Signal
📡 Signal｜SMBC日興の持株会システムから最大5万6,487人分が漏えい
SMBC日興証券の持株会事務受託のシステムに不正アクセス。持株会名・投資銘柄・持分残高・振替先口座など、最大5万6,487人分の情報が漏えいした。電話番号とメールアドレスは対象外。
SMBC日興証券は11月11日、持株会の事務受託に使っているシステムが第三者の不正アクセスを受け、持株会の会員の個人情報が外部に漏えいしたと発表した。対象は最大5万6,487人で、持株会名や投資銘柄、持分残高、配当金、振替先口座の情報が含まれうる。
破られたのは証券口座の本体ではなく、企業の従業員持株会を裏で支える受託業務のシステムだ。名前と住所に、勤め先の株をどれだけ持っているかが結びつく情報が出た。
11月9日に検知、同日に遮断
発表によると、SMBC日興は11月9日 (月) に持株会事務受託業務のシステムへの不正アクセスを確認し、同日中にアクセスを遮断してサービスを一時停止した。その後の調査の過程で、情報の漏えいを確認した。
侵入の経路や手口は、発表文には書かれていない。原因と影響範囲は関係各所と連携して調査中としている。
持株会名と残高が同じ記録に並ぶ
漏えいした、またはその可能性がある項目は8つある。
- 持株会名
- 投資銘柄情報
- 会員識別番号
- 氏名
- 住所
- 配当金および諸税
- 持分残高
- 振替先口座情報
SMBC日興は、これは対象になりうる項目をすべて並べたもので、会員ごとに漏れた項目は異なると説明している。電話番号とメールアドレスはシステムに登録されていないため漏えいしていない。
持株会は、従業員が給与天引きで勤め先の株を少しずつ買う仕組みで、その計算事務を証券会社が受託している。持株会名と投資銘柄が分かれば勤め先が分かり、持分残高と配当金からその人の資産の一部が分かる。メールアドレスが含まれないぶん一斉送信のフィッシングには使いにくいが、自宅に届く郵便や、勤め先や証券会社を名乗る連絡には使える組み合わせだ。SMBC日興も、同社を名乗る不審な連絡への注意を呼びかけている。現時点で二次被害は確認されていない。
受託する側のシステムから出た
この秋の国内の漏えいは、委託先の基盤から出る型が続いている。メール配信の アララ やユミルリンクでは、配信を任せた企業の利用者の情報が委託先から流出した。今回は持株会がSMBC日興に事務を委託し、受託側のシステムから会員の情報が出た。会員から見れば、自分の資産の記録がどの会社のどのシステムに置かれているかを意識しにくい点は同じだ。
同じSMBCグループでは、11月5日に SMBCコンシューマーファイナンスが最大32万人分の年収・保証額の漏えい を公表したばかりだ。2件が関係するかどうかは、SMBC日興の発表には書かれていない。
証券会社のような金融業の漏えい報告は所管の省庁を経由するため、個人情報保護委員会が10月に示した延べ2億6,000万人の集計 には入らない種類のものだ。公表される数字の外側でも、漏えいは積み上がっている。
次に見るもの
確認先は、SMBC日興のホームページのニュースリリースとお客様へのお知らせの欄だ。同社はシステムの再開を個別の連絡やホームページで知らせるとしており、その告知に侵入の経路と再発防止策が書き足されるかを見る。会員にとっての確認点は、勤め先の持株会を通じて届く個別の連絡で、自分が対象か、どの項目が漏れたかが分かる。
ことば
- 従業員持株会 — 社員が給与やボーナスから毎月一定額を出し合い、勤め先の株を共同で買い付ける仕組み。会社が奨励金を上乗せすることが多く、持分の計算や配当の振替は証券会社が受託する。
- 持分残高 — 持株会の中で会員一人ひとりに割り当てられた株の量。売買は持株会がまとめて行うため、会員は株そのものではなく持分を持つ形になる。
🔗 一次ソース
