■ BLACK OCTOBER

INCIDENT / 2026-10-31

楽天証券 NTTデータ委託先の「デジタル証券プラットフォーム」への不正アクセスで社債購入者情報延べ362件が漏えいした可能性

MEDIUM / 中一部確認不正アクセスサプライチェーン攻撃情報漏洩

NTTデータの「STdirectServices」で使われている委託先SaaS（デジタル証券プラットフォーム）が第三者から不正アクセスを受け、楽天証券で販売したデジタル特典付き社債を購入した顧客の情報が延べ362件漏えいした可能性がある。

概要

2026年10月30日、NTTデータの委託先が提供する「デジタル証券プラットフォーム」に第三者が不正にアクセスし、プラットフォーム内の情報が外部に持ち出された可能性がある。楽天証券は10月31日に公表した。対象は楽天証券で販売した3銘柄の購入者で、カゴメ第1回無担保社債と西日本旅客鉄道第80回無担保社債の一部購入者、近鉄グループホールディングス第135回無担保社債を100万円以上購入した顧客の延べ362件。楽天証券のログインIDやパスワード、取引に必要な情報は含まれていない。同じ事案は野村證券や近鉄GHDも公表している。楽天証券自身のシステムは不正アクセスを受けていない。

経緯

経緯情報は未登録です。

原因

調査中再委託先SaaSへの不正アクセス委託先・再委託先経由のサプライチェーンリスク

NTTデータの委託先が提供するSaaS「デジタル証券プラットフォーム」に第三者が不正にアクセスした。侵入経路や技術的な要因は委託先が調査中。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

一部確認
影響を受けたユーザー数
362
サービス停止
あり
金銭的被害
不明
対象システム
NTTデータ委託先のデジタル証券プラットフォーム（SaaS）、STdirectServices

漏洩した情報

  • 可能性ありデジタル特典付き社債購入者の顧客情報（項目は明確な記載なし）

楽天証券で3銘柄の社債を購入した顧客の情報が延べ362件漏えいした可能性がある。ログインID・パスワードや取引情報は含まれていない。発表時点で二次被害は確認されていない。NTTデータはSTdirectServicesを停止したが、現時点で特典付与の対象となる社債がないため業務への影響はない。

対応

楽天証券はNTTデータや委託先など関係各所と連携して、原因と影響範囲を詳しく調べている。影響が確認された顧客には個別に連絡し、不審なメール・SMS・電話への注意を呼びかけている。NTTデータはサービスを停止した。

  • NTTデータによるSTdirectServicesの停止
  • 関係各所と連携した詳細調査
  • 対象顧客への個別連絡
  • 不審な連絡への注意喚起

教訓・対策

  • 再委託先まで含めて情報の流れを把握しておく
  • 委託先に再委託やSaaS利用の有無を確認し、事故時の連絡期限と窓口を契約で定めておく
  • 委託先に預ける情報は必要最小限にし、不要になった情報は削除させる
  • 漏えい公表後に増えるフィッシングに備え、顧客向けの注意喚起を事前に準備しておく

参考資料

  1. 楽天証券がNTTデータ委託先の不正アクセスで社債購入者情報362件の漏えい可能性を公表
    サイバーセキュリティ.com公開日: 不明報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

楽天証券

関連するインシデント

関連付けられたインシデントはありません。