要点
発表された事実
- 2026年10月18日、マネックス証券の一部の口座開設システムを運営・管理する外部委託先が、同システムへの第三者による不正アクセスの試みを確認した。連絡を受けた同社は10月19日に外部からのアクセスを遮断し、一部の口座開設を止めている（マネックス証券 11月13日発表）。
- 外部の専門機関によるフォレンジック調査の中間報告で、個人情報の一部が外部に漏えいしたおそれがあると判明した（同）。
- 漏えいのおそれがあるのは、2019年10月16日以降にオンライン口座開設申込の最初の手続きで登録されたメールアドレス最大113万件（重複・不完全なもの、口座開設を完了しなかった人の分を含む）と、「撮影が必要な方式」で提出された本人確認書類画像1,592件。画像にはマイナンバーカードの表面、運転免許証の表面・裏面、セルフィー画像が含まれる（同）。
- 画像1,592件は、現時点でどのデータが対象か個別に特定できていない。マイナンバー（カード裏面）と、公的個人認証方式で申し込んだ人の情報の漏えいは確認されていない（同）。
- 口座番号・ログインパスワード・取引パスワードは同じデータベースに含まれておらず、漏えいしていないことを確認したという。対象システムは口座情報・残高・取引を管理する基幹システムとは別系統で、不正取引や資産への影響は確認されていない（同）。
- ウェブサイトとアプリからの口座開設を停止しており、郵送申込は可能と報じられている（INTERNET Watch）。
わかっていないこと
- 不正アクセスの原因と侵入経路。「試み」を確認した段階から、どのように漏えいのおそれにつながったのか。
- 外部委託先の名称と、同じ委託先・システムを使う他の事業者への影響。
- 漏えいした画像1,592件が誰のものか。メールアドレス件数の確定値。
- 口座開設サービスの再開時期。
関係しそうな既知の手口
- （考察）口座開設や本人確認（eKYC）の工程は本人確認書類の画像を集める仕組みのため、その工程を受け持つ委託先のシステムが侵害されると、書類画像がまとまって漏れる。今回の侵入手口は公表されておらず、既知の手口との関係はわからない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2019-10-16 | 漏えいのおそれがあるメールアドレスの登録期間の始まり | マネックス証券 |
| 2026-10-18 | 外部委託先が口座開設システムへの不正アクセスの試みを確認 | 同 |
| 2026-10-19 | マネックス証券が同システムへの外部アクセスを遮断、一部の口座開設を停止 | 同 |
| 2026-11-13 | フォレンジック調査の中間報告を受け、漏えいのおそれを公表 | 同 |
発表内容の整理
事実（マネックス証券の11月13日の発表による）
| 項目 | 内容 |
|---|---|
| 対象システム | 外部委託先が運営・管理する一部の口座開設システム（基幹システムとは別系統） |
| メールアドレス | 最大113万件（2019年10月16日以降、オンライン口座開設の最初の手続きで登録されたもの） |
| 本人確認書類画像 | 1,592件（マイナンバーカード表面、運転免許証の表裏、セルフィー）。個別の特定は調査中 |
| 漏えいが確認されていないもの | 口座番号、ログイン・取引パスワード、マイナンバー、公的個人認証方式の申込情報 |
| 被害 | 不正取引・資産への影響、フィッシング等の被害報告は確認されていない |
| 対応 | 10月19日にネットワークから遮断。漏えいが確認された人に順次個別連絡 |
考察
- メールアドレスの範囲が「最初の手続き」で登録されたものに限られ、未完了の申込も含むことから、申込の入口で使う受付データベースが対象になったと読める。口座を開かなかった人も対象になり得るため、「自分は顧客ではない」と考える人にも通知が届く可能性がある。
- 書類画像は件数こそ少ないが、免許証の表裏とセルフィーの組み合わせは、他サービスでのなりすまし申込に使われ得る。対象が特定されていない現状では、該当し得る人が自分から確かめる手段がない。
- 検知（10月18日）から公表（11月13日）までに約4週間かかっている。中間報告を待って公表した形で、原因や委託先はまだ示されていない。
利用者・運用者がいまできること
- 利用者：マネックス証券や金融機関を名乗るメール・SMSのリンクは開かない。同社はメールやSMSでログインを促さず、パスワードの入力も求めないとしている。
- 2019年10月以降に同社でオンライン口座開設を申し込んだ（途中でやめた場合を含む）人は、同社からの個別連絡を確認する。
- 運用者：eKYCや申込受付を委託している場合、委託先に保存される書類画像の保存期間と削除の運用を確認する。申込完了後に画像を委託先に残す必要があるかを見直す。