Securitize Japanのデジタル証券基盤への不正アクセス｜影響を公表した会社のまとめ

何が起きたか

2026年10月29日、NTTデータの「STdirectServices」などで使っている Securitize Japan の SaaS で、第三者による不正アクセスが起きました。システムの認証の機能の脆弱性を悪用して管理者の権限が不正に取られ、システムの中の情報が持ち出されたとしています（NTTデータの2026年11月2日の第2報）。 11月2日の時点で分かっている漏えいは、次のとおりです（NTTデータの発表）。

• 社債の発行体2社分の購入者の一部：計111名（氏名・住所・電話番号・メールアドレス・性別・生年月日）
• 発行体1社分の購入者の一部：2,678名（カナ氏名・社債の購入数量・メールアドレス）
• 発行体・金融機関でシステムを使う担当者：人数は調査中（氏名・メールアドレス）

漏えいした情報の不正利用は11月2日の時点で確認されていないとしています。Securitize Japan 自身の発表は、11月4日の時点で同社のサイトに見当たりません。

影響を公表した会社

会社	公表日	件数・内容（各社の発表）
NTTデータ	2026年10月31日・11月2日	上の一覧のとおり。STdirectServices を停止
ソニー銀行	2026年10月30日（11月2日・4日に更新）	4名（氏名・住所・生年月日・口座番号）と617名（氏名）の計621名。デジタル証券の取引を停止
楽天証券	2026年10月31日	デジタル特典付き社債3銘柄の購入者の延べ362件。ログインID・パスワード・取引の情報は含まないとしています
西日本旅客鉄道（JR西日本）	2026年10月31日	第80回無担保社債の購入者2件（氏名・住所・電話番号・メールアドレス・性別・生年月日）
カゴメ	2026年10月31日	2023年発行のデジタル特典付き社債の購入者5,472名のうち109名（氏名・住所・電話番号・メールアドレス・性別・生年月日）
近鉄グループホールディングス	2026年10月31日	第135回無担保社債を100万円以上購入した2,678件（氏名・購入金額）。証券口座番号やパスワードは保持していないとしています
丸井グループ	2026年11月2日	デジタル社債の応募者最大9,086名（氏名・住所・電話番号・メールアドレス・生年月日・性別・投資口数など）。うち54名は銀行口座番号も。丸井グループのシステムからの漏えいは確認されていないとしています
野村證券	2026年10月31日	野村ホールディングスのサイトで公表。本文を開けず、件数は当サイトでは確認できていません

発行体の分と販売した金融機関の分は重なるため、件数を足し合わせることはできません。

会社の対応

• Securitize Japan はサービスを止め、不正アクセスの経路を遮断し、不正に取られた管理者の権限を無効にしたとしています（NTTデータの発表）
• NTTデータは STdirectServices の提供を止め、再開は安全の対策を確かめてから判断するとしています。委託先の対策の確認と、委託先の管理の見直しを含めて再発防止に取り組むとしています
• 発行体・金融機関は、対象の人に個別に連絡し、自社を名乗る不審なメール・SMS・電話への注意を呼びかけています

この事例から中小企業が学べること

• 委託先がさらに別の会社の SaaS を使っていないかを確かめ、自社の情報がどこまで渡っているかを把握する
• 特典の申し込みなど、一度きりの企画で集めた個人情報は、企画が終わったら消してもらう
• 管理者の権限をもつアカウントには、多要素認証と、使える場所の制限をかける
• 委託先から事故の連絡が来たときに、対象の人への連絡と個人情報保護委員会への報告を誰が行うかを決めておく