約11万人の顧客情報に流出の可能性が判明
大和証券は10月5日、顧客からの問い合わせに関する情報を保管していた外部委託先のサーバーが不正アクセスを受けたと発表した。氏名やメールアドレス、口座番号など、約11万人分の個人情報が外部に流出した可能性がある。個人を識別できない問い合わせ関連データなども含めると、対象となる情報は約22万件に上る。
流出対象には顧客から寄せられた問い合わせの内容も含まれている。大和証券は影響を受けた可能性のある顧客を特定し、個別に連絡する方針を示している。現時点では、今回の情報流出に起因する不正な証券取引は確認されていない。
10月2日夜から翌朝まで不正アクセス続く
外部からの侵入が発生したのは、10月2日午後8時33分ごろから3日午前8時1分ごろまでの時間帯だった。対象となったのは、大和証券が問い合わせ管理サービスの提供を委託しているスカラコミュニケーションズのサーバーだ。大和証券は3日、同社から不正アクセスについて報告を受けた。
問題が確認された後、スカラコミュニケーションズは緊急のセキュリティー強化措置を実施した。その後、新たな不正アクセスや追加の情報流出は確認されていない。大和証券側でも事実関係や影響範囲について確認を進めている。
氏名や口座番号など幅広い情報が対象に
流出した可能性がある個人情報には、氏名、メールアドレス、証券口座の口座番号、問い合わせ内容などが含まれる。顧客個人を特定できるデータは約11万人分とされている。さらに個人を識別できない情報まで含めた場合、流出した可能性のあるデータは約22万件となる。
一方、今回対象となった情報だけを利用して証券口座にログインしたり、金融商品の取引を行ったりすることはできない。顧客の資産を管理する証券取引システム自体が侵入を受けた事実も確認されていない。問い合わせ管理に使われる外部サービスで発生した問題として、調査が続けられている。
自社システムへの侵入や不正取引は確認されず
大和証券の自社システムについては、今回の事案に伴う不正アクセスは確認されていない。流出対象となった可能性のあるデータを利用した不正取引についても、10月5日時点で発生は確認されていない。情報がインターネット上で公開されたり、第三者によって拡散されたりした形跡も確認されていない。
委託先ではセキュリティー対策を強化し、追加の侵入が発生していないことを確認している。大和証券も引き続き事実関係を調べ、必要な対応を進めるとしている。今回の問題による影響が確認された顧客には、順次個別の案内を行う。
対象顧客への個別連絡と事実確認を継続へ
大和証券は、情報が外部に流出した可能性のある顧客に直接連絡する方針だ。顧客や関係者に心配と迷惑をかけたとして謝罪するとともに、事実関係の確認を継続するとしている。委託先で講じられた緊急対策とあわせ、追加の被害が生じていないかについても確認が続く。
今回確認された侵入は外部委託先のサーバーに限定され、大和証券自身のシステムへの侵入は現時点で確認されていない。また、流出した可能性のある情報だけでは証券口座へのアクセスや取引はできないとしている。約11万人分の個人情報が対象となった可能性があることから、影響範囲の確定と対象者への対応が進められる。