SMBC日興証券の持株会管理システムへの不正アクセス（最大5.6万人情報漏えい）
公表日
SMBC日興証券の持株会管理システムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、持株会会員の個人情報が最大56,487人分漏えいした可能性があることが公表されました。
対象者は？
SMBC日興証券に持株会事務を委託していた企業の従業員（持株会会員）で、最大56,487人。対象となる情報は氏名、住所、持株会名、投資銘柄、持分残高、口座情報などで、電話番号とメールアドレスは含まれません。
情報漏えいやその可能性が確認された持株会に対して、SMBC日興証券から順次個別に連絡が行われます。
いますぐできること
- SMBC日興証券や持株会を名乗る不審な電話・郵便物・訪問などに注意し、暗証番号や個人情報を安易に答えないようにしてください。
- 勤務先の持株会担当部署からの案内や公式連絡を確認してください。
何が起きたのか
2026年11月7日に持株会管理システムで異常が検知され、調査を進めたところ11月9日に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が確認されました。同社は同日中にシステムへのアクセスを遮断してサービスを一時停止し、その後の調査で一部の会員情報が外部に漏えいしていたことが判明したため、11月11日に発表しました。
なぜ起きたのか・なぜ広がったのか
侵入の経路や手口、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が始まった時期については、現時点で公表されていません。
いまの状況2026-11-11 時点続報待ち
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が確認されたシステムはアクセスが遮断され停止しています。現時点で本件を悪用した二次被害は確認されておらず、対象の持株会への個別連絡が行われています。システムの再開については個別連絡やホームページで案内される予定です。
企業として考えたいこと
自社が運用・受託しているシステムにおいて、万一の侵入時にも被害を最小化できるよう、保持する個人情報を必要最小限に絞り込めていますか？
技術的な要約
SMBC日興証券は2026年11月11日、持株会の事務受託業務で使用している持株会管理システムが第三者による不正アクセスを受け、持株会会員の個人情報が外部に漏えいしたと発表した。2026年11月7日に異常を検知し、11月9日に不正アクセスを確認した同日中にアクセスを遮断してサービスを一時停止した。漏えいまたはその可能性がある情報は最大56,487人分に上り、氏名、住所、持株会名、投資銘柄情報、配当金および諸税、持分残高、振替先口座情報などが含まれる。一方で電話番号とメールアドレスはシステムに登録されておらず対象外であり、株の取引機能がないため不正売買等の二次被害は確認されていない。
攻撃の分類
- 侵入口
- 不明侵入経路や手口、不正アクセスが始まった時期は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2026年11月9日より持株会管理システムへのアクセス遮断に伴いサービスを一時停止。
- データ
- おそれ上限 56,487確定 —人氏名住所口座業務データその他対象となる情報に係る会員は最大56,487人。持株会名、投資銘柄情報、会員識別番号、氏名、住所、配当金および諸税、持分残高、振替先口座情報が含まれ、対象者全員について全項目が漏えいしたわけではなく項目は会員ごとに異なる。電話番号およびメールアドレスはシステム未登録のため対象外。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 企業の従業員持株会事務を受託している管理システムが不正アクセスを受け、委託元企業の従業員（持株会会員）の個人情報が漏えいした。
時系列
技術解説
不正アクセスの検知と初動におけるシステム遮断の経緯 事実
SMBC日興証券の公表によると、2026年11月7日に持株会管理システムにおいて異常が検知され、同社は調査を開始した。調査の結果、11月9日に外部からの不正アクセスが確認された。同社は被害拡大の防止を最優先とし、不正アクセスを確認した11月9日当日に当該システムへのアクセスを遮断してサービスを一時停止する措置を実施した。その後の調査過程で一部の個人情報が外部へ漏えいしていたことが判明し、11月11日に公表に至った。なお、侵入経路や攻撃の手口、不正アクセスが開始された具体的な時期については公表されていない。
漏えい対象データの項目とシステム機能による被害の限定性 事実
漏えいまたは漏えいの可能性がある情報は、持株会会員の最大56,487人分である。対象項目には持株会名、投資銘柄情報、会員識別番号、氏名、住所、配当金および諸税、持分残高、振替先口座情報が含まれるが、全対象者についてすべての項目が漏えいしたわけではなく、対象項目は会員ごとに異なる。一方、電話番号およびメールアドレスは当該システムの登録項目に含まれていなかったため漏えい対象外となっている。また、対象の持株会管理システムには株式の売買や取引を行う機能が備わっていないため、不正に株式が売買されるなどの被害は発生しないとされている。発表時点で二次被害は確認されていない。
受託管理システムにおけるデータミニマライゼーションとリスク境界の意義 解釈
本事案は、証券会社が企業の従業員持株会事務を受託・運用するBtoBtoE型システムで発生した情報漏えい事案である。委託元企業の従業員という広範な個人に影響が及ぶ一方、本システムでは連絡先情報（電話番号・メールアドレス）を保持しない設計となっていたことや、取引・売買機能から切り離された管理専用システムであったことが、フィッシング詐欺への直接的転用や金銭取引の不正実行といった深刻な二次被害の発生を防ぐ障壁として機能したと考えられる。業務上不要な機微データを保持しないデータミニマライゼーションの徹底が、侵入発生時の実害抑制に寄与した事例といえる。
対応
- 封じ込め
- 不正アクセス確認と同日の2026年11月9日中に持株会管理システムへのアクセスを遮断し、サービスを一時停止した。
- 公表の仕方
- 2026年11月11日に公式リリースを公開し、影響を受ける可能性のある持株会に対して個別に連絡を実施。会員に向けて同社を名乗る不審な連絡への注意喚起を行った。システムの再開については個別連絡や公式Webサイトで案内する方針としている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| システム内で保持する個人情報項目の最小化（データミニマライゼーション） | 業務要件を精査し、連絡先（電話番号・メールアドレス）など参照専用システムで必須とならない個人情報はシステム内に保管・同期しないデータ設計を適用する。 |
| 異常検知から即日遮断に至る迅速なインシデント初動隔離体制の整備 | システムの異常動作を検知した際の調査プロトコルを標準化し、不正アクセス確認時に即座にネットワーク遮断やサービス停止を行える隔離権限と手順を確立しておく。 |
| 外部接続を持つ受託業務システムに対する境界防御とアクセス監査の強化 | 外部委託先や会員がアクセスする公開システムに対し、WAFの配備、多要素認証（MFA）の義務付け、特権アクセスや大量データ参照のログをリアルタイムに検知・アラート化する仕組みを導入する。 |
| BtoBtoE型受託業務における委託元経由の利用者通知プロセスの策定 | エンドユーザー（従業員持株会会員等）へ直接連絡手段を持たない受託システムにおいて、委託元法人を通じて迅速かつ一斉に注意喚起を伝達できる連絡ルートと公表テンプレートを事前に準備する。 |
自組織などでの確認項目
- 自組織で運用または受託している業務システムにおいて、業務上必須ではない連絡先情報や金融情報などを過剰に保持していないか、データ保持の棚卸しが行われているか。
- 外部公開システムで不正アクセスの兆候や異常を検知した際、何日以内に影響範囲を特定し、サービス停止やネットワーク遮断を判断・実行できる体制が整っているか。
- 直接の契約先（法人）の先にいるエンドユーザー（従業員や顧客）に影響する事故が発生した場合、どのような経路とタイムラインでエスカレーションと個別通知を行う想定になっているか。
未解明点
- 攻撃者が持株会管理システムへ侵入した具体的な侵入経路（公開Webの脆弱性、認証情報の窃取、管理設定不備など）は何であったか。
- 持株会管理システムで異常が検知された2026年11月7日以前に、攻撃者による潜伏期間や事前調査の形跡が存在したか。
出典
- 1株式会社アクト2026-11-11報道本文確認済
- 2KSB瀬戸内海放送2026-11-11T14:44+09:00報道本文確認済
- 3テレビ朝日系（ANN）2026-11-11報道本文確認済
- 4共同通信2026-11-11報道本文確認済
- 5ビジネス＋IT2026-11-11報道本文確認済
- 6NOVAIST2026-11-11報道本文確認済
- 7節約速報2026-11-12報道本文確認済
- 8中日新聞社2026-11-11報道本文確認済
- 9日本インタビュ新聞社2026-11-12報道本文確認済
- 10日本経済新聞2026-11-11報道本文確認済
- 11ＳＭＢＣ日興証券株式会社2026-11-11公式本文確認済
- 12東京新聞デジタル2026-11-11報道本文確認済