委託先のサーバーから約22万件が漏えいした可能性

大和証券は、問い合わせ管理サービスの提供元であるスカラコミュニケーションズ（SC社）のサーバーが不正アクセスを受け、顧客情報が不正に取得された形跡があると公表しました。影響した可能性がある情報は約22万件で、うち約11万人分の氏名、メールアドレス、口座番号などが含まれます。

SC社によると、不正アクセスは10月2日20時33分ごろから3日8時1分ごろまで発生しました。大和証券は10月3日にSC社から報告を受けています。

大和証券によると、攻撃を受けたのはSC社のサーバーで、自社システムへの不正アクセスは確認されていません。漏えいした可能性のある情報だけでは証券口座へのアクセスや取引はできません。また、本件に起因する不正取引や、情報のネット上での公開・拡散も確認されていないとしています。

顧客への連絡と二次被害への注意

大和証券は、対象となる顧客に個別に連絡する方針です。氏名や問い合わせ内容を使い、同社や関係者を装った電話やメールが届く可能性があるとして、取引用IDやパスワード、暗証番号、ワンタイムパスワードを伝えないよう呼びかけています。

警察庁によると、フィッシングは実在する企業などを装ったメールやSMSで偽サイトへ誘導し、IDやパスワードなどを盗む手口です。送信元の名称やメールアドレスは偽装できるため、表示だけで本物かどうかを判断するのは困難としています。

警察庁は、メールやSMSに記載されたリンクを安易に開かず、公式サイトをブックマークから開くか、公式アプリを使うよう案内しています。金融庁も、見覚えのある送信者からの連絡でもリンクを開かず、証券会社の正しいURLをブックマークして利用するよう注意を促しています。

証券口座を守るための確認事項

金融庁は、証券会社が提供する多要素認証や取引通知などのセキュリティ機能を有効にし、不審な取引に注意するよう求めています。パスワードを使う場合は使い回しを避け、長く推測されにくいものにすることも勧めています。

金融庁は、口座の状況をこまめに確認し、不審なサイトに情報を入力したおそれがある場合や不審な取引を見つけた場合は、証券会社の窓口に連絡してパスワードを変更するよう案内しています。ソフトウェアやマルウェア対策ソフトを最新の状態に保つことも有効としています。

大和証券も、不審な連絡に記載されたリンクを開いたり、添付ファイルを利用したりせず、身に覚えのない連絡や取引については、公式サイトで確認した正規の窓口に問い合わせるよう案内しています。

金融機関に求められる委託先管理

大和証券は、既存の委託先の点検を進めるとともに、SC社の原因調査と恒久対策を確認し、委託先管理の強化策と実施時期を決める方針です。

金融庁は調査報告書で、米国、EU、英国の金融機関の取り組みとして、委託先の重要度や固有リスクに応じて管理の深さを変え、取引開始から終了まで継続してリスクを管理する方法を紹介しています。契約後も、サイバー脅威情報などを用いて委託先の状況をモニタリングする事例があるとしています。

金融庁は調査報告書で、重要な委託先との契約に監査権や最低限守るべきセキュリティ要件を盛り込み、インシデント発生時の報告手順や対応体制を整える事例も挙げています。これらは海外金融機関の調査で確認された管理方法で、金融庁は本邦金融機関への示唆として整理しています。