岩井コスモ証券の委託先に不正アクセス｜4975人の情報と不正な約定

岩井コスモ証券は2026年10月16日、インターネット取引のシステムの運用・保守を委託しているトレードワークスのシステムが不正アクセスを受け、顧客の情報が漏洩したと公表しました。 10月20日の第2報で対象は4,975人に増え、同じ10月14日に売買の管理のシステムへの攻撃があり、5口座で意図しない注文が約定していたことも公表しました（岩井コスモ証券の発表）。 同社のネット取引の顧客と、取引のシステムを外部に任せている会社に関係します。

公表された内容

• 時期：2026年10月14日に不正アクセスを検知し、同じ日に委託先へ連絡してアクセスの制限などの措置をとったとしています
• 件数：4,975人（2026年10月20日の第2報。第1報の4,611人に、再調査で分かった364人を加えたもの。新たな不正アクセスではないとしています）
• 情報の種類：氏名・メールアドレスなど。取引暗証番号は含まれず、この情報だけでは口座へのログインや取引はできないとしています
• 不正な取引：10月14日、7口座で意図しない注文が出され、うち5口座で約定。対象の顧客に同じ日に連絡し、取引の前の状態に戻して顧客の負担はないとしています。漏洩した情報は使われていないとしています
• 原因：委託先のシステムの脆弱性が突かれ、総当たりの攻撃を受けたとしています（10月21日の報告）。原因の箇所は特定して直したとしています
• 二次被害：情報の漏洩による不正な取引の広がりはないとしています

経緯

• 2026年10月14日：不正アクセスと売買の管理のシステムへの攻撃を検知
• 2026年10月16日：第1報。4,611人の情報の漏洩を公表
• 2026年10月20日：第2報。対象を4,975人に直し、5口座での不正な約定を公表（対策を進めていたため第1報では公表を控えたとしています）
• 2026年10月21日：経緯と対策をまとめた報告を公表

会社の対応

• 原因の箇所を直し、委託先に脆弱性の再点検と管理の体制の強化を求めたとしています
• 委託先は、管理機能へのアクセスの制限、不正な通信を止める仕組みの強化、ログインの異常をすぐ見つける仕組みの追加、監視の強化を行ったとしています。他の金融機関に提供するシステムも点検し、同じ不正アクセスは確認されていないとしています
• ログインの多要素認証を必須にし、顧客にパスキーの設定を求めています
• 対象の顧客に個別に知らせ、相談の窓口を設けています。会社を装った電話・メールへの注意を呼びかけています

中小企業が今日からできること

• 委託先が持つ「管理用の画面」を確かめる：自社の業務システムやサイトを外部に任せているなら、管理用の画面がインターネットから誰でも開ける状態になっていないか、IP の制限や多要素認証があるかを委託先に聞く
• ログインの総当たりに備える：何度も失敗したログインを止める仕組みと、失敗が続いたときに知らせが来る仕組みがあるかを、自社のシステムと委託先の両方で確かめる
• 社員のネット証券・ネットバンクのログインに多要素認証を設定する：会社の口座・役員の口座でも、パスキーや多要素認証を使えるものはすぐ設定する
• 委託先で事故が起きたときの連絡の流れを契約で決める：検知から何時間で知らせるか、どこまで調べて報告するかを、取り決めに入れておく
• 金融機関を名乗る不審なメールの扱いを周知する：氏名とメールアドレスが漏れると、名前入りの偽のメールが届く。リンクを開かず、公式のアプリから確かめるよう伝える