岩井コスモ証券、委託先への不正アクセスで4,975人の情報が流出

何が起きたのか

岩井コスモ証券は2026年10月20日、外部委託先への不正アクセスについて第2報を出しました。同社のインターネット取引システムの運用と保守を委託している株式会社トレードワークスのシステムが狙われました。

不正アクセスは10月14日に起きました。同じ日に売買管理システムへの攻撃もあり、7口座で顧客の意図しない売買注文が出され、5口座で約定しました。同社は当日に対象の顧客へ個別に連絡し、取引の前の状態に戻す措置を終えています。顧客の負担は出ていないとしています。この不正取引に、漏れた個人情報は使われていないと説明しています。

第1報は10月16日でした。第1報の時点では、同様の被害を防ぐための対策を段階的に進めていたため、手口に関わる情報の公表を控えていました。第2報では対策の確認が終わったとして、不正取引の件もあわせて報告し、説明が遅れたことを謝罪しています。

漏れた情報

漏れたのは4,975人の氏名、メールアドレスなどです。第1報の4,611人に、アクセスの記録に加えて通信の記録も調べ直して分かった364人が加わりました。この364人は新たな漏えいではなく、第1報の時点ですでに起きていたものだと説明しています。

取引暗証番号は含まれません。氏名とメールアドレスだけでは証券口座にログインして取引することはできない、というのが同社の説明です。

新たに対象となった364人には、ログイン後のお知らせ画面とメールで個別に連絡しました。公表文には、顧客が手続きとして行うことは書かれていません。不明な点がある場合の連絡先は、お客様相談室です。インターネット取引システムは安定して稼働しており、通常どおり取引できます。

会社の対応

原因の箇所は特定して修正しました。ただし、脆弱性の具体的な内容は公表されていません。

トレードワークスは管理機能にアクセスできる場所の制限を強め、不正な通信を遮断する仕組みを強化し、ログインの異常をすぐに検知する仕組みを加えました。定時の点検と、異常があったときにすぐ対応する監視体制も整えています。強化後に新たな漏えいは確認されていません。トレードワークスが他の金融機関向けに提供しているシステムでも、同様の不正アクセスは確認されていないとしています。

中小企業が学べること

委託先が運用するシステムには、利用者向けの画面とは別に、委託先の担当者が操作する管理機能があります。この管理機能に、接続できる場所の制限（接続元のIPアドレスの限定など）と、パスワード以外の確認（多要素認証）が付いているかを、委託先に書面で確かめます。管理機能は利用者の目に触れにくく、守りが手薄なまま残りやすい場所です。委託先への確認項目はシステムの委託先に聞くべき5つのことにもまとめています。

件数は、記録の調べ方を広げると増えることがあります。この件でも、通信の記録を見直して364人が加わりました。自社で事故を調べるときは、アクセスの記録だけでなく通信の記録も遡れるよう、保存先と保存期間を決めておきます。

第一報では、確定していない数字を現時点のものと明記し、調査で変わる可能性があることと続報の予定を添えておくと、あとから数字が変わっても説明がしやすくなります。