内藤証券は10月15日、大和総研に運用を任せているインターネット取引システムが不正アクセスを受け、利用者の個人情報が漏れた可能性があると公表した。対象は10月14日の午前4時46分から6時56分までの間にログインしていた利用者で、最大631名だという。
漏れた可能性がある情報には、氏名や住所に加えて、証券口座番号、勤務先、出金先の銀行名・支店名・口座番号が含まれる。証券会社と出金先の両方を知っている相手からの連絡は、普段の案内と見分けにくい。
早朝2時間、ログイン中の利用者の情報が狙われた
内藤証券と大和総研の発表によると、狙われたのは取引システムの Web サーバーだ。その時間帯にログインしていた利用者の状態を一時的に預かるデータベースにアクセスされ、そこにあった利用者の情報が漏れた可能性がある。資産の状況や取引の内容を保管している業務用のデータベースには、不正アクセスや情報を取られた痕跡は見つかっていないという。
漏れた可能性があるのは次の項目だ。
- 氏名、住所、電話番号、メールアドレス
- 証券口座番号、勤務先
- 内藤証券に登録している出金先の金融機関名・支店名・口座番号
両社は、これらの情報だけでは証券口座へのログインや取引はできないとしている。調査中だが、情報の不正利用や不正な出金・取引の被害は確認されていない。
対応として、不正なプログラムの削除、攻撃元との通信の遮断、防御設定の強化を行い、なりすましを防ぐために全ての利用者のログイン状態を一度解除した。影響の可能性がある利用者には、調査の結果を踏まえて個別に連絡するという。
パスワードは漏れていない、それでも残る不安
ログインに使う ID やパスワードは、漏れた可能性のある項目に入っていない。その意味で、すぐに口座から株を売られたり、お金を引き出されたりする話ではない。
気になるのは、この組み合わせで何ができるかだ。名前と証券口座番号、勤務先、出金先の口座番号まで知っている相手は、「内藤証券のお客様相談室です」と名乗って電話をかけても、話の辻褄を合わせられる。金融庁の集計では、2025年1月から2026年9月までに、証券会社のネット取引への不正アクセスは19,252件あり、そのうち10,642件は不正な取引まで進んだ。ID とパスワードを聞き出そうとする誘いに、今回の情報は本物らしさを足す材料になりうる。
内藤証券は、同社がメールや電話でパスワードなどを尋ねることはないとしている。身に覚えのない連絡や、出金先口座の変更など不審な点があれば、お客様相談室に連絡するよう呼びかけている。
自分が対象かを確かめるには
対象になりうるのは、10月14日(水)の早朝、4時46分から6時56分の間にログインしていた人だけだ。その時間にスマホやパソコンで取引画面を開いていた覚えがなければ、対象に入っている可能性は低い。自動でログインし続ける設定や、開きっぱなしの画面がなかったかも思い出しておきたい。
ただ、自分の記憶だけで判断するのは難しい。最終的には、内藤証券からの個別の連絡を待つことになる。その連絡を装った偽物が届く可能性も残るので、連絡が来たら折り返す前に、電話番号が内藤証券の公式サイトに載っているものと同じかを確かめたい。
手間はかかる。それでも、出金先口座の変更を知らせる通知が届いたときに、自分で手続きしたかどうかをその場で判断できるようにしておくと、被害を止めやすい。
次に確かめる点
次に見るのは、内藤証券からの個別の連絡と、同社と大和総研のサイトに出る続報だ。両社は外部の専門機関と原因と影響範囲を調べており、新しく分かったことは速やかに知らせるとしている。問い合わせは内藤証券のお客様相談室 (06-4803-6520・平日9時〜17時) で受け付けている。
ことば
- 出金先口座 — 証券口座のお金を引き出すときの振込先として、あらかじめ登録しておく銀行口座。変更には手続きが要るため、身に覚えのない変更の通知は不正の兆しになる。
- フォレンジック調査 — 不正アクセスの後に、記録やデータを解析して、いつ・どこから・何を取られたかを突き止める調査。大和総研は外部の専門機関に依頼した。
証券会社を名乗る電話がかかってきたとき、あなたはその場で答えるか、それとも一度切って、自分で調べた番号にかけ直すだろうか？
