トレードワークスのシステムへの不正アクセス｜公表と続報のまとめ

何が起きたか

2026年10月14日、トレードワークスは、岩井コスモ証券に提供しているネット取引のシステムへの第三者の不正アクセスを検知しました（トレードワークスの発表）。 10月16日に、岩井コスモ証券の顧客4,611人の情報（氏名・メールアドレスなど）の流出を公表し、10月23日の経過の発表で対象を4,975人に直しました。 原因は、本来は限られた環境からだけ使うはずの管理機能が、設定の不備で外から使える状態になっていたことで、第三者がこの機能を使って不正な取引をしたとしています。顧客の口座で意図しない注文が成立しましたが、岩井コスモ証券が同じ日に元に戻し、顧客の金銭の負担はないとしています。損失は約5千万円と見込んでいます。 11月2日の第3報では、原因と影響はこれまでのとおりとし、資金の不正な流出とシステムの内部への侵入の痕跡はないとしました。事故のあとに行った対策と今後の強化策を公表し、事故のあとも続く攻撃の通信は遮断できていて、新たな被害はないとしています（トレードワークスの2026年11月2日の発表）。

会社の対応

• 検知の当日に、管理機能の利用の停止・不正な接続の無効化・攻撃元の通信の遮断
• 管理機能を外から使えないよう恒久的に直し、接続元の制限・検知と遮断の強化・監視の拡充を実施
• ほかの金融機関に提供するシステムを点検し、同じ事象はないとしています
• 損失と対応の費用を全額負担する方針。サイバー保険の適用を見込んでいます
• セキュリティの報告の基準と情報共有のしくみを見直すとしています
• 外から届く経路の総点検と抜け道の閉鎖、本番の環境への侵入テスト、管理機能への経路の多重化、書き換えできない操作の記録、不審なアクセスを検知から5分以内に連絡・15分以内に判断する基準の運用を始めた（第3報）
• 今後は、リスク管理の組織をまとめて対策本部を常設にし、多要素認証と権限の最小化を製品の標準の構成にしてすべての提供先に広げるとしています

この事例から中小企業が学べること

• 業務システムの管理画面が、社外のインターネットから開けないかを確かめる
• お客様のログインだけでなく、管理者のログインにも多要素認証を設定する
• システムを納める会社との契約で、設定の点検と事故の費用の負担を決めておく
• 加入しているサイバー保険が、取引先への補償や調査の費用まで対象かを確かめる