ソニー銀行、デジタル証券の委託先に不正アクセス　顧客621人分の情報漏洩 セキュリタイズ・ジャパン経由、丸井やNTTデータも漏洩を公表

ソニー銀行のST顧客621人分が漏洩

ソニー銀行は10月30日、デジタル証券事業の外部委託先であるセキュリタイズ・ジャパン（Securitize Japan）のシステムが不正アクセスを受け、同行の顧客621人分の情報が漏洩したと発表した。発表は11月2日と4日に更新されている。

漏洩が確認されたのは、4人の氏名・住所・生年月日・口座番号と、別の617人の氏名だ。ソニー銀行によると、本件に起因する不正な取引は確認されていない。情報がインターネット上に公開・拡散された事実も、現時点では見つかっていないという。対象の顧客には個別に連絡する。

セキュリタイズ・ジャパンは10月29日に自社システムの異常を検知し、同日中に外部からの不正アクセスと特定してソニー銀行へ第一報を入れた。その後のログ調査で漏洩が判明した。ソニー銀行は現在デジタル証券の取引を停止しており、「復旧次第お知らせします」としている。影響はデジタル証券に限られ、同行のほかのサービスには関係しないと説明した。

STの発行・管理を担う委託先システム

デジタル証券はセキュリティトークン（ST）とも呼ばれ、社債や株式などの権利を、一般にブロックチェーン技術を土台にしたトークンに表示したものを指す。日本では2020年5月施行の改正金融商品取引法で「電子記録移転有価証券表示権利等」と定義された。

ソニー銀行は2023年、合同運用指定金銭信託受益権のSTについて、日本の銀行として初めて募集の取り扱いを始めた。セキュリタイズ・ジャパンの過去の発表によれば、同行が扱うデジタル証券の発行・管理には同社のプラットフォームが使われている。

同じ委託先で丸井やNTTデータも公表

NTTデータは11月2日、デジタル証券プラットフォーム「STdirectServices」などで使うセキュリタイズ・ジャパンのSaaSが10月29日に不正アクセスを受け、社債購入者などの個人情報の一部が持ち出されたと発表した。人数が確定した対象は2つの区分に分かれる。

1つは発行体2社分の社債購入者111人で、氏名や住所、電話番号などが含まれる。もう1つは発行体1社分の2,678人で、カナ氏名や購入数量、メールアドレスが対象だ。セキュリタイズ・ジャパンはサービスを止め、不正アクセスの経路を遮断した。

丸井グループも同日、デジタル社債の管理業務を委託するセキュリタイズ・ジャパンのサーバーへの不正アクセスで、最大9,086人分の個人情報が漏洩したと公表した。

項目は氏名や住所、銀行口座番号などで、口座番号まで漏洩した可能性があるのは54人。同社は漏洩した情報がなりすましや不審なメール・SMSに悪用されるおそれがあるとして、利用者に注意を呼びかけている。