楽天証券は10月31日、同社が販売した「デジタル特典付き社債」の購入者の一部について、情報が外部に持ち出された可能性があると発表した。対象は3銘柄の延べ362件。特典の申し込みなどに使う外部サービスの提供元である NTTデータから、その委託先が提供するシステム「デジタル証券プラットフォーム」が10月30日に第三者の不正アクセスを受けた、と報告を受けたという。
楽天証券 お知らせ 10月31日（対象の3銘柄・延べ362件・含まれない情報・利用者へのお願い）楽天証券
楽天証券自身のシステムが攻撃されたものではない。入り口になったのは証券口座ではなく、社債の特典を届けるために外につないだ仕組みのほうだ。自分がその社債を買ったかどうかで、気にかけることが変わる。
対象は3つの社債の購入者
発表が挙げる銘柄と対象は次のとおりだ。
- カゴメ 第1回無担保社債（2023年2月21日発行）: 一部の購入者
- 西日本旅客鉄道 第80回無担保社債（2024年6月19日発行）: 一部の購入者
- 近鉄グループホールディングス 第135回無担保社債（2026年7月24日発行）: 100万円以上を購入した人
362件は「延べ」の数なので、複数の銘柄を買った人は重ねて数えられている。カゴメ債と JR西日本債は「一部」とだけあり、どんな条件の購入者が対象なのかは発表に書かれていない。
含まれないとされるもの、まだ分からないもの
楽天証券によると、ログインに必要な ID とパスワード、取引に必要な各種の情報は、持ち出された可能性のある情報に含まれないと報告を受けている。発表の時点で、この件が原因とみられる不正アクセスや不正取引は確認されていない。
一方で、持ち出された可能性があるのがどの項目なのか、氏名なのか住所なのか購入額なのかは、まだ示されていない。侵入の経路や技術的な原因も、NTTデータの委託先が調べている途中だ。影響が確認された客には楽天証券から個別に連絡するとしているが、その連絡がメールなのか郵送なのかも書かれていない。
対象かもしれない人が今日できること
最初にやれるのは、自分がこの3銘柄を買ったかどうかを確かめることだ。カゴメ債は2023年の発行なので、記憶だけに頼らず、取引の履歴までさかのぼって見るほうが確かだ。
次に、連絡の受け取り方を決めておく。楽天証券は、同社や関係会社を装った不審なメール、SMS、電話に注意し、そこに書かれた URL を開いたり個人情報を入力したりしないよう呼びかけている。「個別に連絡する」と予告された件ほど、それを装った連絡が混ざりやすい。届いた連絡のリンクではなく、自分でブックマークした公式サイトやアプリから、お知らせのページを開いて確かめる。
もう一つ、楽天証券はログインにパスキー認証を必須にする準備を進めており、まだ設定していない人に設定を勧めている。パスキーは偽サイトにパスワードを打ち込ませる手口に強い。ただし守れるのは口座へのログインで、外に出た可能性のある連絡先を使った電話やメールそのものは止められない。そこは、届いた連絡を疑ってかかる習慣で補うしかない。
次に確かめたいのは、楽天証券のお知らせページに出る続報だ。持ち出された可能性のある情報の項目と、カゴメ債と JR西日本債の「一部」がどの購入者を指すのかが示されれば、自分が対象かどうかをはっきり判断できる。
ことば
- デジタル特典付き社債 — 利息に加えて、発行した会社の商品や優待を特典として受け取れる社債。特典を届けるために、購入者の情報が証券会社の外にある仕組みとつながる点が、今回の件の背景にある。
- パスキー認証 — スマートフォンなどの端末に保存した鍵と、指紋や顔の認証でログインする仕組み。パスワードを入力しないので、偽サイトにパスワードを盗まれる手口が効きにくい。
あなたの証券口座の取引履歴に、特典を目当てに買った社債は残っていないだろうか？
