SMBCコンシューマーファイナンスへの不正アクセス（保証業務提携先26行以上に波及、最大約32万人個人情報漏えい）
公表日
SMBCコンシューマーファイナンスの保証システムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、提携する金融機関の顧客情報など最大約32万人分が漏えいした可能性があります。
対象者は？
提携先金融機関（ドコモSMTBネット銀行、りそな銀行、関西みらい銀行、みなと銀行、三十三銀行、筑波銀行など少なくとも26行）で対象のカードローンやフリーローンを申し込んだ、または過去に利用した顧客最大320,118人。氏名、住所、電話番号、年収、運転免許証番号、契約情報などが対象で、運転免許証等の画像は含まれていません。
対象者には範囲特定後に個別に連絡が行われる予定です。また、SMBCコンシューマーファイナンスの専用フリーダイヤル（0120-362-167）や各提携銀行のお知らせ窓口で確認できます。
いますぐできること
- 同社や金融機関を名乗る不審な電話、メール、SMSに警戒し、記載されたURLを不用意に開かないようにしてください。
- 提携銀行のローンを利用中または過去に利用していた心当たりがある場合は、各金融機関や専用窓口からの公式連絡を確認してください。
何が起きたのか
2026年11月2日、SMBCコンシューマーファイナンスが金融機関向けのローン保証業務で使っているシステムで不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を検知しました。調査の結果、システムから外部へ送信されたデータの中に最大320,118人分の個人情報が含まれていたことが確認され、11月5日に公表されました。ドコモSMTBネット銀行やりそなグループなど少なくとも26の提携金融機関に影響が広がり、一部の銀行でローンの新規受付や審査が停止しました。
なぜ起きたのか・なぜ広がったのか
保証業務で使用しているシステムへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。とデータ外部送信が確認されていますが、攻撃の手法や悪用された脆弱性などの具体的な侵入原因はまだ公表されておらず、調査中とされています。
いまの状況2026-11-09 時点続報待ち
被害拡大防止のため保証システムへのアクセス遮断と一時停止が行われており、安全確認とメンテナンスが進められています。現時点で本件に起因する二次被害は確認されていません。対象となる顧客への個別案内の準備が進められています。
企業として考えたいこと
自社が業務を委託している外部サービスが突然停止したり侵害されたりした場合、自社の顧客窓口や主要な業務を継続できる準備はできていますか。
技術的な要約
SMBCコンシューマーファイナンス株式会社は、地方銀行やインターネット銀行等との提携により運用しているカードローン等の保証業務システムにおいて、第三者による不正アクセスを検知した。調査の結果、システムから外部へ送信されたデータ内に顧客の個人情報が含まれていたことが確認され、最大320,118人分の氏名、住所、電話番号、年収、運転免許証番号、契約情報などが漏えいした可能性がある。同社は直ちにシステムへのアクセス遮断と一時停止を実施したものの、提携先であるドコモSMTBネット銀行（最大約12.2万人）やりそなグループなど少なくとも26行に影響が波及した。各行において対象ローンの新規受付停止や審査遅延が生じる事態となっている。
攻撃の分類
- 侵入口
- 不明保証業務で使用しているシステムへの不正アクセスと外部送信が確認されているが、攻撃手法や悪用された脆弱性などの侵入経路詳細は公表されておらず調査中。
- 脆弱性
- CVE 非公表不明具体的な侵入口となったソフトウェアや脆弱性の情報は公表されておらず、専門家や関係各所と調査中とされている。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 安全確認とメンテナンスのため保証システムが一時停止された。これに伴い、提携先の北洋銀行、筑波銀行、中国銀行、三十三銀行、スルガ銀行、富山銀行、鳥取銀行、トマト銀行、但馬銀行などで対象ローンの新規受付や保証審査が停止し、福岡銀行・熊本銀行・十八親和銀行などで審査遅延が生じるなど提携先金融機関の業務に波及した。
- データ
- おそれ上限 320,118確定 —人氏名性別生年月日住所電話メールその他漏えいした可能性がある項目は、氏名、性別、生年月日、住所、自宅・携帯電話番号、メールアドレス、運転免許証番号、勤務先情報（電話番号、年収など）、契約情報（金融機関コード、顧客番号、保証額、保証開始日など）。運転免許証等の本人確認書類の画像は含まれていない。提携銀行別の内訳として、ドコモSMTBネット銀行で最大122,635人、りそなグループ3行で5,935件、山陰合同銀行で1,585名、第四北越銀行で最大1,307名、三十三銀行で914名などが公表されている。
- 波及先
- 26 行
- ドコモSMTBネット銀行（最大122,635人の顧客情報流出を確認）
- りそな銀行・関西みらい銀行・みなと銀行（解約済みローン利用者の個人情報計5,935件流出）
- 山陰合同銀行（過去のローン契約者1,585名の情報漏えい）
- 第四北越銀行（旧ローン利用者最大1,307名の情報漏えい）
- 三十三銀行（フリーローン顧客914名情報漏えい、新規申込受付停止）
- 筑波銀行（つくばカード「アスジョイ」新規申込停止）
- 中国銀行（カードローンコレカ等のWeb申込受付停止）
- 金銭影響
- —
- サプライチェーン
- 金融機関189先（2026年3月末時点）とカードローン等の保証業務を提携しWeb申込フォーム等を提供していた同社の保証システムが不正アクセスを受け、提携先である地方銀行・ネット銀行少なくとも26行の顧客情報流出および融資審査・申込受付停止などの業務影響を及ぼした。
時系列
技術解説
保証業務用システムを起点とする不正アクセスとデータ外部送信の事実 事実
SMBCコンシューマーファイナンス株式会社が地方銀行やインターネット銀行等との提携により運用する保証業務システムにおいて、2026年11月2日に第三者による不正アクセスが検知された。同社は同日中にシステムへのアクセスを遮断し調査を開始したが、外部へ送信されたデータ内に顧客の個人情報が含まれていたことが確認された。漏えいした可能性のある個人情報は最大320,118名分に上る。流出対象の項目には氏名、性別、生年月日、住所、電話番号、メールアドレスのほか、運転免許証番号、勤務先情報（電話番号、年収など）、契約情報（金融機関コード、顧客番号、保証額、保証開始日など）が含まれる。なお、運転免許証などの本人確認書類画像は漏えい対象に含まれていないことが公表されている。
提携金融機関への波及状況と業務停止の実態 事実
同社がカードローン等の保証業務提携を結んでいる金融機関は2026年3月末時点で189先に上り、本件侵害による影響は少なくとも26行に及んでいる。提携先であるドコモSMTBネット銀行ではカードローン利用者最大122,635人分の情報流出が公表されたほか、りそなグループ3行で計5,935件、山陰合同銀行で1,585名、第四北越銀行で最大1,307名、三十三銀行で914名などの漏えいが確認された。これに伴い保証システムが一時停止されたため、三十三銀行や筑波銀行、中国銀行などで対象ローンの新規申込受付や審査の停止が生じ、福岡銀行や熊本銀行などでも審査遅延が発生するなど、提携各行の中核的な個人向け融資業務に直接的な影響が波及した。
金融機関における保証業務BPO・ASP共通基盤のサプライチェーンリスク構造 解釈
本事案は、単一の信用保証会社やサービスプロバイダが多数の金融機関の融資インフラを一括して担う構造において、共通基盤の侵害が業界全体へ瞬時に波及するサプライチェーンリスクの典型例といえる。被害を受けた銀行側のシステム自体は侵害されていないものの、保証審査機能と申込受付フォームを外部基盤に依存していたため、共通基盤の遮断によってローン業務そのものの停止を余儀なくされた。また、解約済み顧客や過去に取り扱いを終了した古い契約情報まで保証システム側に長期保有されていた実態が示されており、提携関係における過去データの保持期間や委託先管理のライフサイクル設計に構造的な課題が存在したと考えられる。
対応
- 封じ込め
- 不正アクセスを検知した2026年11月2日当日に保証業務システムへのアクセスを遮断し、保証システムを一時停止して安全性の確認と必要なメンテナンスを実施した。
- 公表の仕方
- 2026年11月5日に第1報を公表し、外部送信されたデータに顧客情報が含まれていたことおよび最大対象件数を発表。11月6日にはフリーダイヤルの専用窓口を追加設置した。対象顧客に対しては、範囲特定後に保証提携先と協議の上でメールやSMS等による個別連絡を実施する方針を案内した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 外部委託先・ASP基盤の障害や侵害に備えた業務継続体制の整備 | 重要業務を担う外部ASPや保証システムが突発的に利用停止となった場合に備え、受付代替手順や審査遅延通知プロセスの策定、フェイルセーフな業務切り離し手順をあらかじめBCPに規定する。 |
| 委託先における過去データおよび解約済み顧客情報の保持ライフサイクル管理 | 業務終了時や契約解約後の保存期間を契約書およびセキュリティ覚書で明確化し、不要となった個人信用情報・保証申請データを定期的に消去・匿名化しているかを監査・検証する仕組みを導入する。 |
| 外部送信トラフィックの常時監視と異常検知プロセスの確立 | 個人信用情報や機微属性を大量に保持する基盤において、通常と異なる大容量データの外部送信や不審な宛先への通信を即座に検知・自動遮断できるネットワーク監視（NDR・DLP等）を実装する。 |
| サプライチェーンインシデントにおける提携先への迅速な初動連携プロトコルの策定 | 基盤侵害発生時に影響を受ける提携企業・金融機関へ対象範囲や影響件数を迅速に通知できるよう、非常時の情報連携窓口や報告フォーマットを事前合意しておく。 |
自組織などでの確認項目
- 自社が利用している外部ASPや業務委託先システムが即座に全面停止した場合、自社の受付や重要業務を代替・継続できる手順はあるか。
- 過去に契約終了・解約となった顧客の機微情報が、委託先や外部システム上に不要に長期保管されていないか確認できているか。
- 自社の顧客情報や個人信用データを保持するサーバーから不審な外部送信が発生した際、即座に検知・通信遮断できる監視設計になっているか。
未解明点
- 不正アクセスの侵入経路となったWeb申込受付フォームやサーバーにおける具体的な脆弱性・攻撃手法の詳細は何か。
- 停止された保証システムおよび各提携行におけるローン新規受付・審査業務の全面再開時期と恒久的な再発防止策。
出典
- 1INTERNET Watch2026-11-06報道本文確認済
- 2NHK2026-11-05報道本文確認済
- 3時事通信 / Yahoo!ニュース2026-11-05報道本文確認済
- 4ITmedia NEWS2026-11-06報道本文確認済
- 5ビジネス＋IT2026-11-05報道本文確認済
- 6読売新聞オンライン2026-11-07報道本文確認済
- 7NOVAIST2026-11-06報道本文確認済
- 8セキュリティ対策Lab2026-11-09報道本文確認済
- 9セキュリティ対策Lab（合同会社ロケットボーイズ）2026-11-09報道本文確認済
- 10時事通信2026-11-05報道本文確認済
- 11株式会社ドコモSMTBネット銀行2026-11-05公式本文確認済
- 12ＳＭＢＣコンシューマーファイナンス株式会社2026-11-05公式本文確認済
- 13筑波銀行2026-11-05公式本文確認済
- 14TBS NEWS DIG報道本文確認済