丸井グループのデジタル社債で、管理の委託先に不正アクセス。応募者最大9,086名の情報が漏えい

01発表されている事実

1. 10月29日（木）

   セキュリタイズ社のサーバーが不正アクセスを受ける。スターツ証券の発表では、セキュリタイズ社はこの日に不正アクセスを検知してアクセスを制限したが、調査で第三者がお客さまの情報の一部を取得したことが分かった

2. 10月31日

   同じセキュリタイズ社のプラットフォームを使うスターツ証券が、投資家の氏名と保有口数に漏えいの懸念があると公表

3. 11月2日

   丸井グループが公表。対象のお客さまに順に個別に連絡するとした

漏えいした情報は、氏名・住所・電話番号・メールアドレス・生年月日・性別・銀行口座番号・投資口数です。クレジットカードの情報はセキュリタイズ社に預けていないため、含まれていません。現時点で、本件による二次被害は確認されていないとしています。原因と影響の範囲は、両社で調べている途中です。

02読者への影響

対象は、丸井グループのデジタル社債に申し込むためにアカウントを作った人です。連絡先に加えて、生年月日や投資の口数まで含まれます。「社債の償還（お金を返すこと）の手続き」「利息の受け取り口座の確認」などと、本物らしい話で口座番号や暗証番号を聞き出そうとする連絡が来るおそれがあります。丸井グループも、なりすましや不審なメール・SMSに悪用される可能性があるとして、URLを開いたり個人情報を入力したりしないよう呼びかけています。

03今すぐやること

1. 丸井グループからの個別の連絡を待ち、その内容を確かめる
2. 口座番号が含まれる可能性がある人は、銀行口座に覚えのない動きがないか見る
3. 社債や利息を口実にしたメール・SMSのURLは開かない。暗証番号やパスワードは誰にも伝えない
4. 迷ったら、同社の専用窓口（電話0120-659-757、メール maruigroup-socialbond@0101.co.jp）に問い合わせる

041つの委託先から複数の会社へ

セキュリタイズ社は、デジタル社債やデジタル証券の発行・管理の仕組みを複数の会社に提供しています。そのため、1つの委託先への攻撃が、丸井グループとスターツ証券という別々の会社のお客さまに広がりました。自社の外にお客さまの情報を預けるときは、委託先が守るべきことを契約で決め、定期的に確かめることが欠かせません。預ける情報を必要なものだけにしぼることも、もしものときの被害を小さくします。

05今後の発表

丸井グループは、セキュリタイズ社と一緒に事実関係と影響の範囲の調査を続け、セキュリタイズ社に原因の究明と再発防止策の徹底を求めるとしています。自社でも委託先の管理・監督を強めるとしています。