  • シチズン時計（約10万人）
  • 損害保険ジャパン（延べ約6万件）
  • 東武鉄道（お客さまセンターの問い合わせフォーム）
  • オリックス生命保険（延べ約2万6500件）
  • 岩手銀行（大和証券のサービスを利用する顧客の氏名・口座番号が漏えいした可能性）
金銭影響
—
サプライチェーン
大和証券は問い合わせ管理をSC社に委託しており、攻撃を受けたのはSC社のサーバーで、大和証券のシステムへの不正アクセスは確認されていない。同じi-askサーバー上の最大5社の利用企業環境が影響を受けた。大和証券は委託先の選定・管理ルールに基づいてSC社を選定・管理してきたとしている。

時系列

  1. 2026-10-02 20:33
    不正アクセス開始。第三者がi-askの管理サイトに不正ログインし、サーバー上に不正なプログラムを設置した（SC社の説明）。128
  2. 2026-10-03
    SC社が朝にデータベースの監視アラートを確認し、調査を開始した。5812
  3. 2026-10-03 08:00
    SC社が不正アクセスを遮断した（不正アクセス期間は8時1分頃まで）。812
  4. 2026-10-03
    SC社が大和証券に本件を報告し、緊急セキュリティ強化を実施した。シチズン時計、損保ジャパンにも同日連絡している。2478
  5. 2026-10-05
    大和証券が、委託先SC社のサーバーへの不正アクセスにより約11万人の顧客情報（氏名、メールアドレス、口座番号など）が漏えいした可能性があると公表した。対象顧客にはお知らせBOXで個別連絡した。12410
  6. 2026-10-06
    SC社がi-askへの不正アクセスを公表した。最大5社・延べ最大71万3126件の問い合わせ情報が漏えいした可能性がある。同日、シチズン時計も約10万人分の可能性を公表した。35712
  7. 2026-10-07
    損保ジャパンが、法人向けドライブレコーダー「SMILING ROAD」の問い合わせ対応で利用する同じ委託先で、延べ約6万件の情報が漏えいした可能性があると公表した。358
  8. 2026-10-08
    オリックス生命保険が、公式Webサイトからの問い合わせ管理に使う外部システムが不正アクセスを受け、延べ約2万6500件分が漏えいした可能性があると公表した（東武鉄道は10月7日に発表）。3
  9. 2026-10-09
    岩手銀行が、包括的業務提携を結ぶ大和証券のサービスを利用する顧客の氏名や口座番号が漏えいした可能性があると発表した。6
  10. 2026-10-10
    報道が、大和証券、シチズン、損保ジャパン、東武鉄道、オリックス生命の5社が同じ委託先への不正アクセスに関する発表をしたと整理した。3

技術解説

攻撃の構造：委託先の管理サイトからの侵入 事実

公表によると、第三者は2026年10月2日20時33分頃から3日8時1分頃にかけて、スカラコミュニケーションズ（SC社）のFAQシステム「i-ask」の管理サイトに不正ログインし、サーバー上に不正なプログラムを設置した。その後、同一サーバー上で動く利用企業のデータベースから問い合わせ情報を取得した可能性がある。SC社は3日朝にデータベースの監視アラートを確認して調査を始め、同日8時頃に不正アクセスを遮断した。大和証券は、攻撃を受けたのはSC社のサーバーで、自社システムへの不正アクセスは確認されていないとしている。ログイン認証情報の入手経路は公表されていない。不正ログインに使われたアカウントのパスワードを変更したと報告されており、特定のアカウントが使われたことがうかがえる。CVEやCVSSは付いておらず、公表されたソフトウェア脆弱性ではなくホスト型サービスの侵害とされている。

影響の範囲と数字の読み方 事実

大和証券は、約11万人の氏名・メールアドレス・口座番号などが漏えいした可能性があると公表した。個人を特定できない問い合わせ情報を含めると約22万件になる。いずれも「可能性」の数字で、流出が確定した件数は公表されていない。SC社は、最大5社・延べ最大71万3126件の問い合わせ情報が漏えいした可能性があるとしている。この件数は問い合わせ単位で、同じ人の複数回の問い合わせは重複し、実人数は確認中である。大和証券の件数との包含関係は明記されていない。同じ委託先の事案として、シチズン時計は約10万人、損保ジャパンは延べ約6万件、オリックス生命保険は延べ約2万6500件を公表した。東武鉄道も発表している。大和証券は、漏えいの可能性がある情報だけでは証券口座へのアクセスや取引はできず、10月5日時点で不正取引や情報の公開・拡散は確認されていないと説明している。

複数社に波及した背景についての見方 解釈

同じi-askサーバー上で複数の利用企業の環境が動いており、1か所の管理サイトへの不正ログインが最大5社のデータに及んだと考えられる。SC社が再発防止策として、管理者認証の強化（多要素認証）、環境間の分離、監視強化、第三者による定期的な脆弱性診断を挙げていることからも、管理者認証と環境間の分離が主な論点だったと推測できる。ただしこれは公表内容からの読み取りで、原因の特定ではない。問い合わせフォームには、本来の目的を超える情報（口座番号、カード情報、医療情報など）が自由記述で入りうる。シチズン時計やオリックス生命保険の公表では、そうした情報が含まれる可能性にも触れられている。各社の自社システムは無事でも、委託先に預けたデータの量と中身が被害の大きさを左右する構図である。

公表の経緯と評価 解釈

10月5日の大和証券、6日のSC社とシチズン時計、7日の損保ジャパンと東武鉄道、8日のオリックス生命保険と、各社が順次公表した。大和証券は個別連絡の方法と専用ダイヤルを示し、フィッシングへの注意と、取引用ID・パスワード・暗証番号・ワンタイムパスワードを教えないよう具体的に呼びかけており、利用者が取れる行動が分かりやすい。一方、公表の単位が人、件、延べ件数と会社ごとに異なり、利用者や他の委託元が全体像を把握しにくい面がある。委託元は自社の件数だけでなく、同じ委託先を使う他社の状況も確認する必要が出た。なお、渡された出典には大和証券の公式お知らせ本文がなく、トップページの告知しか確認できない。そのため報道に基づく部分がある。公表値は調査の途中のもので、今後修正される可能性がある。

対応

封じ込め
SC社は10月3日8時頃に不正アクセスを遮断し、緊急セキュリティ強化を実施した。不正ログインに使われたアカウントのパスワード変更、攻撃元IPのブロック、不正プログラムの隔離、全環境の管理者パスワード変更、アップロードファイルをプログラムとして実行できない設定への変更を行い、外部専門会社によるフォレンジック調査を開始した（Rescana）。再発防止策として、管理者認証の強化（多要素認証）、環境間の分離、監視強化、第三者による定期的な脆弱性診断を挙げている。大和証券は既存の委託先を点検し、SC社の原因調査と恒久対策を確認した上で、自社の委託先管理の在り方を検証して管理強化策と実施時期を決めるとしている。
公表の仕方
大和証券は2026年10月5日に公表し、対象顧客へ個別連絡する方針を示した（該当顧客にはお知らせBOXで連絡し、専用ダイヤルを案内）。氏名や問い合わせ内容を悪用した、同社を装うフィッシングメールや電話への注意を呼びかけ、取引用ID、パスワード、暗証番号、ワンタイムパスワードなどを提供しないよう求めている。新たな事実が判明した場合は対象範囲、対策、顧客への対応を速やかに公表するとしている。
当局対応
  • 個人情報保護委員会（シチズン時計とスカラコミュニケーションズが報告。スカラは警察にも相談）
  • 大和証券自身の当局報告は、渡された出典からは確認できない

教訓と対策

教訓具体的な対策
委託先の管理サイトが破られると、その委託先に預けた全社のデータが同時に危険にさらされる。委託先の管理画面には多要素認証（FIDO2など）と接続元IP制限を必須にする。委託先選定の評価項目と契約に、管理者認証方式と更新時の再評価を盛り込む。
同一サーバー上に複数の利用企業の環境が同居していると、1か所の侵害が複数社に波及する。利用企業ごとにDB・アカウント・資格情報・ストレージを分離し、管理サイトの権限でほかのテナントのDBに届かない構成にする。接続元をアプリサーバーに限定し、DB認証情報はテナントごとに分けて保管する。
今回は監視アラートで検知し、約11時間後に遮断した。不正プログラムの設置を前提にした防御と検知が要る。アップロードファイルを実行不可にする設定を既定にする。管理サイトへの新規ログインや不審な設置ファイルをアラート化し、DBへの大量読み出しにしきい値を設けて自動遮断できるようにする。
問い合わせフォームの自由記述に、口座番号やカード情報などの機微な情報が混入しうる。フォームの入力欄に機微情報を書かないよう注意書きを入れ、口座番号やカード番号の形式を検知してマスクまたは拒否する処理を入れる。委託先に保存する問い合わせデータには保持期間を設け、期間が過ぎたものを自動削除する。
委託先で事案が起きたとき、委託元は件数の単位と範囲を確認しないと、全体像を誤解しうる。委託契約に、委託先の事案時の連絡期限、件数の単位（人数か延べ件数か）、影響を受ける他社の有無を報告させる条項を入れる。委託先に保存中のデータ項目と件数を台帳で把握し、一覧をすぐ出せるようにする。

自組織などでの確認項目

  1. 自組織が委託先や外部サービスに預けている顧客データ（問い合わせ履歴を含む）の項目と件数を、台帳ですぐ把握できますか。
  2. 委託先の管理画面に多要素認証や接続元制限がかかっているか、また他社の環境とデータが分離されているかを、契約や監査で確認していますか。
  3. 問い合わせフォームの自由記述に口座番号やカード情報などが入った場合に、検知や保持期間による削除の仕組みがありますか。
  4. 委託先から事案の第一報を受けたとき、利用者への案内、当局への報告、フィッシング対策の周知まで、誰が何日以内に行うかを決めていますか。

未解明点

  • 不正ログインに使われた認証情報の入手経路（流出、推測、使い回しなど）は公表されていない。
  • 攻撃者の特定や身代金要求の有無は、確認された公表情報にない。
  • 大和証券の約11万人・約22万件と、SC社全体の最大71万3126件との包含関係は明記されていない。
  • 各社の実際の対象人数は、SC社が名寄せ中で確定していない。
  • 不正プログラムの内容や侵害の痕跡（IOC）、大和証券自身の個人情報保護委員会への報告状況は公表されていない。

出典

  1. 1
  2. 2
  3. 3
  4. 4
  5. 5
  6. 6
  7. 7
  8. 8
  9. 9
  10. 10
  11. 11
  12. 12