要点
発表された事実
- NTTデータは2026年10月31日、デジタル特典付き社債の購入者向け特典を支える「STdirectServices」で、委託先が提供するSaaSが不正アクセスを受け、個人情報が流出した可能性があると発表した。同サービスは停止した。現在対象となっている社債はなく、特典の運用への影響はないとしている（NTTデータ）。
- 楽天証券は同日、10月30日に発生した委託先への不正アクセスで、デジタル特典付き社債3銘柄の購入者の情報延べ362件が流出した可能性があると公表した。ID・パスワードと取引情報は含まれず、不正ログインや不正取引は確認されていない。原因は委託先が調査中（楽天証券）。
- 近鉄グループホールディングスは、第135回社債を100万円以上購入した投資家2,678人の氏名と購入金額が流出した可能性があると公表した（日本経済新聞、MUFGモルガン・スタンレー証券）。
- MUFGモルガン・スタンレー証券は、自社の顧客95人の氏名と購入金額が対象で、口座番号やパスワードは含まれないとしている（MUFGモルガン・スタンレー証券）。
わかったこと
- 【2026-11-02追記】JR西日本は10月31日、第80回無担保社債（2024年6月19日発行）の投資家2件の氏名、住所、電話番号、メールアドレス、性別、生年月日が漏えいした可能性があると公表した。10月30日にNTTデータから、「デジタル証券プラットフォーム」内の情報が外部に持ち出された可能性があると報告を受けた。対象者には販売会社の楽天証券から個別に連絡している（JR西日本（PDF））。
- 【2026-11-02追記】SBI証券は、近鉄GHD第135回社債を同社で購入した対象顧客が1,169名で、漏えいした可能性のある情報は氏名と購入金額だと公表した。同社のシステムが不正アクセスを受けたものではないとしている（SBI証券）。
- 【2026-11-02追記】野村證券も10月31日、デジタル特典付き社債の購入者の顧客管理業務の一部をNTTデータの委託先が担っており、一部の顧客の情報が漏えいした可能性があると公表した。漏えいした可能性のある情報の内容は確認中で、口座番号やパスワードは含まれず、不正利用も確認されていない（野村證券）。
- 【2026-11-02追記】クレディセゾンは10月31日、不動産セキュリティ・トークン「セゾンのスマート不動産投資」の外部委託先の会員管理プラットフォームに10月29日3時42分〜6時17分に不正アクセスがあり、1,889名の情報が漏えいしたと公表した。外部からアクセスできた認証の仕組みの不備が悪用されたと委託先から報告を受けたという。委託先の名称や、NTTデータ側の件との関係は書かれていない（クレディセゾン）。
- 【2026-11-03追記】NTTデータは11月2日の第2報で、委託先はSecuritize JapanのSaaSで、10月29日に第三者がシステムの認証機能の脆弱性を悪用して管理者権限を不正に取得し、システム内の情報を持ち出したと公表した。Securitize Japanはサービスを止め、侵入経路の遮断と不正に取られた管理者権限の無効化を行った（NTTデータ 第2報）。
- 【2026-11-03追記】第2報時点で漏えいを確認したのは、発行体2社分の社債購入者計111名（氏名、住所、電話番号、メールアドレス、性別、生年月日）、発行体1社分の2,678名（カナ氏名、社債購入数量、メールアドレス）、発行体・金融機関のシステム利用担当者（氏名、メールアドレス、人数は調査中）。111名分はSTdirectServicesの提供前にNTTデータが個別に提供していたサービスの情報。漏えいした情報の不正利用は確認されていない（同）。日本経済新聞は、2,678名は近鉄GHD、111名はJR西日本とカゴメの社債購入者だと報じた（日本経済新聞）。
- 【2026-11-03追記】丸井グループは11月2日、デジタル社債の管理業務を委託するSecuritize Japanのサーバーが10月29日に不正アクセスを受け、デジタル社債の申し込みのためにアカウントを作った顧客最大9,086名の氏名、住所、電話番号、メールアドレス、生年月日、性別、投資口数が漏えいしたと公表した。うち54名は銀行口座番号も漏えいした可能性がある。クレジットカード情報は委託しておらず、二次被害は確認されていない（丸井グループ）。
- 【2026-11-03追記】パン・パシフィック・インターナショナルホールディングス（PPIH）も11月2日、デジタル社債の申し込み・登録情報などを管理する委託先Securitize Japanのシステムで10月29日に不正アクセスを確認し、システムを止めたと公表した（第1報）。顧客情報の漏えいの有無と対象は調査中。グループの店舗や会員サービスへの不正アクセスは確認されていない（PPIH（PDF））。
わかっていないこと
- 委託先の名称と、SaaSが侵害された経路・原因（【2026-11-03追記】委託先はSecuritize Japanで、認証機能の脆弱性を悪用して管理者権限が取られたと第2報で判明。脆弱性の詳細は未公表）
- 影響を受けた社債・発行体・証券会社の全体と総件数（【2026-11-02追記】JR西日本2件、SBI証券1,169名が判明。野村證券は件数・項目とも確認中）（【2026-11-03追記】NTTデータ関連で計2,789名を確認。丸井グループのデジタル社債で最大9,086名。PPIHは調査中。Securitize Japanの他の顧客を含めた全体は未公表）
- 実際に持ち出されたデータがあるか（【2026-11-03追記】第2報で、システム内の情報の持ち出しを確認したと公表された）
- フィリップ・キャピタル証券が同日公表したデジタル証券の委託先での不正アクセスと、同じ委託先か（【2026-11-02追記】クレディセゾンも10月29日に委託先で起きた不正アクセスを公表したが、委託先の名称や関係はどちらも書かれていない）
- STdirectServicesの再開時期
関係しそうな既知の手口
- （考察）発行体、証券会社、基盤の運営会社、その委託先とデータが渡っていく構造のため、一つのSaaSの侵害が複数の会社の顧客に同時に及んでいる。
概要
- NTTデータのデジタル証券関連サービスの委託先SaaSが不正アクセスを受け、社債購入者の情報が流出した可能性がある。
- 楽天証券、近鉄GHD、MUFGモルガン・スタンレー証券などが自社顧客への影響をそれぞれ公表した。
- 対象は主に氏名と購入金額で、口座番号やパスワードは含まれないとされるが、委託先名と原因は公表されていない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-29（木）3:42〜6:17 | クレディセゾン「セゾンのスマート不動産投資」の外部委託先の会員管理プラットフォームに不正アクセス。同日22時に会員プラットフォームを緊急停止（クレディセゾン。NTTデータ側の件との関係は不明） |
| 2026-10-30（金） | NTTデータがJR西日本や野村證券などに、デジタル証券プラットフォームへの不正アクセスと情報持ち出しの可能性を報告（JR西日本（PDF）、野村證券） |
| 2026-10-31（土） | NTTデータがSTdirectServicesの停止を発表。楽天証券、近鉄GHD、MUFGモルガン・スタンレー証券、SBI証券、野村證券、JR西日本、クレディセゾンが相次いで公表（各社の発表） |
| 2026-11-02（月） | NTTデータが第2報で委託先をSecuritize Japanと公表し、認証機能の脆弱性を悪用した管理者権限の不正取得と情報の持ち出し（計2,789名分ほか）を確認。丸井グループが最大9,086名、PPIHが調査中と公表（NTTデータ 第2報、丸井グループ、PPIH（PDF）） |
| 時期 | 出来事 |
|---|---|
| 2026-10-29（木） | フィリップ・キャピタル証券のデジタル証券の委託先が異常を検知し、同日不正アクセスを特定（フィリップ・キャピタル証券）。NTTデータ側の件と同じかは不明 |
| 10-30（金） | 委託先への不正アクセスが発生（楽天証券） |
| 10-31（土） | NTTデータがSTdirectServicesの停止を発表。楽天証券、MUFGモルガン・スタンレー証券、近鉄GHD、フィリップ・キャピタル証券などが公表（各社） |
発表内容の整理
事実（各社の発表による）
| 発表元 | 対象 | 情報の項目 |
|---|---|---|
| 楽天証券 | 延べ362件。カゴメ第1回（2023年2月21日発行、一部顧客）、JR西日本第80回（2024年6月19日発行、一部顧客）、近鉄GHD第135回（2026年7月24日発行、100万円以上の購入者） | ID・パスワード、取引情報は含まれない |
| 近鉄GHD | 第135回社債を100万円以上購入した投資家2,678人 | 氏名、購入金額 |
| MUFGモルガン・スタンレー証券 | 自社顧客95人 | 氏名、購入金額（口座番号・パスワードは含まれない） |
| SBI証券 | 近鉄GHD第135回社債の購入者1,169名 | 氏名、購入金額 |
| JR西日本 | 第80回社債の投資家2件 | 氏名、住所、電話番号、メールアドレス、性別、生年月日 |
| 野村證券 | デジタル特典付き社債の一部購入者（件数確認中） | 確認中（口座番号・パスワードは含まれない） |
| 丸井グループ（【2026-11-03追記】） | 自社デジタル社債の申し込み用アカウントを作った顧客最大9,086名（うち銀行口座番号まで54名） | 氏名、住所、電話番号、メールアドレス、生年月日、性別、投資口数（一部は銀行口座番号） |
| PPIH（【2026-11-03追記】） | 調査中 | 調査中 |
楽天証券は、自社口座への不正ログインや不正取引は確認されていないとしたうえで、ログイン時のパスキー認証を必須にすると案内している（楽天証券）。
事実（フィリップ・キャピタル証券の発表による）
フィリップ・キャピタル証券は10月31日、デジタル証券の委託先で10月29日に異常を検知し、同日不正アクセスを特定したと公表した。対象は、氏名・取引数量・保有数量・国・取引日時が162人、投資家ID・氏名・メール・生年月日・ステータス・登録日が100人、氏名・メール・住所・国が1人。銀行口座の情報は含まれず、不正取引はないとしている（フィリップ・キャピタル証券）。委託先の名称や、NTTデータ側の件との関係は書かれていない。
考察
デジタル特典付き社債は、購入額に応じて発行体のサービス（優待や特典）を受け取れる仕組みで、特典を配るために購入者の氏名と購入金額が発行体側の仕組みへ渡る。今回の流出はまさにその受け渡し部分で起きたように見える（考察）。
購入金額と氏名の組み合わせは、資産を持つ人の名簿として投資詐欺の勧誘に悪用されやすい。パスワードが含まれないとしても、証券会社や発行体を名乗る連絡には注意が要る（考察）。
関係しそうな既知の手口
事実（既知の知見）
- 国内では2026年10月、委託先やSaaSを経由した個人情報の流出の公表が相次いでいる（JPCERT/CC）。
考察
複数の会社が同じ基盤を共同で使う場合、利用者からはどこにデータが預けられているか見えにくく、どの会社が通知や調査の主体になるかも分かれやすい。今回も各社がそれぞれの範囲で公表しており、全体像はNTTデータか委託先の続報を待つ必要がある（考察）。
利用者・運用者がいまできること
- デジタル特典付き社債を購入した人は、購入した証券会社の告知を確認する。社債や特典を理由に投資や送金を勧める連絡には応じない。
- 証券会社が案内しているパスキーなどの強い認証を設定する。
- 共同利用の基盤を使う事業者は、委託先・再委託先にどの項目を渡しているか、侵害時に誰が通知するかを契約で確認しておく。