りそな3行、委託先への不正アクセスで顧客情報流出の可能性

りそな銀行、埼玉りそな銀行、関西みらい銀行の3行は2026年10月27日、メール配信に利用する外部サービス「Cuenote FC」への不正アクセスにより、顧客情報が外部に持ち出された可能性があると発表した。攻撃を受けたのは提供元ユミルリンクのシステムであり、銀行の口座管理システムが侵害されたと発表されたわけではない。影響人数や流出件数は現時点で確定しておらず、調査が続いている。

10月19日から26日までの経緯

3行の説明によると、10月19日にユミルリンクから同社の一部システムが不正アクセスを受け、情報が外部に持ち出されたと報告を受けた。21日には3行の顧客情報の持ち出しはないと伝えられたものの、追加調査で状況が変わった。26日には、3行の顧客情報を含むシステムからもデータが持ち出された可能性が高いと判明し、翌27日の公表に至った。

ユミルリンクは10月26日の第二報で、Cuenote FCの49システムで情報の出力を確認し、漏えいのおそれがあるデータは延べ5,162万8,280件と説明した。ただし、これはサービス全体の延べ件数で、同一人物の重複を含む可能性がある。りそなグループ3行だけの人数や件数を示す数値ではない。さらに16システムでは件数を調査中としており、今後更新される可能性がある。

対象情報と調査中の事項

3行が持ち出された可能性があると説明したのは、顧客のメールアドレスと、メール配信用に採番した管理番号などの識別子だ。この管理番号だけで個人を特定することはできないという。口座番号、暗証番号、パスワード、クレジットカード情報などの金融取引情報は、今回の対象情報に含まれていないと明記した。ただし、情報が持ち出されたかどうかの個別の確定状況は調査中である。

3行は10月27日時点で、本件に起因すると考えられる顧客情報の不正利用を確認していない。一方、メールアドレスが第三者の手に渡れば、銀行や関連会社を装った偽メールの送付などに悪用される懸念がある。『漏えいの可能性』と『不正利用が確認された』は異なる段階であり、今回の発表から実際の金銭被害が発生したと判断することはできない。

不審メールへの注意と問い合わせ

3行は、メールなどでパスワードや暗証番号を尋ねることはないとして、不審なメッセージ内のリンクを開いたり個人情報を入力したりしないよう呼びかけている。連絡内容が本物か不明な場合は、メールのリンクを使わず、普段利用している公式アプリや公式サイトから情報を確認する方法が考えられる。今回の公表は、すべての顧客にパスワード変更を求める案内ではない点にも注意したい。

問い合わせ窓口は、りそな銀行が0120-001-067、埼玉りそな銀行が0120-382-520、関西みらい銀行が0120-400-503。受付期間は10月27日から11月20日まで、祝日を除く月～金曜の9時～17時となっている。3行はユミルリンクと原因や影響範囲の調査を継続し、委託先を含めた情報管理体制を強化するとしている。最新情報は各行の公式発表で確認できる。