NTTデータ委託先に不正アクセス｜社債購入者の情報が漏えい、8社が公表

NTTデータは2026年11月2日、デジタル証券のサービス「STdirectServices」などで使っている委託先 Securitize Japan の SaaS が10月29日に不正アクセスを受け、社債の購入者などの個人情報の一部が漏えいしたと公表しました（NTTデータの第2報）。社債を発行した会社や販売した金融機関も、10月30日から31日にかけて影響を公表しています。ソニー銀行・楽天証券・丸井グループ・JR西日本・カゴメ・近鉄グループホールディングス・野村證券などです。デジタル特典付きの社債などを買った人と、SaaS に顧客の情報を預けている会社に関係します。

公表された内容

原因：システムの認証の機能の脆弱性を悪用して管理者の権限が不正に取られ、情報が持ち出されたとしています（NTTデータの2026年11月2日の発表）
漏えい（11月2日の時点）：発行体2社分の購入者計111名（氏名・住所・電話番号・メールアドレス・性別・生年月日）、発行体1社分の2,678名（カナ氏名・購入数量・メールアドレス）、システムを使う担当者（人数は調査中）
各社の公表：ソニー銀行は計621名（うち4名は口座番号も）、楽天証券は延べ362件、丸井グループは最大9,086名（うち54名は銀行口座番号も）、カゴメは109名、近鉄グループホールディングスは2,678件、JR西日本は2件（各社の発表）
不正利用：11月2日の時点で確認されていないとしています
含まれないもの：楽天証券はログインID・パスワード・取引の情報、近鉄グループホールディングスは証券口座番号とパスワードを、含まないとしています

各社の件数と対応の一覧は、企業ページにまとめています。

会社の対応

Securitize Japan はサービスを止め、経路の遮断と管理者の権限の無効化を行ったとしています
NTTデータは STdirectServices を止め、再開は安全の対策を確かめてから判断するとしています。委託先の管理の見直しを含めて再発防止に取り組むとしています
ソニー銀行はデジタル証券の取引を止めています。各社は対象の人に個別に連絡し、不審なメール・SMS・電話への注意を呼びかけています