大和証券問い合わせ管理の委託先に不正アクセス

大和証券は2026年10月5日、インターネット経由の問い合わせ内容の管理などに使うサービスの提供元、スカラコミュニケーションズ（SC社）のサーバーが不正アクセスを受け、大和証券の顧客情報へのアクセスと取得の形跡が確認されたと公表した（大和証券の発表）。

SC社によると、不正アクセスは10月2日20時33分頃から10月3日8時1分頃までの間に発生した。大和証券は10月3日にSC社から連絡を受けた（同上）。

漏えいの可能性があるのは、問い合わせに関する情報のうち約11万人分の氏名、メールアドレス、口座番号等。個人を特定できる情報のない問い合わせも合わせると約22万件（同上）。

大和証券のシステムへの不正アクセスは確認されていない。漏えいした可能性のある情報だけでは証券口座へのアクセスや取引はできず、不正な取引やネット上での公開・拡散も現時点で確認されていない（同上）。

SC社は緊急のセキュリティ強化を実施済みで、追加の不正アクセスや情報漏えいは確認されていないと大和証券に報告している（同上）。

【2026-10-06追記】SC社が自社の発表を出した。対象はFAQシステム「i-ask」で、第三者が i-ask の管理サイトに不正にログインし、SC社が管理するサーバー上に不正なプログラムを設置したうえで、同じサーバーで稼働していた利用企業（最大5社）のデータベースから問い合わせ情報を取得した可能性があるという。期間は10月2日20時30分頃から10月3日8時頃（SC社の発表）。

【2026-10-06追記】SC社によると、漏えいの可能性があるのは氏名、メールアドレス、問い合わせ内容等（項目は利用企業により異なる）で、件数は問い合わせ単位の延べで最大71万3126件。実際の人数は名寄せ中（同上）。

【2026-10-06追記】検知のきっかけは10月3日朝のデータベースの監視アラートで、同日8時頃に遮断し、同日中に利用企業へ報告した。不正ログインに使われたアカウントと全環境の管理者アカウントのパスワード変更、攻撃元IPアドレスの遮断、不正プログラムの隔離、アップロードされたファイルをプログラムとして実行できないようにする設定変更を実施済み。今後、多要素認証の導入などの管理者認証の強化、環境間の分離、監視の強化、第三者による定期的な脆弱性診断を行うとしている（同上）。

【2026-10-06追記】シチズン時計も10月6日、シチズン、ブローバ、フレデリック・コンスタントの各ブランドサイトのお問い合わせフォームの受付に使っていたSC社のシステムで、約10万人分の氏名、住所、電話番号、メールアドレス等が漏えいした可能性があると公表した。問い合わせ本文に銀行口座やクレジットカードの情報を書いていた場合は、それも漏えいした可能性があるという。同社のECサイトや会員サービスへのアクセスは確認されていない（シチズン時計の発表）。

【2026-10-07追記】損害保険ジャパンも10月7日、事業者向け通信機能付きドライブレコーダー「SMILING ROAD」の問い合わせ対応に使っていたSC社のサーバーへの不正アクセスで、顧客情報が漏えいした可能性があると公表した。主にSMILING ROADを導入した企業の従業員からの問い合わせが対象で、件数は問い合わせ単位の延べ約6万件（同じ人の複数回の問い合わせを重複して含む）。10月3日にSC社から連絡を受けた。損保ジャパン自身のシステムへの不正アクセスは確認されていない（損保ジャパンの発表）。

【2026-10-07追記】損保ジャパン分の項目は、氏名、電話番号、住所、メールアドレス、勤務先の情報（法人名・部門名・業種・代理店名等）、ドライバーID、運転アラートの情報（種別・発生日時）、ドライブレコーダーのシリアル番号等、申込番号、問い合わせの件名・本文。金融機関の口座、クレジットカード、マイナンバーカードの情報は含まない。不正利用やネット上への公開・拡散は確認されていない（同上）。

【2026-10-08追記】東武鉄道も10月7日、お客さまセンターの「お問い合わせ」フォームで使っているサービスの提供元であるSC社から、不正アクセスの報告を受けたと公表した。SC社によると、現時点の調査では東武鉄道に関する情報の閲覧・取得の形跡は確認されておらず、緊急のセキュリティ強化の後に新たな不正アクセスや情報漏えいも確認されていない。東武鉄道が管理するシステムへの不正アクセスも確認されていない。念のため不審なメール等に注意するよう呼びかけ、問い合わせ窓口（0120-983-861）を設けた（東武鉄道の発表）。

【2026-10-10追記】オリックス生命保険も10月8日、公式ウェブサイトからの問い合わせ内容の管理等に使っていたSC社のサービスが不正アクセスを受け、顧客情報が漏えいした可能性があると公表した。対象は約2万6500件（同じ顧客の複数回の問い合わせを含む）で、項目は氏名、生年月日、住所、電話番号、メールアドレス、証券番号、問い合わせ内容（顧客が申告した医療情報等を含む）。マイナンバーやクレジットカード番号は含まず、二次被害は確認されていない。同社のシステムへの不正アクセスは確認されていない（オリックス生命の発表）。

【2026-10-10追記】＠ITは10月10日、大和証券・シチズン時計・損保ジャパン・東武鉄道・オリックス生命の5社の発表はいずれも同じ委託先SC社に関するもので、公になっている内容を照らし合わせると対象システムは i-ask とみられると報じた（＠ITの記事）。

【2026-11-02追記】東武鉄道は11月2日、SC社への不正アクセスについて「最終的な調査結果」を公表した。SC社が依頼した外部の専門調査機関ラックのフォレンジック調査の結果、本件による東武鉄道に関する情報の漏洩はなかったことが確認されたと、SC社から報告を受けたという（東武鉄道 11月2日）。SC社自身の調査結果の公表は、11月2日夕時点で同社のニュース一覧に見当たらない。