Signal
📡 Signal｜岩手銀行、大和証券の委託先経由で顧客情報漏えいの可能性
大和証券の委託先スカラコミュニケーションズへの不正アクセスが、提携先の岩手銀行の顧客にも届いた。i-ask の影響は最大5社・約71万件の問い合わせに及ぶ。
岩手銀行は10月6日、包括的業務提携を結ぶ大和証券の外部委託先で起きた不正アクセスにより、顧客がネット経由で寄せた問い合わせなどの情報が漏えいした可能性があると公表した。両社は2026年4月6日から提携による業務を始めており、漏えいの可能性がある情報は、大和証券のサービスを使う岩手銀行の顧客に関わるものだ。
【大和証券との包括的業務提携】大和証券の外部委託先への不正アクセスによるお客さま情報の漏洩の可能性について（岩手銀行・2026年10月6日）岩手銀行
大和証券が10月5日に公表した委託先の侵害が、提携先の地方銀行の顧客にまで届いた。地方銀行が証券業務を大手証券に委ねる提携は、顧客にとっては窓口が地元の銀行のまま、データは証券会社とその委託先のさらに外側に置かれる構造を持つ。今回の公表は、その構造の外縁で起きたことを示している。
岩手銀行が公表した内容
岩手銀行の告知によると、大和証券がインターネット経由の問い合わせ管理などに使うサービスの外部委託会社で不正アクセスが発生し、顧客の問い合わせなどに関わる情報が漏えいした可能性がある。対象の顧客には個別に連絡しているという。件数は岩手銀行の告知には書かれていない。
告知は、漏えいした可能性のある情報では、オンライントレードを含めて証券口座へのアクセスや取引はできないとしている。そのうえで、顧客の氏名や問い合わせの内容を使い、大和証券や関係者を装った電話やメールによる詐欺のおそれがあると注意を促した。問い合わせ先は大和証券の専用窓口 (0120-851850・平日9時〜17時) だ。
1社の委託先から、最大5社の顧客へ
起点は、問い合わせ管理のシステム「i-ask」を提供するスカラコミュニケーションズだ。同社は10月6日、10月2日夜から3日朝にかけて管理画面に不正にログインされ、悪意のあるプログラムを仕込まれたと公表した。影響を受けた可能性があるのは利用企業の最大5社、問い合わせは合計で最大71万3,126件にのぼる。
公表済みの利用企業は次のとおりだ。
- 大和証券 (10月5日): 約11万人の氏名・メールアドレス・口座番号など
- シチズン時計 (10月6日): シチズン、ブローバ、フレデリック・コンスタントの3ブランドで約10万件
- 損害保険ジャパン (10月7日): 最大約6万件
ここに岩手銀行が加わった。岩手銀行自身は i-ask の利用企業ではない。大和証券という1社を経由して、2段外側の侵害が地方銀行の顧客に及んだ。
地方銀行と大手証券の提携が抱える距離
地方銀行が大手証券と組んで顧客に株式や投資信託を届ける形は、各地で採られている。顧客から見れば、相談の窓口は地元の銀行でも、口座は証券会社にあり、問い合わせの記録はさらにその証券会社が使う外部サービスに保存される。
今回、守られていたのは取引の系統だ。漏れた可能性があるのは、顧客が何を尋ね、どんな困りごとを抱えていたかという接点の記録である。名前と悩みがそろった情報は、本物らしい詐欺の連絡を組み立てる材料になる。顧客が「自分は銀行の客だ」と考えていれば、大和証券の発表は目に入りにくい。岩手銀行の告知は、その距離を埋める位置にある。
10月に入り、証券・保険・自治体で委託先やクラウドを経由した漏えいの公表が続いている。データの持ち主が自社のシステムを守っていても、その外側の委託の連鎖のどこか一点が破られれば顧客に届く。提携や委託で業務を外に出すほど、その連鎖は長くなる。
次に見るもの
確認できる次の一点は、大和証券グループ本社 (証券コード 8601) の適時開示だ。大和証券は既存の委託先の点検と、委託先管理の強化策・実施時期を決めるとしており、その結果が提携先の地方銀行の顧客にも及ぶ。
もう一つは、スカラコミュニケーションズが公表する続報だ。最大5社のうち、まだ名前の出ていない利用企業があり、追加の公表があればその顧客も対象になる。
ことば
- 包括的業務提携 — 地方銀行と証券会社などが、商品の提供や顧客への助言、事務を幅広く協力して行う提携。岩手銀行は2026年4月から大和証券と組み、顧客に大和証券の証券サービスを届けている。
- i-ask — スカラコミュニケーションズが企業に提供する FAQ・問い合わせ管理のシステム。顧客がネットで寄せた質問とその回答の履歴が保存され、今回はその管理画面が不正に使われた。
🔗 一次ソース
