０１銀行システムへの不正アクセス（顧客識別情報・メールアドレス、最大100社分が漏えい）
公表日
０１銀行のシステムに第三者が不正にアクセスし、顧客を識別する情報とメールアドレスが最大100社分漏えいしました。口座情報やパスワードが含まれるという発表はなく、2026年8月27日時点で悪用された被害は確認されていません。
対象者は？
０１銀行の顧客のうち、最大100社分の顧客識別情報（システムが使う識別用の情報）とメールアドレスが対象です。100社は上限の数字で、確定した社数や件数は公表されていません。口座情報、ログインパスワード、取引情報などが含まれるという発表はありません。
8月27日時点で、同行は対象となる顧客を特定できていません。漏えいの可能性がある顧客には同行から通知と注意喚起が送られています。同行からのお知らせが届いていないか確認してください。
いますぐできること
- ０１銀行を名乗り、ログインを促すメールが届いても、リンクを開かないでください。同行はログインを誘導するメールを送っていないとしています。
- 同行のサービスには、メールのリンクからではなく、ブックマークや公式アプリから入ってください。
- 社内の経理・財務の担当者にも、同行を名乗る不審なメールに注意するよう伝えてください。
何が起きたのか
2026年8月17日、０１銀行は自社のシステムに外部の第三者が不正にアクセスしているのを見つけ、調査を始めました。8月21日に最初のお知らせを出しました。8月27日には、調べた結果、顧客情報の一部が盗まれて外に漏れたことが確認されたと発表しました。漏れたのは、システムで顧客を見分けるための情報とメールアドレスで、最大100社分です。
なぜ起きたのか・なぜ広がったのか
どこから、どのような方法で侵入されたのかは公表されていません。攻撃した者の正体や、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。（データを人質にとる攻撃）が使われたかどうかも公表されていません。
いまの状況2026-08-27 時点続報待ち
同行は不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の経路をふさぎ、今回の手口では侵入できない状態にしたとしています。外部の専門家を交えて調査を続けています。関係当局に報告し、警察にも相談しています。8月27日時点で対象の顧客は特定できておらず、可能性のある顧客に通知しています。悪用された被害は確認されていません。補償や、詳しい原因、再発防止策は、まだ発表されていません。
企業として考えたいこと
自社の顧客IDとメールアドレスが漏れたとき、どの顧客の情報かをすぐに特定し、偽メールへの注意を確実に届けられる体制がありますか。
技術的な要約
０１銀行は2026年8月17日に同行システムへの第三者による不正アクセスを検知し、調査を開始した。8月21日に第一報「当行システムに対する不正アクセスのお知らせ」を公表し、8月27日の続報で顧客情報の一部が窃取され漏えいした事実を確認したと発表した。漏えいが確認されたのはシステムが使用する顧客識別情報とメールアドレスで、最大100社分とされる。同行は不正アクセス経路を遮断し、外部専門家を交えて調査を継続している。8月27日時点で対象顧客は特定できておらず、悪用による二次被害は確認されていない。侵入経路、攻撃手法の詳細、攻撃者、ランサムウェアの有無は公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明侵入経路や攻撃手法の詳細は公表されていない。同行は「今回確認された手法による不正アクセスは行えない状態にした」としているが、手法の内容は示されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし
- データ
- 確定上限 —確定 —メールその他漏えいが確認された情報は、システムが使用する顧客識別情報とメールアドレス。漏えいした情報は最大100社分（単位が社のため件数欄は空）。同行は項目と件数を確認しているが、対象顧客は8月27日時点で特定できていない。口座情報、ログインパスワード、取引情報などが漏えい対象に含まれるとの公表はない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先や取引先経由の侵害を示す公表はない。
時系列
- 2026-04不正アクセスやフィッシング詐欺対策強化のため、顧客向けメールにログイン用URLを記載しない運用へ変更した。1
- 2026-08-17
- 2026-08-21第一報として「当行システムに対する不正アクセスのお知らせ」を公表した。1
- 2026-08-27
- 2026-08-27漏えい情報は顧客識別情報とメールアドレスで、最大100社分と公表した。対象顧客は特定できていない。1
- 2026-08-27不正アクセス経路を遮断し、外部専門家を交えて調査を継続していると公表した。1
- 2026-08-27関係当局への報告と警察への相談を公表した。ログインを促すメールは詐欺の可能性があるとして注意喚起した。1
- 2026-08-31セキュリティ対策Labが本件を報じた。1
- 2026-09-07ScanNetSecurityが「最大100社の情報が漏えい」として報じた。2
技術解説
公表されている経緯と被害の範囲 事実
０１銀行株式会社は、2026年8月17日に同行システムへの第三者による不正アクセスを検知し、調査を始めた。8月21日に第一報「当行システムに対する不正アクセスのお知らせ」を公表した。8月27日の続報では、顧客情報の一部が盗まれ、漏えいした事実を確認したと発表した。漏えいが確認された情報は、システムが使う顧客識別情報とメールアドレスで、規模は最大100社分とされる。同行は情報の項目と件数を確認しているが、8月27日の時点で対象の顧客は特定できていない。そのため、漏えいの可能性がある顧客へ通知と注意喚起を行っている。口座情報、ログインパスワード、取引情報などが漏えい対象に含まれるという公表はない。悪用による二次被害も8月27日時点では確認されていない。
封じ込めと当局対応、公表されていない事項 事実
同行は不正アクセスの経路を遮断し、今回確認された手法では不正アクセスできない状態にしたとしている。外部の専門家を交えた調査も続けている。関係当局へ報告し、警察にも相談していると公表している。ただし報告先の当局の名前は示されておらず、個人情報保護委員会への報告かどうかは確認できなかった。侵入経路、攻撃手法の詳細、攻撃者、ランサムウェアの有無は公表されていない。同行はログインを誘導するメールを送っていないとしており、不安をあおってログインを促すメールは詐欺の可能性があると注意を呼びかけている。2026年4月には、不正アクセスやフィッシング詐欺への対策を強めるため、顧客向けメールにログイン用URLを載せない運用に変えていた。
漏えい項目が持つリスク：識別情報とメールアドレスの組み合わせ 解釈
パスワードや口座情報が含まれていないとしても、顧客識別情報とメールアドレスの組み合わせは、なりすましメールの材料になりやすい。本物の顧客IDなどをメール本文に入れれば、利用者は正規の連絡だと信じやすくなる。標的を絞ったフィッシングの成功率が上がると考えられる。規模を「社」で数えていることから、対象は法人顧客と推測できる。法人向けの送金・決済業務を狙った詐欺メールにつながるおそれもある。同行がログインを促すメールへの注意喚起を前面に出しているのは、このリスクへの対応だと読める。2026年4月にメールへログインURLを載せない運用へ変えていたことも、「URL付きの銀行メールは偽物」と判断する基準を顧客に与えるもので、今回の注意喚起の土台になっていると考えられる。
「最大100社分」という数字の読み方 解釈
公表された「最大100社分」は上限の値で、漏えいが確定した社数や、メールアドレスの件数・人数は示されていない。法人顧客1社に複数の担当者やメールアドレスが登録されている場合、影響を受けるアドレスの数は社数より多くなる可能性がある。逆に、実際に漏えいしたのが100社より少ない可能性もある。同行は「項目と件数は確認しているが、対象顧客は特定できていない」としている。漏えいしたデータの量や形式はログなどから分かっても、それをどの顧客のものか照合する作業が終わっていない段階だと推測できるが、具体的な事情は公表されていない。読者は、数字を確定値ではなく上限として扱い、続報で確定数が示されるかを確認する必要がある。
公表のタイミングと情報開示の評価 解釈
検知から4日後に第一報、10日後に漏えい確認の続報を出しており、調査が終わる前の早い段階から段階的に知らせた形になる。対象顧客が特定できない段階で、可能性のある顧客へ広く通知と注意喚起をしたことも、二次被害を防ぐうえで合理的な判断と受け止められる。一方、侵入経路、攻撃手法、攻撃者、ランサムウェアの有無は公表されていない。同様のシステムを持つ他の組織が教訓を引き出すには材料が少ない。調査中は攻撃者に手がかりを与えないよう詳細を伏せることもよくあるため、これが不十分な対応だとは言い切れない。外部専門家の調査結果が続報で示されるかが、今後の評価のポイントになる。
対応
- 封じ込め
- 不正アクセス経路を遮断し、今回確認された手法による不正アクセスは行えない状態にしたとしている。外部専門家を交えて調査を継続している。
- 公表の仕方
- 8月21日に第一報を公表し、8月27日の続報で漏えいの事実を確認したと公表した。漏えいの可能性がある顧客へ通知と注意喚起を行っている。ログインを誘導するメールは送っておらず、ログインを促すメールは詐欺の可能性があると注意喚起している。
- 当局対応
- 関係当局へ報告（具体名は非公表。個人情報保護委員会への報告かは確認できず）
- 警察へ相談
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| パスワードや口座情報でなくても、顧客識別情報とメールアドレスが漏れると、精度の高いフィッシングの材料になりうる。 | 顧客識別子とメールアドレスを保存するテーブルやAPIを高リスク資産として台帳に載せる。大量取得や通常と違う取得元を検知するアラート（DB監査ログ・APIレート監視）を設定する。 |
| メールにログインURLを載せない運用を前もって周知しておくと、漏えい後の「偽メールの見分け方」を顧客に簡潔に伝えられる。 | 顧客向けメールのテンプレートからログインURLを外す。「当社はメールでログインを求めない」という方針をWebサイトとメールの署名に常に表示する。あわせてDMARC（p=reject）を設定し、ドメインのなりすましを防ぐ。 |
| 漏えいした項目や件数が分かっても、どの顧客のデータかの特定に時間がかかると、個別の通知が遅れる。 | システム内部の識別子から顧客・担当者の連絡先へ逆引きする手順と権限を、平常時に用意しておく。インシデント対応の訓練で、照合にかかる時間を測っておく。 |
| 対象が特定できない段階では、可能性のある範囲へ広めに知らせることが二次被害の抑止につながる。 | 対象未特定時の通知文の雛形（漏えい項目、送らない連絡の種類、問い合わせ窓口）と、送信対象の決め方（影響範囲が最大となる顧客群）を対応手順書にあらかじめ書いておく。 |
| 法人顧客の情報は、法人向けの送金や決済を狙った詐欺に使われるおそれがある。 | 法人向けサービスで、振込先の変更や高額送金の際に、登録済みの別経路（電話やアプリ内通知）で確認する仕組みを入れる。漏えいの可能性がある顧客の取引監視の基準も一時的に厳しくする。 |
自組織などでの確認項目
- 自組織のシステムで、顧客識別子とメールアドレスが同じ場所に保存されていないか。それらへのアクセスログを取得し、大量取得を検知できる状態か。
- 自組織の顧客向けメールに、ログインURLや認証を求める導線が含まれていないか。「メールでログインを求めない」方針を顧客へ周知しているか。
- 漏えいしたデータの内部識別子から、該当する顧客と連絡先を何時間以内に特定できるか。その手順と担当者は決まっているか。
- 対象顧客を特定できない段階で、誰に・何を・どの経路で通知するかの判断基準と通知文の雛形を用意しているか。
未解明点
- 侵入経路と攻撃手法（どのシステムのどの弱点が使われたか）
- 侵入が始まった日と、検知までにかかった期間
- 漏えいが確定した社数、メールアドレスの件数、対象顧客の特定状況（8月27日以降の続報の有無）
- 「顧客識別情報」が具体的にどの項目か（ログインIDとして使えるものか）
- 攻撃者の正体、犯行声明の有無、ランサムウェアの有無
- 報告先の関係当局の名前（個人情報保護委員会への報告の有無）
出典
- 1セキュリティ対策Lab(合同会社ロケットボーイズ)2026-08-31報道本文確認済
- 2ScanNetSecurity2026-09-07報道本文確認済