大和証券は、顧客からのインターネット経由の問い合わせ管理を外部委託している株式会社スカラコミュニケーションズのサーバに対して、不正アクセスがあったことを明らかにしました。この影響により、大和証券の顧客約11万人分の氏名、メールアドレス、口座番号などの情報が漏えいした可能性があると報告されています。また、個人を特定できない問い合わせ内容なども含めると、対象となる情報は計約22万件に上る見込みです。同社は対象者への個別連絡を行う方針を示しており、委託先の管理体制の検証や、原因調査に基づいた恒久的な対策の実施を進めています。
今回の事案で極めて特筆すべきは、大和証券だけでなく、シチズン時計、損保ジャパン、東武鉄道、オリックス生命保険の計5社が同様の影響を受けている点です。これらの企業は、問い合わせ業務の管理を共通の外部システムに委託しており、その委託先への不正アクセスが原因となりました。各社では、氏名や住所、電話番号に加え、口座情報や医療情報などが漏えいした可能性があると発表しています。また、マネックス証券においても、外部委託先の管理システムへの不正アクセス試行を確認したことを受け、予防的措置として新規口座開設を一時停止するなどの動きが見られました。
一連の事案は、企業が直接管理しているシステムそのものではなく、業務を外部に委託している「委託先」のセキュリティが標的となっているという共通点があります。委託先が共通している場合、一つの脆弱性が複数の大手企業に連鎖的な影響を及ぼすリスクがあることが浮き彫りとなりました。大和証券をはじめとする各社は、現在、詳細な調査や原因究明、再発防止に向けた管理強化に取り組んでいます。利用者としては、自身の情報が対象となっているかを確認するとともに、不審な連絡やフィッシング詐欺などに対する警戒を強めることが求められます。