NTTデータ、社債購入者らの情報漏えいを公表 委託先に侵入

NTTデータは2026年11月2日、デジタル証券関連サービス「STdirectServices」の停止について第2報を発表した。委託先のSecuritize Japanが提供するSaaSサービスへの不正アクセスを調べた結果、社債購入者らの個人情報の一部が外部に持ち出されたことを確認したという。10月31日の初報では漏えいの可能性を説明していたが、今回は被害の確認と情報項目、侵入方法の一部を明らかにした。

認証機能の脆弱性から管理者権限を取得

問題の不正アクセスは10月29日に発生した。NTTデータの説明によると、攻撃者はシステムの認証機能に存在した脆弱性を悪用し、管理者権限を不正に取得。その権限を使ってシステム内の情報を持ち出した。侵入に利用された脆弱性の識別番号や詳細な攻撃手順は公表文に記載されていないため、具体的な製品や原因を推測して断定することはできない。

漏えいが確認された情報は複数の社債発行体に関係する。発行体2社の購入者計111人については、氏名、住所、電話番号、メールアドレス、性別、生年月日が対象。別の発行体1社の購入者2678人については、カナ氏名、社債購入数量、メールアドレスが持ち出されたと説明している。なお111人分は、STdirectServices提供開始前にNTTデータが個別に提供したサービスに関する情報だ。

111人と2678人、異なる情報項目が対象

さらに、社債発行に関わる企業や金融機関のシステム利用担当者についても、氏名とメールアドレスが対象になった。こちらの人数は11月2日時点で調査中とされている。購入者情報の二つの区分を単純に合算して被害者の実人数とみなすことは避けたい。公表されたのは区分ごとの人数と情報項目であり、調査完了後に全体の影響範囲が変わる可能性がある。

Securitize Japanは該当するSaaSを停止し、不正アクセス経路の遮断と不正取得された管理者権限の無効化を実施した。NTTデータもSTdirectServicesの提供を停止している。10月31日の初報では、当時は特典付与の対象となる社債がなく、停止による特典付与業務への影響はないと説明していた。サービス再開日は現時点で示されていない。

サービス停止と再発防止策

NTTデータは該当する発行体と金融機関に報告済みとし、委託先と連携して原因と影響範囲の調査を継続する方針だ。再開については必要な安全対策が講じられたことを確認してから判断する。また、調査結果を踏まえて委託先のセキュリティ対策の確認や委託先管理の見直しを進めるとしている。漏えい情報の不正利用は11月2日時点で確認されていない。

今回の事案は、金融機関や発行体が直接運営する基幹システムではなく、委託先SaaSの認証機能が攻撃の起点になったと説明されている点が重要だ。社債の購入者情報は複数の企業の業務にまたがるため、利用者が影響を把握するには関係企業からの案内も必要となる。被害対象者への具体的な連絡方法や最終的な対象人数については、今後の公式発表を確認する必要がある。