ソニー銀行、デジタル証券委託先への不正アクセスで顧客621人分の情報漏洩

ソニー銀行のデジタル証券顧客621人分が漏洩した経緯

CoinPostによると、ソニー銀行は10月30日、デジタル証券事業の外部委託先であるセキュリタイズ・ジャパンのシステムが不正アクセスを受けたと公表しました。この影響で、同行顧客621人分の情報が外部に漏れたとしています。発表内容は11月2日と4日に更新されました。

漏洩した情報は、顧客によって範囲が異なります。4人については氏名に加え、住所、生年月日、口座番号まで含まれていました。残る617人は氏名のみが対象です。ソニー銀行は対象の顧客に個別に連絡するとしています。

不正取引の有無とデジタル証券の取引停止状況

ソニー銀行の説明では、今回の件に起因する不正な取引は確認されていません。漏洩した情報がインターネット上に公開されたり、拡散されたりした事実も、現時点では見つかっていないといいます。

時系列では、セキュリタイズ・ジャパンが10月29日に自社システムの異常を検知しました。同日中に外部からの不正アクセスと特定し、ソニー銀行へ第一報を入れています。その後のログ調査で、情報の漏洩が判明しました。

ソニー銀行はデジタル証券の取引を止めており、再開について「復旧次第お知らせします」としています。影響範囲はデジタル証券に限られ、預金などほかのサービスには及ばないと説明しています。再開時期は現時点では明らかにされていません。

セキュリティトークンとソニー銀行の取り組み

デジタル証券は、社債や株式などの権利を、一般にブロックチェーン技術を土台としたトークンで表したものです。日本では2020年5月に施行された改正金融商品取引法で、「電子記録移転有価証券表示権利等」として位置付けられました。

ソニー銀行は2023年、合同運用指定金銭信託受益権を対象とするSTの募集の取り扱いを始めました。日本の銀行としては初の事例とされています。セキュリタイズ・ジャパンの過去の発表によれば、同行が扱うデジタル証券の発行や管理には、同社のプラットフォームが使われています。

丸井グループやNTTデータにも広がる委託先の情報漏洩

同じ委託先を利用する企業からも、相次いで漏洩の公表が出ています。NTTデータは11月2日、デジタル証券基盤「STdirectServices」などで使うセキュリタイズ・ジャパンのSaaSが10月29日に不正アクセスを受け、社債購入者などの個人情報の一部が持ち出されたと発表しました。

NTTデータが人数を確定させた対象は2つあります。発行体2社分の社債購入者111人は氏名や住所、電話番号などが含まれ、発行体1社分の2,678人はカナ氏名や購入数量、メールアドレスが対象です。セキュリタイズ・ジャパンはサービスを停止し、侵入経路を遮断したとしています。

丸井グループも同日、デジタル社債の管理業務を委託するセキュリタイズ・ジャパンのサーバーへの不正アクセスで、最大9,086人分の個人情報が漏洩したと公表しました。口座番号まで漏れた可能性があるのは54人です。同社は、なりすましや不審なメール・SMSに悪用されるおそれがあるとして注意を促しています。今後は、侵入の原因や手口、取引再開の時期がどう説明されるかが確認点になります。