ソニー銀行のデジタル証券で621人の情報流出──委託先に不正アクセス

ソニー銀行は10月30日、デジタル証券の外部委託先のシステムへの不正アクセスにより、顧客4人と617人の計621人の情報が流出したと公表した。その後の更新（11月2日・4日）で、委託先をSecuritize Japan（セキュリタイズジャパン）と明記し、デジタル証券の取引を停止していることも加えた。同行のデジタル証券以外のサービスには関係しないという。

ソニー銀行、4人は口座番号まで流出

ソニー銀行の発表によると、セキュリタイズジャパンは10月29日に自社システムの異常を検知して調査を始め、同日中に外部からの不正アクセスと特定し、ソニー銀行に第一報を入れた。同社のログ調査で、ソニー銀行の顧客情報が外部に漏洩したことが確認されたという。

漏洩が確認された情報は、顧客4人が氏名、住所、生年月日、口座番号。残る617人は氏名だけだ。

ソニー銀行によると、本件に起因する不正な取引は確認されていない。漏洩した個人情報がインターネット上に公開・拡散された事実も、現時点で確認されていないとしている。

対象の顧客には個別に連絡し、説明と必要な対応を行う。顧客からの問い合わせは、同行の「不正利用緊急ダイヤル」で受け付ける。デジタル証券の取引は現在止めており、復旧次第知らせるという。

2日の日本時間16時57分にInternet Archive（インターネット・アーカイブ）が保存した更新前の版では、委託先は「外部委託先1社」とだけ書かれ、取引停止の記載もなかった。

同じ委託先、丸井のデジタル社債でも最大9,086人

丸井グループは2日、デジタル社債の管理業務を委託するセキュリタイズジャパンのサーバーが10月29日に第三者の不正アクセスを受け、デジタル社債に応募した顧客の個人情報が一部漏洩したと発表した。

対象は、同社のデジタル社債に申し込むためアカウントを作った最大9,086人。対象の情報は氏名、住所、電話番号、メールアドレス、生年月日、性別、銀行口座番号、投資口数で、銀行口座番号まで漏洩した可能性があるのは54人だという。

クレジットカードの情報はセキュリタイズジャパンに委託しておらず、漏洩はない。現時点で二次被害も確認されていない。

丸井グループは、流出した情報がなりすましなどに悪用される可能性があるとして、不審なメール・SMSに記載されたURLへのアクセスや、個人情報の入力を求める連絡に注意するよう呼びかけた。

両社の発表は侵入の経路に触れていない。丸井グループは、セキュリタイズジャパンと連携して原因と影響範囲を調べているとしている。セキュリタイズジャパンの公式サイトのプレスリリース欄には、5日時点で本件の発表は掲載されていない。

別の委託先の事例では、国内の暗号資産（仮想通貨）交換業者のZaifが4日、メール配信の委託先アララへの不正アクセスで、顧客のメールアドレス38万536件（重複を除く）が流出したと公表した。委託先はセキュリタイズジャパンとは別の会社だ。

ソニー銀行のデジタル証券、基盤はセキュリタイズジャパン

ソニー銀行は三井住友信託銀行と組み、セキュリタイズジャパンが提供するデジタル証券のプラットフォームを使った商品を扱ってきた。セキュリタイズジャパンが7月13日に公募・発行を発表した案件では、三井住友信託銀行が組成・発行し、ソニー銀行が登録金融機関として販売する。

この案件は米ドル建ての投資パートナーシップファイナンスのデジタル証券で、同社の発表によると、2023年7月に公表した合同運用指定金銭信託受益権のセキュリティトークン（ST）、2024年3月に公表した米ドル建てグリーンファイナンスのSTに続く、両行と同社の取り組みだ。

同じ発表では、この案件の投資家向けの購入申込画面と両行向けの管理画面を、いずれもセキュリタイズジャパンのプラットフォームで提供するとしていた。ソニー銀行の顧客は、同行のネットバンキングからシングルサインオン（1回のログインで別のサービスにも入れる仕組み）で申込画面に移れるという。

ソニー銀行と丸井グループの発表は、不正アクセスを受けたのがどのシステムかを具体的に示していない。ソニー銀行は「Securitizeが提供するシステム」、丸井グループは「セキュリタイズ社のサーバー」と書いている。

セキュリタイズジャパンは、米Securitize（セキュリタイズ）の完全子会社だ。

関連：仮想通貨取引所Zaif、委託先へのハッキングでメールアドレス38万件流出
関連：山陰合同銀行がセキュリティ・トークン発行を検討──地銀初、証券口座は不要