ソニー銀行のデジタル証券で顧客621名分が流出、4名は口座番号も

顧客621名分が流出、4名は住所や口座番号まで

デジタル証券は、ブロックチェーンなどの技術を使って発行・管理する有価証券で、ソニー銀行は委託先Securitize Japanのシステムを利用して提供しています。ところが、ソニー銀行は10月30日、デジタル証券の委託先が不正アクセスを受け、同行の顧客621名分の情報が外部に流出したと発表しました。

流出が確認された情報（ソニー銀行の発表より）

対象	人数	流出した情報
顧客	4名	氏名・住所・生年月日・口座番号
顧客	617名	氏名
合計	621名	—

国内では、委託先を経由した情報流出の公表が相次いでいます。各社が公表した件数と原因は時系列一覧にまとめています。

617名は氏名だけが流出している

ソニー銀行は、住所や生年月日、口座番号の流出を4名分として公表しており、617名については氏名だけを流出した情報として記載しています。つまり、住所や生年月日、口座番号まで第三者に渡ったのは、621名のうち4名にとどまります。

不正な取引やネットでの拡散は確認されていない

ソニー銀行によると、今回の不正アクセスに起因する不正な取引は見つかっておらず、流出した情報がネット上で公開・拡散された事実も、現時点では確認されていないといいます。ただし、流出した氏名や口座番号は、今後なりすましなどに悪用される恐れがあります。

委託先は10月29日に不正アクセスを特定

Securitize Japanは異常を検知した当日のうちにソニー銀行へ報告し、その後のログ調査で顧客情報の流出を確認しました。 ソニー銀行によると、Securitize Japanは10月29日（木）に自社システムの異常に気づいて調査を始め、同日中に外部からの不正アクセスだと突き止めています。侵入経路や原因は、ソニー銀行が11月4日時点で明らかにしていない状況です。

デジタル証券の取引は停止中で、他サービスは対象外

今回の不正アクセスはSecuritize Japanが提供するデジタル証券向けのシステムで起きたもので、預金など、ソニー銀行が提供するデジタル証券以外のサービスに影響はありません。そのため、ソニー銀行はデジタル証券の取引を停止しており、復旧後に公表するとしています。 再開見通しも、11月4日時点では公表されていない状況です。

対象顧客にはソニー銀行から個別に連絡が届く

流出対象の621名には、ソニー銀行が個別に連絡し、今回の不正アクセスについて説明したうえで必要な対応を取る方針です。一方、ソニー銀行は土日祝日も受け付ける不正利用緊急ダイヤルを、今回の不正アクセスに関する問い合わせ窓口にしています。 番号はフリーダイヤル0120-365-738と通話料有料の03-6731-1340で、9時から17時まで受け付けます。

同じ委託先を利用する丸井やNTTデータも流出を公表

Securitize Japanは、デジタル証券や社債の発行と管理に使うシステムを、銀行や証券会社、社債を発行する企業へ提供する会社です。ところが、Securitize Japanのシステムを利用していたのはソニー銀行だけではなく、NTTデータや丸井グループ、スターツ証券も相次いで流出を公表しています。

報道によると、Securitize Japanは11月4日時点で、自社サイトに本件のお知らせを出していなかったといいます。

流出を公表した主な会社（Securitize Japanのシステムへの不正アクセス、各社の発表より）

会社	公表日	人数	流出した情報
ソニー銀行	10月30日	621名	4名は氏名・住所・生年月日・口座番号、617名は氏名
スターツ証券	10月31日	公表なし	氏名・保有口数（流出の懸念）
NTTデータ	11月2日	111名と2,678名ほか	社債購入者の氏名・住所・メールアドレスなど、システム利用担当者の氏名・メールアドレス
丸井グループ	11月2日	最大9,086名	銀行口座番号・投資口数のほか、氏名・生年月日・性別と連絡先（住所・電話番号・メールアドレス）

認証機能の脆弱性を悪用した管理者権限の不正取得

NTTデータの説明では、攻撃者はログイン時の認証機能にあった脆弱性を突いて管理者権限を手に入れ、システムに保存されていた情報を外へ持ち出しています。管理者権限はシステム全体を操作できるため、ソニー銀行だけでなく、システムを利用する各社の顧客情報や担当者情報まで持ち出されました。

Securitize Japan側はすでにサービス提供を停止し、侵入に使われた経路を遮断したうえで、不正取得された管理者権限も無効にしています。

丸井は最大9,086名、スターツ証券にも流出の懸念がある

なかでも丸井グループは、デジタル社債の申し込み用にアカウントを登録した顧客のうち最大9,086名の情報が流出し、54名は銀行口座番号まで流出した可能性があるとしています。 丸井グループは11月2日、社債の管理を任せていたSecuritize Japanのサーバーが攻撃を受け、顧客の個人情報が一部流出したと発表しました。

スターツ証券も10月31日、不動産を裏付けとするデジタル証券を購入した顧客氏名と保有口数に流出の懸念があると公表しています。

顧客と会社はそれぞれ何をすればいい？

ソニー銀行の顧客には、流出した氏名を使ったなりすましメールが届いたり、詐欺電話がかかってきたりする恐れがあります。Securitize Japanに顧客情報を預けていた会社では、担当者の氏名とメールアドレスまで流出しています。そのため、ソニー銀行の顧客は同行を装う連絡のリンクにアクセスせず、委託する会社は担当者宛ての偽連絡に備えたうえで委託先に渡す情報を見直しましょう。

立場ごとの備え（ソニー銀行・各社の発表とIPAの資料より）

立場	備え
ソニー銀行の顧客	ソニー銀行を装う連絡のリンクにアクセスせず、製造番号10ケタ・デビットカード番号・身に覚えのない認証コードは入力しない
業務を委託する会社	担当者宛ての偽連絡は正規窓口に確認し、委託先に渡す顧客情報を必要な範囲に限定し、流出した顧客へ自社からも注意を呼びかける

顧客として：ソニー銀行を装う連絡のリンクにアクセスしない

IPAは、流出した氏名やメールアドレスがリストにまとめられて闇サイトなどで販売され、詐欺のメールやSMSに使われる可能性を指摘しています。なりすましメールの文面に、流出した本人の氏名が書かれている場合もあると注意を促しました。氏名が流出した以上、文面に本人の氏名がある連絡でも本物とは限らないため、ソニー銀行を装うメールやSMSのリンクにはアクセスしないでください。

キャッシュカードの製造番号やデビットカード番号は入力しない

ソニー銀行は製造番号10ケタすべてやデビットカード番号16ケタの入力を求めないため、入力を求められた時点で偽物と判断できます。製造番号は、キャッシュカードの裏面にある10ケタの数字です。デビットカードの有効期限やセキュリティコードも、ソニー銀行が入力を求めることはありません。

身に覚えのない取引の認証コードは入力しない

ログインパスワードなどを盗まれると、身に覚えのない振込の追加認証を求められる場合があります。振込などの出金は、ワンタイムパスワードなどを入力した時点で完了してしまうため、ご自身で操作していない振込の認証には何も入力しないでください。ソニー銀行アプリに振込確認が届いたときも、心当たりがなければ承認は控えましょう。

偽サイトに入力したらすぐパスワードを変更

偽サイトにパスワードなどを入力してしまったら、ソニー銀行アプリか正規サイトにログインし、ただちにパスワードを変更しましょう。金銭的な被害が出た場合やログインできない場合は、不正利用緊急ダイヤルへ連絡し、警察署にも被害を届けてください。ソニー銀行は、正規サイトのURLをhttps://sonybank.jp/としています。

会社として：担当者宛ての偽連絡に備え、委託先に渡す情報を限定

NTTデータによると、社債を発行する企業や金融機関でシステムを利用していた担当者の氏名とメールアドレスも流出しており、人数は調査中です。委託先が攻撃されると、顧客情報だけでなく自社の担当者情報まで流出することがあるため、会社は担当者を狙う偽連絡に備え、委託先に渡す情報を必要な範囲に限定しましょう。

システム担当者の氏名とメールアドレスも流出している

担当者のメールアドレスが流出すると、委託先や取引先を装ったなりすましメールが担当者に届く恐れがあります。メールでログイン情報を求められたら、正規窓口に確認してから対応する手順を、担当者と共有しておきましょう。

委託先には業務に必要な顧客情報だけを渡す

丸井グループでは最大9,086名分の顧客情報が流出しましたが、クレジットカード情報はSecuritize Japanに委託していなかったため、流出した情報に含まれませんでした。NTTデータと丸井グループは、委託先の管理や監督を見直して再発防止に取り組むとしています。

流出した顧客へ個別に連絡し、なりすましへの注意を呼びかける

丸井グループは個別連絡に加えて専用の電話とメールの窓口を設け、不審なメールやSMSのURLへのアクセスや、個人情報の入力に注意するよう呼びかけています。委託先から流出の報告を受けた会社も、流出した顧客へ個別に連絡し、自社を装うメールやSMSへの注意を自社から呼びかけましょう。