Signal
📡 Signal｜SMBCコンシューマーファイナンス、最大32万人分の年収・保証額が漏えい
SMBCコンシューマーファイナンスの保証業務システムに不正アクセス。地銀などのカードローンにかかわる最大32万人分の年収・保証額が外部に送信された。
三井住友フィナンシャルグループの消費者金融大手、SMBCコンシューマーファイナンスは 11 月 5 日、カードローンの保証業務に使うシステムが不正アクセスを受け、最大 320,118 名分の個人情報が外部に送信されたと発表した。氏名や住所に加え、年収を含む勤務先情報と、保証額などの契約情報が含まれる。
漏れたのは、同社が保証を引き受けるカードローンの与信の記録だ。地方銀行や信用金庫でローンを申し込んだ人の多くは、自分の年収を銀行以外の誰が預かっているかを意識していない。銀行のローンの裏側にいる「保証会社」という層が、今回の侵入口になった。
漏れたのは「お金を借りるときに出した情報」
会社の発表によると、外部に送信されたデータに含まれていた項目は次のとおり。
- 氏名、性別、生年月日、住所、自宅電話番号、携帯電話番号、メールアドレス
- 運転免許証番号
- 勤務先情報 (電話番号、年収等)
- 契約情報 (金融機関コード、顧客番号、保証額、保証開始日等)
運転免許証などの本人確認書類の画像は含まれていない。それでも、名前と住所に、年収・勤務先・借入の枠までが一つにまとまった記録は、なりすましや詐欺の材料として価値が高い。「どこの銀行で、いくらの枠を持っているか」まで分かる相手からの連絡は、受け取った側が本物と区別しにくい。
同社は現時点で二次被害は確認されていないとしたうえで、同社や金融機関を名乗る不審な電話・メール・SMS が来る可能性があると注意を促している。
銀行ローンの裏にいる保証会社
同社は地方銀行、信用金庫、インターネット銀行などと提携し、カードローン等の保証業務を担っている。一部の提携先には、カードローンの Web 申込フォームも提供していた。今回不正アクセスを受けたのは、この保証業務で使うシステムだ。
銀行のカードローンは、審査と保証を保証会社が引き受ける形が一般的だ。利用者が契約書を交わす相手は銀行でも、申込の時点で年収や勤務先の情報は保証会社にも渡る。今回の漏えいで、取引した覚えのない会社から「あなたの情報が流出した」と知らされる人が出るのはこのためだ。
対象者への連絡は、範囲を特定したうえで提携先の金融機関と相談し、メールや SMS で個別に行うとしている。
検知から公表まで 3 日
同社は 11 月 2 日に不正アクセスを検知し、同日中に保証業務システムへのアクセスを遮断した。ほかに不正なアクセスがないかを調べる過程で、情報の漏えいを確認したという。原因と影響範囲は専門家と連携して調査中で、保証システムは一時停止して安全性の確認を続けている。
同じ 5 日には、三井住友銀行もメール配信の委託先アララへの不正アクセスで、メールアドレス 227,216 件が漏えいしたと発表している。ただしこちらは外部の配信サービス経由で、漏れたのはメールアドレスに限られる。SMBCコンシューマーファイナンスの件は自社の保証システムが直接破られたもので、経路も情報の重さも別の事案だ。速報で伝えた初報は こちら。
次に見るもの
まず見るべきは、提携先の地方銀行・信用金庫・インターネット銀行の各サイトだ。自行のカードローン申込者が対象に含まれるか、どの期間の申込が対象かを知らせるお知らせが、各行から順に出てくるはずだ。次に、SMBCコンシューマーファイナンスのニュースページで、原因と影響範囲の続報と、保証システムの再開時期を確認する。
ことば
- 保証会社 — 銀行のカードローンなどで、借り手が返せなくなった場合に代わって返済する会社。そのため申込時の審査も担い、年収や勤務先などの情報を持つ。消費者金融やクレジットカード会社が兼ねることが多い。
- 保証提携先 — 保証会社と契約を結び、自社のローンの保証を任せている金融機関。今回は地方銀行・信用金庫・インターネット銀行等が該当し、対象者への個別連絡もこれらと相談して行う。
- 二次被害 — 漏れた情報を使って起きる後続の被害。なりすましの電話やフィッシングメール、不正な契約などを指す。漏えいの発表時点では「確認されていない」とされることが多く、時間をおいて表に出る。
🔗 一次ソース
