FAQシステム「i-ask」に不正アクセス。大和証券・シチズン・損保ジャパンなどの問い合わせ情報が漏えいの可能性

01発表されている事実

スカラコミュニケーションズによると、2026年10月2日20時30分頃から10月3日8時頃にかけて、第三者がi-askの管理サイトに不正にログインし、サーバーに不正なプログラムを設置しました。そのうえで、同じサーバー上の利用企業のデータベースからお問い合わせ情報を取得された可能性があります。10月3日朝にデータベースの監視アラートで気づき、同日8時頃に遮断しました。

1. 10月5日

   発表元大和証券対象インターネット経由の問い合わせ。氏名、メールアドレス、口座番号等件数約11万名（個人を特定できない問い合わせを含め約22万件）

2. 10月6日

   発表元スカラコミュニケーションズ対象利用企業（最大5社）のお問い合わせ情報件数最大713,126件（延べ件数）

3. 10月6日

   発表元シチズン時計対象シチズン、ブローバ、フレデリック・コンスタントのWebサイトの問い合わせフォーム。氏名、住所、電話番号、メールアドレス等件数約10万名分

4. 10月7日

   発表元損害保険ジャパン対象事業者向けドライブレコーダー「SMILING ROAD」の問い合わせ。勤務先、ドライバーID、運転アラート等件数約6万件（延べ件数）

5. 10月8日

   発表元オリックス生命保険対象公式サイトからの問い合わせ。氏名、生年月日、証券番号、問い合わせ内容（医療情報等を含む）件数約26,500件（延べ件数）

件数の多くは「お問い合わせ単位の延べ件数」で、同じ人の複数回の問い合わせを重ねて数えています。各社とも、自社のシステムへの不正アクセスは確認されていないとしています。大和証券は、漏洩した可能性のある情報では証券口座へのアクセスや取引はできないと説明しています。シチズン時計は、問い合わせ内容の欄に銀行口座やクレジットカードの情報を書いていた場合は、それも漏えいした可能性があるとしています。

スカラコミュニケーションズは、不正ログインに使われたアカウントのパスワード変更、攻撃元IPアドレスの遮断、全環境の管理者パスワードの変更、アップロードされたファイルをプログラムとして実行できない設定への変更を行いました。今後は多要素認証の導入や環境の分離を進めるとしています。

02読者への影響

漏れた可能性があるのは、会社に送った「問い合わせの中身」です。氏名や連絡先だけでなく、困っていた内容や契約の番号が一緒に入っています。これを使うと、本物の担当者のような電話やメールを作れます。大和証券や損保ジャパンも、会社や関係者を装った電話・メールによる詐欺のおそれを呼びかけています。

会社の側から見ると、問い合わせ窓口を外部のサービスに任せていても、お客様への説明と報告は自社の名前で行うことになります。今回は、自社のシステムが無事でも委託先から漏れる例です。

03今すぐやること

1. 5社のどれかに、Webのフォームから問い合わせたことがある人は、各社からの個別の連絡を待つ。連絡を装ったメールのリンクは開かず、公式サイトに載っている窓口へ自分から問い合わせる
2. 電話で「先日のお問い合わせの件で」と言われても、ID・パスワード・暗証番号・ワンタイムパスワードは伝えない。大和証券は専用窓口（0120-851850、平日9時〜17時）を設けている
3. 問い合わせフォームに口座番号やカード番号を書いた覚えがある人は、カード会社や銀行の明細をしばらく見ておく
4. 問い合わせ管理やFAQを外部サービスで動かしている会社は、管理画面に多要素認証を設定できるか、古い問い合わせを消せるかを確かめる

04委託先から漏れるのを防ぐには

シチズン時計はi-askからほかのシステムへ移す途中で、10月中旬に利用を終えてデータを消す予定でした。使い終わったサービスに古いデータが残っていると、漏れたときの被害が大きくなります。契約しているクラウドサービスの一覧を作り、データの保存期間と管理者アカウントの持ち主を決めておくことが、取引先から漏れる事故（サプライチェーン攻撃）への一番の備えです。図鑑では、委託先の点検を手伝う会社や、管理画面を守るサービスを分類ごとに比べられます。

05今後の発表

スカラコミュニケーションズは外部の専門調査機関とフォレンジック調査を進めており、実際の対象人数は名寄せ作業中です。各社は対象のお客様に個別に連絡するとしています。