岩井コスモ証券の外部委託先への不正アクセスによるお客様情報の漏洩（規模は未確認）
公表日
岩井コスモ証券の外部委託先が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、お客様情報が漏洩したとして、2026年10月16日に発表されました。影響の規模はまだ発表されていません。
対象者は？
対象となるお客様の範囲、漏洩した情報の種類、人数は、まだ発表されていません。
岩井コスモホールディングスの発表資料や、岩井コスモ証券からの案内で確認してください。個別の連絡方法は、まだ発表されていません。
いますぐできること
- 岩井コスモ証券の公式発表や案内が出ていないか確認する。
- 証券会社を名乗る不審なメール、電話、SMSに注意し、記載のリンクは開かず、公式サイトや公式アプリから確認する。
- ログインパスワードを他のサービスと使い回していないか見直す。
何が起きたのか
2026年10月16日16:30に、岩井コスモホールディングスが「岩井コスモ証券 外部委託先への不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。に伴うお客様情報の漏洩について」という発表資料を公表しました。題名から、岩井コスモ証券が業務を任せている会社が不正アクセスを受け、お客様の情報が外部に漏れたことが分かります。いつ起きたか、どんな情報が何件漏れたかは、まだ発表されていません。
なぜ起きたのか・なぜ広がったのか
原因や、被害が広がった理由は、まだ発表されていません。侵入の経路も、委託先の名前も確認できていません。
いまの状況2026-10-16 時点続報待ち
2026年10月16日時点では、詳しい状況、お客様への対応、再発防止策は、まだ発表されていません。続報を待つ状況です。
企業として考えたいこと
自社の顧客情報を預けている委託先はどこで、そこで事故が起きたとき、どの情報が影響を受けるかをすぐ答えられるでしょうか。
技術的な要約
岩井コスモホールディングスは2026年10月16日16:30に、「岩井コスモ証券 外部委託先への不正アクセスに伴うお客様情報の漏洩について」と題する発表資料を適時開示した。題名から、岩井コスモ証券の外部委託先が不正アクセスを受け、お客様情報の漏洩が生じたことが読み取れる。侵入日、検知日、侵入経路、漏洩件数、情報の種類、委託先の名称は、今回渡された根拠からは確認できない。対応状況や当局への報告も同様に確認できていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 委託先経由公表で確認発表資料の題名は「外部委託先への不正アクセスに伴うお客様情報の漏洩」。具体的な侵入経路は根拠に記載がない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし
- データ
- 確定上限 —確定 —題名に「お客様情報の漏洩」とあるが、件数と情報の種類は根拠に記載がない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 岩井コスモ証券の外部委託先が不正アクセスを受け、同社のお客様情報が漏洩したと題されている。委託先の名称は根拠に記載がない。
時系列
- 2026-10-16 16:30岩井コスモホールディングスが「岩井コスモ証券 外部委託先への不正アクセスに伴うお客様情報の漏洩について」を適時開示した。1
技術解説
公表されている内容と確認できる範囲 事実
岩井コスモホールディングスは2026年10月16日16:30に、「岩井コスモ証券 外部委託先への不正アクセスに伴うお客様情報の漏洩について」と題する発表資料を適時開示した。今回確認できる公表事実はこの開示の題名と開示時刻だけである。題名から、岩井コスモ証券の外部委託先に対する不正アクセスと、お客様情報の漏洩が扱われていることが分かる。侵入日、検知日、侵入経路、漏洩件数、情報の種類、委託先の名称、対応状況、当局への報告は、今回の根拠には含まれていない。件数の上限や確定値も示されていない。
委託先経由という構造の読み方 解釈
題名のとおりなら、侵害を受けたのは岩井コスモ証券自身のシステムではなく、業務を預けた外部委託先の環境とみられる。委託先の名称や業務内容、預けていた情報の範囲が分からないため、どの情報がどれだけ影響を受けたかは判断できない。一般に委託先経由の事案では、発注側から見えにくい環境で情報が保管されるため、影響範囲の確定に時間がかかることがある。この事案も同様かどうかは未公表で、あくまで一般論としての見方である。
初報段階の公表をどう受け止めるか 解釈
現時点の開示は題名と時刻しか確認できておらず、公表内容の充実度を評価できる段階にない。本文が別にある可能性もあるが、今回の根拠からは確認できない。そのため、公表の遅速や対応の適否を論じる材料はない。金融機関の委託先に関する事案では、続報で影響を受けた顧客の範囲、情報の種類、顧客への連絡方法が示されるかが、利用者にとって重要な点になる。今後の開示で、確認済みの事実と調査中の事項が分けて示されるかに注目したい。
対応
- 封じ込め
- —
- 公表の仕方
- 2026年10月16日16:30に岩井コスモホールディングスが適時開示として発表資料を公表した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先に預けているデータの範囲を発注側が把握しておく必要がある。 | 委託先ごとに、預けている個人情報の項目・件数・保管場所・保管期間を台帳化し、半期ごとに委託先へ棚卸しを依頼する。不要になったデータは返却・削除させ、その証跡を受け取る。 |
| 委託先で侵害が起きたとき、発注側が迅速に把握できる連絡体制が要る。 | 契約に、インシデント発生時の通知期限(例:検知後24〜72時間以内)、通知内容、連絡窓口を明記する。年1回、委託先を含む連絡訓練を行い、夜間・休日の連絡先を検証する。 |
| 委託先に渡す顧客情報は必要最小限にし、侵害されても被害が限定されるようにする。 | 委託先へ渡す項目を業務要件から見直し、可能な項目は仮名化・トークン化する。保管データは暗号化し、鍵は発注側で管理する構成を検討する。 |
| 委託先のセキュリティ水準は、契約時だけでなく継続的に確認する。 | 委託先に多要素認証、ログ保存、脆弱性対応の状況を定期的にチェックシートや監査で報告させる。委託先への接続アカウントは権限を絞り、アクセスログを自社側でも監視する。 |
自組織などでの確認項目
- 自組織が個人情報や顧客データを預けている委託先を、一覧にして即答できますか。各委託先に預けているデータの項目と件数は確認できますか。
- 委託先から侵害の連絡を受けたとき、誰が受け、何時間以内に顧客や当局への対応を判断するか、手順書で確認できますか。
- 委託先との契約に、インシデント通知の期限、調査への協力、データの返却・削除の条項が入っていますか。直近の更新時に見直しましたか。
未解明点
- 侵害を受けた外部委託先はどこで、岩井コスモ証券からどのような業務を受託していたのか。
- 漏洩した情報の種類と件数、影響を受ける顧客の範囲はどうなっているのか。
- 侵入の時期、検知の時期、侵入経路はどうなっているのか。
- 当局への報告と、影響を受けた顧客への個別連絡はどのように行われるのか。
出典
- 1岩井コスモホールディングス（日経会社情報DIGITAL掲載の適時開示）2026-10-16公式本文確認済