トレードワークスの不正アクセス 第3報｜対策の中身と今後の強化策

証券会社向けにネット取引のシステムを作るトレードワークスは2026年11月2日、岩井コスモ証券に提供しているシステムへの不正アクセスについて、第3報を出しました。 原因と影響はこれまでの発表のとおりとしたうえで、事故のあとに行った対策と、今後の強化策を公表しています（トレードワークスの2026年11月2日の発表）。 業務のシステムを外部の会社に作ってもらい、管理の機能をインターネットにつないでいる会社に関係します。これまでの内容は10月23日の速報にまとめています。

公表された内容

• 原因：システムの一部の管理機能の設定の不備で、本来は限られた環境からだけ使うはずの機能が外から使える状態だったとしています。同社の設計と運用の管理が十分でなかったと認めています
• 影響：岩井コスモ証券の顧客の一部の口座で意図しない売買の注文が成立しましたが、同じ日に元に戻され、顧客の金銭の負担はないとしています。顧客4,975人の氏名・メールアドレスなどが漏えいした可能性があり、この情報だけではログインや取引はできないとしています。資金の不正な流出と、システムの内部への侵入の痕跡は確認されていないとしています
• ほかのシステム：ほかの金融機関に提供するシステムも点検し、同じ強化策を行ったとしています。同じ事象は確認されていません
• 事故のあとも続く攻撃：国内外から攻撃の通信がいまも観測されていますが、防御のしくみで遮断・拒否し、新たな被害は確認されていないとしています
• 損失：見込みは約5千万円のまま（確定した額ではない）。サイバー保険の手続きを進めているとしています。通期の業績予想は直していません

事故のあとに行った対策（第3報で公表）

• 封じ込め：経路となった管理機能の外からの利用を遮断し、対策本部を置いた
• 外から届く経路の総点検：インターネットから届く経路を点検し、防御の機能を通らない抜け道をふさいだ
• 診断：本番の環境への侵入テスト（ペネトレーションテスト）と、プログラムと設定の組み合わせの診断を行った
• 防御のルール：攻撃の通信を止めるルールと、国・地域ごとのアクセスの制限を強めた
• ログインと経路：ログインのときに正しい通信かを確かめるしくみを足し、管理機能への経路を何重にもした
• 監視と記録：攻撃者のアクセスを見張る専用のシステムを作り、不審なログインの試みを知らせるようにした。操作の記録は書き換え・削除ができない設定で残している
• 体制：当番の体制と、不審なアクセスを見つけたときの報告の基準（検知から5分以内に連絡、15分以内に判断）の運用を始めた

今後の強化策

• 情報セキュリティなどのリスク管理の委員会・組織をまとめ、対策本部の機能を常設にする
• 提供するすべてのシステムで、毎時の監視と「5分以内に連絡・15分以内に判断」の基準を標準の運用にする
• 多要素認証と権限の最小化を製品の標準の構成にし、すべての提供先に広げる

経緯

• 2026年10月14日：不正アクセスを検知し、管理機能の利用の停止・不正な接続の無効化・攻撃元の通信の遮断
• 2026年10月16日：4,611人の情報の流出を公表（適時開示）
• 2026年10月23日：経過を公表。対象を4,975人に直し、原因と損失の見込み（約5千万円）を公表
• 2026年11月2日：第3報。事故のあとの対策と今後の強化策を公表

中小企業が今日からできること

• 管理画面に外から届く道を全部書き出す：ウェブサイト・通販・予約・業務システムの管理画面が、社外のインターネットから開けるかを委託先に聞き、開けるものは IP の制限か VPN の内側に移す
• 管理者のログインに多要素認証を入れる：お客様のログインだけでなく、管理者・委託先の保守用のアカウントにも多要素認証を設定し、権限は仕事に要る分だけにする
• 「何分以内にだれに知らせるか」を決める：不審なログインや異常に気づいたとき、だれにどの手段で何分以内に知らせ、だれが止める判断をするかを1枚の紙に書き、委託先とも共有する
• 操作の記録を残す設定を確かめる：管理画面のログインと操作の記録が、どこに何日分残るかを確かめる。事故のあとに調べられるよう、消されにくい場所にも残す
• 委託先に年1回の点検を頼む：設定の不備は外からの診断で見つかることが多い。システムを納める会社に、年に1回の脆弱性の診断と設定の点検を契約で頼む