要点
発表された事実
- 岩井コスモ証券は2026年10月16日、インターネット取引のシステム運用・保守を委託する株式会社トレードワークス（TW社）のシステムが不正アクセスを受け、一部の顧客情報が外部へ漏洩したと公表した。10月14日に不正アクセスを検知し、TW社に連絡してアクセス制限などの緊急措置を取った（岩井コスモ証券 第1報）。
- トレードワークスは同日の適時開示で、原因を「当社システムの一部の管理機能において設定に不備があり、第三者にこれを悪用された」と説明した。顧客のログインには多要素認証・パスキーなどがあり通常の経路からの不正ログインは防がれていた、悪用された管理機能を通じて顧客のパスワードが取得されたことは確認されていない、としている（トレードワークス）。
- 10月20日の第2報で、漏洩の対象は4,611名から4,975名に増えた（通信記録の再精査で364名を追加。その後の新たな不正アクセスではない）。内容は氏名、メールアドレスほかで、取引暗証番号は含まれない（岩井コスモ証券 第2報）。
- 同じ第2報で、不正アクセスがあった10月14日に「売買管理システムへの攻撃」も起き、7口座で顧客の意図しない売買注文が発注され、うち5口座で約定していたと初めて明らかにした。対象の顧客には14日に連絡し、取引前の状態に戻す措置は完了、顧客の負担は生じていない。この不正取引に漏洩した個人情報は使われていないとしている（同）。
- 第1報で不正取引に触れなかった理由について、同社は「同様の被害を防ぐための対策を段階的に進めている状況にあったため、手口につながる情報の公表を控えていた」と説明している（同）。
わかったこと
- 【2026-10-25】原因：トレードワークスは10月23日の適時開示（開示事項の経過）で、システムの一部の管理機能の設定上の不備により、本来は限定された環境からだけ使うべき機能が外部から利用できる状態だったと説明した。機能を外部から使えないよう恒久的に是正し、接続元の制限、検知・遮断の強化、監視の拡充を行った（トレードワークス 適時開示）。
- 【2026-10-25】損害の見込み：本件に起因する損失は現時点で約50百万円（約5000万円）と見込み、2026年12月期第4四半期に特別損失として計上する見込み。確定額ではない。サイバー保険の適用を見込み、保険会社に事故通知した。通期の業績予想は修正していない（同上）。
- 【2026-10-25】漏洩の可能性がある対象4,975名（第1報の4,611名＋再調査で判明した364名）は、第1報時点の不正アクセスで生じていたもので、その後の新たな不正アクセスによるものではない。10月14日の遮断以降、侵入と不正取引は起きていない（同上）。
- 【2026-10-25】ほかの金融機関に提供するシステムも点検し、現時点で同様の事象は確認されていない（同上）。
わかっていないこと
- 設定に不備があった「管理機能」が何で、攻撃者がどこから到達できたのか（【2026-10-25追記】限定環境向けの機能が外部から使える状態だったことは判明。機能の名前や到達経路の詳細は未公表）
- 顧客のログインを経ずに、どうやって顧客口座の売買注文を出せたのか
- 不正アクセスが10月14日の検知より前から続いていたか
- 漏洩した「氏名、メールアドレス他」の「他」の中身
- 発注された銘柄や金額、相場への影響
- トレードワークスがシステムを提供するほかの金融機関での最終的な点検結果（【2026-10-25追記】10月23日時点で同様の事象は確認されていない）
- 【2026-10-25追記】損失額の確定値と、サイバー保険でどこまで補われるか
関係しそうな既知の手口
- （考察）顧客の認証（多要素認証・パスキー）は守られていたのに、運営側の管理機能から顧客の情報と注文に届いた。10月に相次いだNewsPicksの業務用管理ツール、楽天ドライブの管理用アカウントの事例と同じく、「利用者の入口」ではなく「運営者の入口」が狙われた形だ。
概要
- ネット証券の取引システムを預かる委託先で、管理機能の設定不備が突かれ、顧客4,975名の情報が漏れた。
- 同じ日に7口座で顧客の知らない売買注文が出され、5口座で約定した。会社は元に戻し、顧客の負担はないとしている。
- 不正取引の事実は、対策が済むまで4日間伏せられ、第2報で公表された。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-14（水） | 岩井コスモ証券が第三者による不正アクセスを検知し、TW社に連絡してアクセス制限などの緊急措置（岩井コスモ証券） |
| 2026-10-14（水） | TW社が同日中に、悪用された管理機能の利用停止、不正に確立された接続の無効化、攻撃元からの通信遮断、対策強化を実施（トレードワークス） |
| 2026-10-14（水） | 売買管理システムへの攻撃も発生、7口座で意図しない売買注文（うち5口座で約定）。対象顧客に個別連絡（岩井コスモ証券 第2報） |
| 2026-10-16（金） | 第1報。漏洩対象4,611名を公表。TW社も適時開示で原因を「管理機能の設定不備」と説明（両社） |
| 2026-10-20（火） | 第2報。対象が4,975名に。不正取引の事実と、TW社が追加した対策を公表（岩井コスモ証券） |
| 2026-10-23（金） | トレードワークスが適時開示（開示事項の経過）。損失見込み約50百万円を第4四半期に特別損失として計上する見込み。原因は限定環境向けの管理機能が外部から利用できた設定不備。他の金融機関のシステムで同様の事象なし（適時開示） |
発表内容の整理
事実（両社の発表）
| 項目 | 内容 |
|---|---|
| 被害を受けたシステム | TW社が岩井コスモ証券に提供するインターネット取引システム |
| 原因 | システムの一部の管理機能の設定不備を第三者が悪用（TW社） |
| 漏洩した情報 | 4,975名の氏名、メールアドレスほか。取引暗証番号は含まれない。これらの情報だけではログインや取引はできない |
| 不正取引 | 10月14日、売買管理システムへの攻撃で7口座に意図しない売買注文、うち5口座で約定。取引前の状態に戻し、顧客負担なし。漏洩した個人情報は使われていない |
| 顧客の認証 | 多要素認証・パスキーなどで通常経路からの不正ログインは防がれていた。管理機能を通じたパスワードの取得は確認されていない（TW社） |
| TW社の追加対策（第2報） | 管理機能のアクセス制限、不正な通信の遮断強化とログイン異常の即時検知、監視体制の強化 |
| 他社への影響 | TW社がシステムを提供する他の金融機関も点検し、同様の不正アクセスは確認されていない |
| 問い合わせ | 岩井コスモ証券 お客様相談室 0120-405-546（平日9時〜17時） |
考察
この事例で目を引くのは、情報の漏洩より、顧客の口座で売買が成立した点だ。顧客のログインは多要素認証とパスキーで守られていたと書かれているので、注文は顧客の画面からではなく、システムの裏側から出されたと読むのが自然だ（考察）。管理機能が顧客に代わって注文を出せる、あるいは注文を出す仕組みに手が届く設計だったとすれば、「利用者の認証をどれだけ強くしても、運営側の機能が開いていれば意味がない」ことを示している。
漏洩件数が4,611名から4,975名に増えた理由は「アクセス記録に加え通信記録も改めて精査した」ためだとされる。アプリのアクセス記録だけでは攻撃者が何を持ち出したかを数えきれず、通信の記録を見て初めて追加の分がわかったということで、ログの種類によって見える範囲が違うことの例になっている（考察）。
不正取引の公表を4日遅らせた判断は、同じ手口の再発を防ぐためと説明されている。対象の顧客には当日に連絡し、取引も元に戻しているので、顧客への説明は先に済んでいた。とはいえ、同じ仕組みを使う他の金融機関や利用者にとっては、手口の性質（注文まで出された）を早く知るほうが点検に役立つ面もある（考察）。
関係しそうな既知の手口
事実（既知の知見・同種事例）
- 大和証券では、問い合わせ管理の委託先（スカラコミュニケーションズ）への不正アクセスで約11万人分が漏えいの可能性となった（大和証券の記事）。
- NewsPicksでは業務用の管理ツールの脆弱性から（NewsPicksの記事）、楽天ドライブでは管理用アカウントの認証情報から（楽天ドライブの記事）、それぞれ大量の情報に届いた。
- JPCERT/CCは10月の注意喚起で、相次ぐ国内の不正アクセスの攻撃類型を示している（各機関の注意喚起の記事）。
考察
- 委託先の「管理機能」は、顧客から見えない攻撃面：証券会社のネット取引は、システムを専門会社に預けるのが一般的だ。顧客向けの認証は証券会社の名前で説明されるが、管理機能の設定は委託先の運用で決まる。委託元が委託先の管理機能の公開範囲や認証をどこまで確かめていたかが、今後の焦点になる（考察）。
- 同じ製品を使う他社への波及：TW社は他の金融機関でも点検を行い、同様の不正アクセスは確認されていないとしている。同じ製品の同じ管理機能が他社でも動いているなら、設定の見直しが他社でも必要になる（考察）。
利用者・運用者がいまできること
事実（発表に基づく）
- 岩井コスモ証券は、同社を装った不審な電話・メールに注意するよう呼びかけている。漏洩した情報だけではログインや取引はできないとしている（岩井コスモ証券）。
- 身に覚えのない連絡や取引は、お客様相談室（0120-405-546）へ（同）。
考察（利用者向け）
- 取引履歴と約定通知を、普段より注意して見る。身に覚えのない注文があれば、すぐ証券会社に連絡する。
- 「不正取引の補償」「口座の確認」をうたうメールのリンクからはログインせず、アプリや公式サイトをブックマークから開く。
考察（運用者向け）
- 委託先が運用する管理機能について、インターネットから到達できるか、接続元を絞っているか、多要素認証があるかを、委託元として確かめる。
- 管理機能から顧客の注文や登録情報を操作できる場合は、その操作を記録し、件数や時間帯の異常で即時に通知が出るようにする。
- アクセス記録だけでなく通信記録も保存しておき、持ち出された量を後から数えられるようにする。