大和証券の委託先への不正アクセス（約11万名・約22万件）：漏れた可能性がある情報と、顧客がやること

同社のホームページによれば、対象の顧客には10月5日に、オンライントレードのお知らせBOXで個別に連絡しています。メールに書かれたリンクからではなく、ブックマークか公式アプリから自分でログインして確認してください。

分からない場合は、専用ダイヤル（0120-851850、午前9時〜午後5時、土日祝日を除く）に問い合わせます。番号は、届いた連絡に書かれたものではなく、同社の公式サイトに載っているものを使います。

漏えいした可能性があるのは、氏名・メールアドレス・口座番号と、問い合わせの内容です。これがそろうと、宛名も口座番号も正しく、過去の問い合わせにも触れた偽の連絡が作れます。

同社はフィッシング対策のページで、メールからオンライントレードにログインしないよう案内しています。「セキュリティ確認」「お詫び」「補償の手続き」といった名目でも、リンクは開かずに、いつものブックマークか公式アプリから入ってください（見分け方は フィッシングとは）。

同社は、不審な連絡に対して取引用ID・パスワード、暗証番号、ワンタイムパスワード等を提供しないよう呼びかけています。電話で「本人確認のため」と言われても同じです。

相手が氏名や口座番号を正しく言えても、それは本物である証拠になりません。今回まさにその情報が漏えいした可能性があるからです。

同社はオンライントレードのログインに、指紋や顔認証を使うパスキー認証を導入しています。パスキーは本物のサイトでしか使えないため、偽サイトにIDとパスワードを入力してしまう被害を防ぎやすくなります（仕組みは パスキーとは、他の方式との比較は 二要素認証の選び方）。

あわせて、ログインや取引・出金、個人情報の変更があったときにメールが届く「操作通知」が有効かを確かめます。同社は2025年5月11日から、原則としてすべての顧客でこの通知を有効にしたとしています。

オンライントレードにログインし、「お手続き・サポート」メニューの「操作履歴」で、最近のログインや手続きを確認できます。

覚えのないログインや取引、登録情報の変更があれば、すぐにパスワードを変えて同社に連絡してください。同じパスワードを他のサービスでも使っているなら、そちらも分けておきます（確認の方法は パスワードが漏れていないか確認する方法）。

問い合わせの本文欄には、顧客が口座番号や生年月日、ときにはパスワードまで書き込むことがあります。本人確認が必要なら、ログイン後の画面から問い合わせてもらい、番号は問い合わせ履歴に保存しない形にします。

最初の1つとしては、フォームの送信時に口座番号や電話番号の形をした文字列を検出し、一部を伏せ字にしてから保存する設定から始めます。問い合わせ管理サービスによっては、こうした機密情報の伏せ字機能や、保存前に内容を加工する機能が用意されています。

問い合わせの履歴は、対応が終わると日々の業務ではほとんど使われませんが、漏えい時には全件が対象になります。どのくらいの期間で古い履歴を消すかを決め、期限が来たら自動で消えるようにします。

委託先に保存している場合は、契約で保存期間と消去の方法を決め、実際に消えているかを年に1回は確認します。契約が終わった後に消えていなかった例は、2026年の事案一覧 のApplyNowの項目にもあります。

問い合わせ管理、メール配信、アンケート、採用など、顧客や応募者のデータを預けている外部サービスを一覧にします。それぞれに、預けている件数と項目、不正アクセスに気づいたときに何時間以内に連絡してもらうかを書き込みます。

件数が多い委託先から順に、管理画面の多要素認証、接続元の制限、大量の出力があったときの通知が設定されているかを確認します（考え方は 認証と認可の違い）。