岩井コスモ証券は10月20日、外部委託先への不正アクセスに関連して、顧客の意図しない注文が7口座で出され、うち5口座で売買が成立していたと発表しました。会社側は取引前の状態に戻す措置を完了し、顧客の負担は生じていないと説明しています。

21日朝までに確認できる同社の第2報によると、攻撃は10月14日に発生しました。インターネット取引のシステム運用・保守を担うトレードワークスのシステムへの不正アクセスに加え、売買管理システムへの攻撃も確認されています。単に連絡先が外部へ流れた事案と捉えると、注文処理まで及んだ問題を見落とします。

情報漏えいの対象も増えました。当初公表の4611人に364人が加わり、合計4975人となっています。会社側は、追加分はアクセス記録と通信記録の再調査で把握したもので、その後に新しい侵入や漏えいが発生したことを示すものではないとしています。人数の増加と攻撃の再発は、区別して読む必要があります。

流出情報については氏名やメールアドレスなどで、取引暗証番号は含まれないと説明しています。また、漏えいした情報だけで証券口座へのログインや各種取引はできないとしています。この説明は、顧客側で何も確認しなくてよいという意味ではなく、今回判明した漏えい情報の性質を示したものです。

会社側は、不正取引に漏えいした個人情報が利用されたものではないと説明しています。情報漏えいの発生と注文の不正処理を、盗まれた氏名やメールアドレスで口座にログインされたという一つの筋書きに置き換えることはできません。確認された攻撃の経路に沿って理解する必要があります。

同社は、原因となった箇所の特定と修正を完了し、取引システムは通常どおり利用できるとしています。管理機能のアクセス制限、不正通信の遮断とログイン異常の検知、監視体制の強化を確認したと説明し、強化後の新たな情報漏えいは確認されていないとしています。実施済みの対応と、今後の継続監視を区別して捉えます。

注文と約定は異なる段階です

注文は売買の申し込み、約定は条件が合って実際に売買が成立することです。今回の7口座と5口座は、同じ状態の口座を別々に数えた数字ではありません。注文が出された範囲と、そのうち成立に至った範囲を示しています。成立しなかった注文を含めて、注文履歴と保有残高の両方を確認することに意味があります。

証券取引では、画面上の保有数量だけでなく、取引履歴、受渡予定、現金の増減が関係します。利用者が記録を確認する場合は、見覚えのない銘柄の有無に加え、自分が出した注文の条件や取り消し状況も照合すると、問い合わせ内容を具体化できます。ただし、今回の対象外の口座にも被害があると示す情報は確認していません。

同社が示した原状回復は、被害を受けた顧客の資産を取引前の状態へ戻す対応です。これを、あらゆるサイバー被害について無条件で同じ対応が行われる一般制度と読み替えることはできません。個々の事案では事実関係や会社の方針が異なるため、今回の発表が示す対象と措置の範囲を正確に押さえる必要があります。

利用者側の防御と運営側の防御

ネット取引では、利用者が偽サイトに認証情報を入力しないことや、利用可能な追加認証を設定することが基本になります。一方、委託先や管理系の機能が攻撃された場合、利用者が自分の端末だけを守っても防ぎ切れない経路があります。今回の公表は、金融サービスの安全性を利用者の注意力だけに委ねられないことを考える材料です。

パスワードの使い回しを避ける対策にも意味はありますが、変更すれば管理系システムの侵入経路まで閉じるとは限りません。金融機関側には、権限の限定、業務ごとの分離、異常な注文の検知、委託先の運用確認といった複数の対策が求められます。ここで挙げる項目は一般的な確認観点であり、同社がすべて未実施だったと判断するものではありません。

家計にとっての直接的な関心は、資産が保全されているか、必要な取引を続けられるかです。投資判断の前に、公式の障害・セキュリティ情報と自身の取引記録を確認する順序が大切です。ニュースを見て慌てて注文を重ねると、自分で出した取引と不審な取引の区別が難しくなることも考えられます。

不審なメールへの警戒も必要です。実在する情報漏えいのニュースに便乗し、補償手続きや本人確認を装う連絡が届く可能性は一般にあります。今回、そうした二次被害が何件発生したかは未確認です。連絡を受けた場合は、本文中のリンクだけで判断せず、普段使っている公式アプリや自分で開いた公式サイトから案内を確認する方法が考えられます。

委託先を含む取引の仕組み

金融機関が外部企業にシステム運用を委ねること自体は、直ちに安全性の欠如を意味しません。専門技術の活用や継続運用に利点もあります。重要なのは、委託の境界で誰が何を監視し、事故の際にどの記録を共有し、顧客対応を誰が担うかが明確になっていることです。契約の有無と、実効性のある監督は同じではありません。

顧客情報と売買管理では、被害の性質も異なります。連絡先の漏えいはなりすましなどへの懸念につながり、注文処理への干渉は資産や市場取引に直接関わります。両方が公表された場合、説明も分けて示すことで、利用者が自分に必要な対応を判断しやすくなります。会社の続報を見る際にも、この二つの整理が役立ちます。

事業者にとっては、事故が起きた後に記録を読み直せる状態を保つことが重要です。今回は再調査で対象者が増えました。ログを残すだけでなく、通信や注文の記録と突き合わせられることが、影響範囲の把握につながります。ただし、調査方法の全容や第三者による評価について、今回確認した発表から分かる範囲には限りがあります。

取引先選びでも、単一の事故だけで全社の安全性を順位付けすることは適切ではありません。サービスの利用条件、問い合わせ窓口、障害時の連絡方法、取引記録の取得しやすさなどを合わせて確認すると、実際の備えにつながります。安全対策は広告の表現だけでなく、問題発生時に利用者へ何が伝わるかにも表れます。

現時点で断定できないこと

攻撃者の特定、最終的な侵入経路、全体の損害額について、確認できた資料だけで確定した結論は出せません。また、漏えい対象4975人のすべてに不正注文があったわけではありません。情報が流出した人数、注文が出された口座数、売買が成立した口座数は、それぞれ異なる指標として扱います。

会社が顧客負担はないと説明している点と、システムの安全性に関する検証がすべて終わったかどうかも別の問題です。原状回復の完了は重要な対応ですが、今後同じ経路で再発しないことの確認には、原因分析や対策の実効性に関する説明が必要になります。復旧という言葉が何を指すかを確かめる姿勢が求められます。

利用者が問い合わせる際は、取引日時、銘柄、数量、注文番号など、自分の画面で確認できる情報を整理しておくと説明がしやすくなります。個人情報や画面の画像を公開のSNSへ投稿して相談することは、別の情報流出につながりかねません。公式の相談経路を利用し、必要な情報を必要な相手にだけ伝えることが基本です。

続報で確認する条件

今後は、会社と委託先による原因調査の確定、影響対象の変更、再発防止策の公表、サービス利用条件の変更が更新の判断材料になります。対象者が追加された場合には、新たな侵入なのか、過去の記録の精査による判明なのかも確認します。単に数字だけを差し替えると、事態が拡大しているのか調査が進んだのかを取り違えます。

今回の発表は、証券サービスにおけるサイバーリスクが個人のログイン画面だけに存在するものではないことを示しています。読者にとっては自分の口座の確認、事業者にとっては委託先も含む権限管理と監視の点検が、それぞれ具体的な課題になります。これらは本件の原因を推定する話ではなく、公表事実から考えられる実務上の論点です。

連絡の対象と口座の確認を分けます

会社側は、今回新たに情報漏えいの対象と判明した顧客に、ログイン後のお知らせ画面とメールで個別に連絡したとしています。全利用者への一般的な注意喚起と、自分が対象であるという個別通知は意味が異なります。通知を受け取った人は、何の対象になったのか、情報漏えいと不正注文のどちらに関する案内なのかを確認することが必要です。

通知が届いたことを理由に、取引暗証番号や認証コードを第三者へ伝える必要があると自己判断しないことも大切です。会社からの連絡を確認したい場合は、公式サイトに掲載された相談窓口へ、自分で確認した連絡先から問い合わせる方法があります。折り返し先が記載されているという理由だけで、相手の身元が保証されるわけではありません。

また、原状回復を受けた顧客にとっては、会社の説明と自分の明細が対応しているかが確認事項になります。取引の表示が消えたかどうかだけでなく、残高や後続の処理について疑問があれば、公式窓口で説明を受ける必要があります。具体的な税務上の扱いや書類の修正の有無は未確認であり、今回の短い発表から一律の結論は出せません。

他の金融機関を併用する人は、今回の対象会社と別の口座を混同しないようにすることも重要です。似たサービス名や委託先の存在だけを根拠に、別会社でも同じ不正注文があったと推測することはできません。各社の発表と自分の取引記録をそれぞれ照合することが、落ち着いた確認につながります。

確認資料：岩井コスモ証券「外部委託先への不正アクセスに伴うお客様情報の漏洩について（第2報）」（10月20日）。https://www.iwaicosmo.co.jp/info/2026/10201710.html

まとめ

岩井コスモ証券は7口座の不正注文と5口座の売買成立を公表し、原状回復を完了したとしています。漏えい人数の追加判明と新たな攻撃を混同せず、今後の原因調査と再発防止策を確認することが重要です。