SMBCコンシューマーファイナンスに不正アクセス、最大32万人分漏えい

何が起きたのか

SMBCコンシューマーファイナンスは2026年11月5日、保証業務に使っているシステムが第三者の不正アクセスを受けたと公表しました。そのシステムから外部へデータが送信され、その中にお客様の個人情報が含まれていたことを確認したということです。

同社は、地方銀行、信用金庫、インターネット銀行などの金融機関と提携して、カードローンなどの保証業務をしています。保証は、借りた人が返せなくなったときに、代わりに返済する仕組みです。一部の提携先には、カードローンのWeb申込フォームも提供しています。

経過は次のとおりです。

• 11月2日：不正アクセスを検知し、同じ日のうちに保証業務のシステムへのアクセスを遮断しました
• そのあと：ほかに不正なアクセスがないかを調べる中で、漏えいを確認しました
• 11月5日：公表しました

原因と影響の範囲は、専門家や関係機関と連携して調べています。

漏れた情報

人数は最大32万118人です。項目は次のとおりです。

• 本人の情報：氏名、性別、生年月日、住所、自宅と携帯の電話番号、メールアドレス、運転免許証番号
• 勤務先の情報：電話番号、年収など
• 契約の情報：金融機関コード、顧客番号、保証額、保証開始日など

運転免許証などの本人確認書類の画像は含まれていません。人数は「最大」と書かれていて、対象のお客様の範囲は、このあと特定するとしています。

会社の対応

保証システムは一時止められ、安全性の確認と必要なメンテナンスが続いています。対象のお客様には、範囲を特定したあと、保証提携先と相談して、メールやSMSなどで個別に案内します。お客様向けの専用の窓口は平日の9時から18時で、報道機関向けの窓口は別にあります。

二次被害は公表の時点で確認されていません。同社や金融機関を名乗る不審な電話、メール、SMSが来る可能性があるとして、記載されたURLにアクセスしないこと、個人情報を入力しないことを求めています。身に覚えのない連絡を受けたときは、専用窓口か警察に相談するよう案内しています。

中小企業が学べること

申込フォームで集めた情報には、年収や運転免許証番号のように、本人確認に使われる項目が含まれます。審査や手続きが終わったあとも、フォームの受け皿になるシステムに置いたままだと、漏れたときの影響が大きくなります。保存する期間を決め、期限が来たら消す設定にしておくと、影響を小さくできます。

この件は、外部へのデータの送信をシステムの側で確認できたことが、漏えいの確認につながりました。サーバーから外へ大きなデータが出たときに通知が出る設定があるかを、自社のサーバーとクラウドで点検しておくと、被害の大きさを早くつかめます。

提携先に代わって申込を受けるような仕事では、事故のときに提携先へ何を、いつまでに伝えるかを事前に決めておく必要があります。連絡先の一覧と、案内の文面の下書きも用意しておくと、対象者への案内が早くなります。