対象：デジタル社債・デジタル証券（セキュリティトークン）を申し込んだ、または購入した人。とくに銀行口座番号が含まれる可能性のある人。本記事は各社の公式発表にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
デジタル社債・デジタル証券（セキュリティトークン）を申し込んだ、または購入した人。とくに銀行口座番号が含まれる可能性のある人。
- 影響が確認された範囲表で見る ↓
- 丸井グループ（発行体）
- ソニー銀行（販売会社）
- NTTデータ（プラットフォーム提供）
さらに1件
- フィリップ・キャピタル証券（販売会社）
可能性があるとされた項目
- 楽天証券（販売会社）
- カゴメ（発行体）
- 近鉄グループホールディングス（発行体）
さらに2件
- 西日本旅客鉄道（発行体）
- スターツ証券（販売会社）
- 未確認事項
- 原因の詳細（侵入経路・影響範囲）
- 対象者と件数の確定（発行体・販売会社ごとの全体像）
- ほかに公表する発行体・販売会社の有無
さらに2件
- 悪用の被害の有無
- 取引停止・サービス停止の再開時期
- 今やること手順を見る ↓
- 各社を名乗る連絡に応じない
- 各社の個別連絡を、自分で開いて確かめる
- 口座番号が含まれる可能性があるなら、入出金を確認する
さらに3件
- 証券口座のログインを守る（楽天証券の口座がある人）
- ソニー銀行のデジタル証券は、取引の停止中であることを知っておく
- 情報を入力した・お金を送ったときは、すぐ相談する
- 最終確認日時
- 2026年11月14日時点
発表の続報予定と確認の記録
当サイトが公式発表を読んで確認できたのは10社です。ほかにも公表した会社があると報じられていますが、公式発表を確認できていない分は、この記事の表に入れていません。各社とも、現時点で本件に起因する二次被害（不正取引など）は確認されていない、または確認されたとの記載は見当たりません。2026年11月14日に各社のお知らせを確認した範囲で、最後の更新は11月4日（ソニー銀行）でした。
対象者が今日やること
各社を名乗る連絡に応じない
漏えいした可能性があるのは氏名・連絡先などです。丸井グループは、漏えいした情報がなりすましや不審なメール・SMSに悪用されるおそれがあるとして、心当たりのないメールやSMSのURLにアクセスしたり、個人情報を入力したりしないよう呼びかけています。カゴメ、近鉄グループホールディングス、西日本旅客鉄道も、各社を名乗る不審なメール・SMS・電話に注意するよう書いています。
連絡の真偽は、メールのリンクからではなく、自分で公式サイトやアプリを開いて確かめてください。見分け方は フィッシングとは にまとめています。
各社の個別連絡を、自分で開いて確かめる
対象のお客様には、各社から個別に連絡するとしています。カゴメは、販売元の楽天証券にログインした後の「重要なお知らせ」で案内するとしています。西日本旅客鉄道は、販売会社の楽天証券から電子メールなどで連絡するとしています。丸井グループは、該当するお客様に順次個別に連絡するとしています。
連絡の方法を確かめたいときは、記事の下の窓口の表にある、各社の公式の電話番号やメールを使ってください。
口座番号が含まれる可能性があるなら、入出金を確認する
銀行口座番号が含まれる可能性があるのは、丸井グループの54名と、ソニー銀行の4名です。口座の暗証番号やパスワードが漏れたとの記載は、両社の発表にはありません。ただし、口座番号と氏名を知っている相手は、振込を装った連絡を作りやすくなります（当サイトの見解）。銀行アプリや通帳で入出金の明細を確認し、暗証番号やワンタイムパスワードを聞く連絡には応じないでください。
身に覚えのない入金や「誤って振り込んだので返してほしい」という連絡が来ても、自分から送金せず、まず銀行に相談します。口座の作り直しを勧める記載は、両社の発表にはありません。詳しい注意は 全国銀行協会の注意喚起 や 警察庁の注意（どちらも一般の注意で、この件についての記載ではありません）にあります。
ソニー銀行のデジタル証券は、取引の停止中であることを知っておく
ソニー銀行は、デジタル証券の取引は現在停止しており、復旧後に案内するとしています。NTTデータも、デジタル証券プラットフォーム「STdirectServices」の提供を停止し、再開は必要な安全対策を確認してから判断するとしています。停止中の案内を装った連絡に注意してください。
情報を入力した・お金を送ったときは、すぐ相談する
不審な連絡のリンク先で口座や個人情報を入力した、または送金した場合は、すぐに銀行や証券会社に連絡してください。あわせて警察相談専用電話（#9110）や消費者ホットライン（188）にも相談できます。口座やアカウントの不審な動きは 不正アクセスされたか確認する方法 を参照してください。
何が起きたのか（各社の発表より）
複数の発行体・販売会社が、同じ委託先のシステムが不正アクセスを受けたと公表しています。丸井グループ・ソニー銀行・NTTデータなどの発表は、委託先を Securitize Japan と名指ししています。以下は各社の発表の内容です。日付は各社の公表日で、すべて同時に出たわけではありません。
10月29日
委託先のシステムに第三者の不正アクセスがあった。スターツ証券は、委託先による検知日を10月29日としている。フィリップ・キャピタル証券は、同日未明に不正アクセスを受け、同日朝に確認したとしている。丸井グループとNTTデータは、10月29日に不正アクセスがあった（受けた）としている。10月30日
NTTデータから発行体・販売会社へ報告があった（カゴメ、近鉄グループホールディングス、西日本旅客鉄道）。ソニー銀行が、10月30日付でお知らせを掲載した。10月31日
NTTデータが「STdirectServices」の停止を公表（第1報）。楽天証券、スターツ証券、カゴメ、近鉄グループホールディングス、西日本旅客鉄道が公表した。フィリップ・キャピタル証券も最初のお知らせを出し、11月2日の続報で、その中の「漏えいが確認されたお客さま情報の範囲」の記載に誤りがあったとして訂正している。11月2日
丸井グループ（最大9,086名）、NTTデータ（第2報）、パン・パシフィック・インターナショナルホールディングス（第1報）、フィリップ・キャピタル証券（続報、162名）が公表した。ソニー銀行はこの日と11月4日にお知らせを更新している（更新内容の詳細はページに書かれていない）。11月14日
当サイトが各社のお知らせを確認した。上記より新しい発表は、確認した範囲では見当たらなかった。
- 発生
- 2026年10月29日（デジタル社債・デジタル証券の管理システムを提供する業務委託先のシステムへの、第三者による不正アクセス）
- 対象
- デジタル社債・デジタル証券を申し込んだ、または購入した人。発行体・販売会社ごとに件数が違う
- 原因
- NTTデータの第2報：委託先のSaaSの認証機能の脆弱性が悪用されて管理者権限が不正に取得され、情報が持ち出された。詳しい経路・影響範囲は調査中
- 対応
- 委託先はサービスを停止し、不正アクセスの経路を遮断し、不正に取得された管理者権限を無効化した（NTTデータ）。ソニー銀行はデジタル証券の取引を停止中
- 二次被害
- 丸井グループ、ソニー銀行、楽天証券、NTTデータとも、現時点で不正利用や不正取引は確認されていないとしている
分かっていること・分かっていないこと
2026年11月14日時点で、当サイトが公式発表を読んで確認できた10社を整理しました。各社は数え方が違い、発行体と販売会社で同じ購入者が重なる可能性があるため、件数は足し合わせられません。
| 会社（立場） | 公表日 | 対象 | 漏えいした可能性のある項目 | 状態 |
|---|---|---|---|---|
| 丸井グループ（発行体） | 11月2日 | 最大9,086名（漏えいを確認）。うち54名は口座番号まで漏えいした可能性 | 氏名、住所、電話番号、メールアドレス、生年月日、性別、銀行口座番号、投資口数 | 漏えいを確認（最大9,086名。うち口座番号は54名が可能性）（同社） |
| ソニー銀行（販売会社） | 10月30日（11月2日・4日に更新） | 621名 | 4名：氏名、住所、生年月日、口座番号。617名：氏名 | 確認済み（同社） |
| NTTデータ（プラットフォーム提供） | 10月31日（第1報）、11月2日（第2報） | 社債購入者（区分別に111名と2,678名）と、システム利用担当者（人数は調査中） | 発行体2社分111名：氏名、住所、電話番号、メールアドレス、性別、生年月日。発行体1社分2,678名：カナ氏名、社債購入数量、メールアドレス。担当者：氏名、メールアドレス | 確認済み（同社） |
| 楽天証券（販売会社） | 10月31日 | 延べ362件（カゴメ・西日本旅客鉄道・近鉄グループホールディングスの3銘柄。銘柄別の内訳は記載なし） | 項目は調査中。ログインIDとパスワード、取引に必要な各種情報は含まれない | 可能性（同社） |
| カゴメ（発行体） | 10月31日 | 購入者5,472名のうち109名 | 氏名、住所、電話番号、メールアドレス、性別、生年月日 | 可能性（同社） |
| 近鉄グループホールディングス（発行体） | 10月31日 | 第135回無担保社債を100万円以上購入した人の2,678件 | 氏名、購入金額。証券口座番号とパスワードなどは保持していない | 可能性（同社） |
| 西日本旅客鉄道（発行体） | 10月31日 | 2件 | 氏名、住所、電話番号、メールアドレス、性別、生年月日 | 可能性（同社） |
| スターツ証券（販売会社） | 10月31日 | 件数の記載なし | 氏名、保有口数。住所・電話番号・メールアドレスなどの連絡先と認証情報へのアクセスは、現時点で確認されていない | 可能性（同社） |
| フィリップ・キャピタル証券（販売会社） | 10月31日、11月2日（続報） | 映画デジタル証券の購入者162名 | 氏名、取引数量 | 確認済み（同社） |
| パン・パシフィック・インターナショナルホールディングス（発行体） | 11月2日（第1報） | 調査中 | 漏えいの有無、対象、内容とも調査中 | 記載なし |
原因については、NTTデータが、委託先のSaaSの認証機能の脆弱性が悪用されたとしています（状態：一部確定、NTTデータの発表）。詳しい侵入経路は調査中です。委託先自身の発表は、2026年11月14日に委託先の公式サイトのトップページを確認した範囲では見当たりません（状態：記載なし）。
会社ごとの窓口（各社の発表に載っているもの）
| 会社 | 窓口 |
|---|---|
| 丸井グループ | お客様窓口 0120-659-757（10:00〜18:00、水曜・日曜を除く）、メール maruigroup-socialbond@0101.co.jp |
| ソニー銀行 | 不正利用緊急ダイヤル 0120-365-738（9:00〜17:00、土日祝日を含む） |
| カゴメ | 財務・IR部／コーポレートコミュニケーション部 03-5623-8503（平日9:00〜17:00） |
| 近鉄グループホールディングス | 総合政策本部 06-6775-3472（平日10:00〜17:00） |
| 西日本旅客鉄道 | 経営戦略本部 06-6375-8939（平日9:30〜17:00） |
| スターツ証券 | 証券事業部 03-3686-2511 |
| フィリップ・キャピタル証券 | 0120-883-301（平日9:00〜17:00） |
| パン・パシフィック・インターナショナルホールディングス | メール info-securitytoken@ppih-group.com |
| 楽天証券 | 本件専用の窓口は記載なし。サイト内のお問い合わせから |
| NTTデータ | 広報部（報道向け）メール nttdata-pr-inquiries@am.nttdata.co.jp |
委託先経由の事故で、対象者にとって何が違うか
今回は、顧客が直接契約した会社（発行体や販売会社）のシステムではなく、その先の委託先のシステムが不正アクセスを受けました。丸井グループは現時点で自社システムからの漏えいは確認されていないとし、フィリップ・キャピタル証券は自社システムへの不正アクセスや自社管理情報の漏えいではないとしています。次の表は、一般にこうした項目の組み合わせで起こり得ることです。この件で実際に起きたという意味ではありません。
| 漏えいした可能性のある項目 | 一般に起こり得ること | 対象者の行動 |
|---|---|---|
| 氏名＋メールアドレス＋電話番号 | 社債の発行体や販売会社を名乗る、本物らしいメール・SMS・電話 | リンクを開かず、公式サイトやアプリで確認する |
| 氏名＋生年月日＋住所 | 「本人確認」を名目にした、残りの情報の聞き出し | 生年月日を言い当てられても答えない |
| 銀行口座番号＋氏名 | 振込を装った連絡、「誤って振り込んだ」と返金を求める連絡 | 自分から送金せず、銀行に相談する |
| 氏名＋投資口数・購入金額 | 資産のある人を狙った勧誘や、償還・特典を装った連絡 | 償還や特典の案内は、発行体の公式サイトで確認する |
漏えいした可能性があるもの
- 氏名、住所、電話番号、メールアドレス、生年月日、性別（会社による）
- 投資口数・購入数量・購入金額（会社による）
- 銀行口座番号（丸井グループの54名、ソニー銀行の4名）
各社の発表の範囲で、含まれないとされているもの
- クレジットカード情報（丸井グループ。委託先に委託していないため漏えいなし）
- ログインIDとパスワード、取引に必要な各種情報（楽天証券）
- 証券口座番号とパスワードなどの金融取引に関する情報（近鉄グループホールディングス。保持していない）
発行体・販売会社が見直すこと：委託先の管理者権限
原因の詳細は調査中のため、ここでは公表された事実から言えることだけを書きます。
- 委託先の管理者権限を点検する：NTTデータは、委託先のSaaSで管理者権限が不正に取得されたとしています。一般に、委託先が管理者権限で見られる顧客情報の範囲と、その権限の認証の強さは、委託元から確認できます。
- 委託先に預ける項目を絞る：同じ委託先でも、近鉄グループホールディングスは証券口座番号とパスワードを保持しておらず、丸井グループはクレジットカード情報を委託先に委託していないとしています。預けない項目は、漏えいしません。
- 公表の窓口と日付をそろえる：今回は発表が10月30日〜11月4日に分かれ、委託先自身の発表は見当たりません。委託先が止まったときに、誰がいつ何を知らせるかを、契約前に決めておくと、利用者への連絡が早くなります。
出典（公開記録）
本記事の事実関係は、以下の公式発表にもとづきます（いずれも日本語）。公表されていない原因の詳細は推測していません。
- 丸井グループ「デジタル社債の管理に関する外部委託先企業への不正アクセスによるお客さまの情報漏えいについて」（2026年11月2日） — 0101maruigroup.co.jp
- ソニー銀行「デジタル証券の外部委託先への不正アクセスによる情報漏洩」（2026年10月30日、11月2日・4日更新） — sonybank.jp
- NTTデータ「STdirectServicesのサービス停止について（第2報）」（2026年11月2日） — nttdata.com
- 楽天証券「外部サービス提供元への不正アクセスによるお客様情報漏えいの可能性について」（2026年10月31日） — rakuten-sec.co.jp
- スターツ証券「不正アクセスによる個人情報流出の可能性について」（2026年10月31日） — starts-sc.com
- フィリップ・キャピタル証券「外部委託先への不正アクセスによるお客様情報漏えい（続報）」（2026年11月2日） — phillip.co.jp
- カゴメ「当社デジタル特典付き社債を購入されたお客様の個人情報漏えいの可能性と当社の対応について」（2026年10月31日、PDF） — kagome.co.jp
- 近鉄グループホールディングス「外部サービスへの不正アクセスによる投資家様情報漏えいの可能性について」（2026年10月31日、PDF） — 近鉄グループホールディングスのお知らせ（PDF）
- 西日本旅客鉄道「外部サービスへの不正アクセスによる投資家様情報漏えいの可能性について」（2026年10月31日、PDF） — westjr.co.jp
- パン・パシフィック・インターナショナルホールディングス「当社が発行したデジタル社債管理システムへの不正アクセスの発生に関するお詫びとお知らせ（第1報）」（2026年11月2日、PDF） — ppih.co.jp
更新履歴
2026-11-14：初版。丸井グループ（11月2日）、ソニー銀行（10月30日、11月2日・4日更新）、NTTデータ（11月2日）、楽天証券・スターツ証券・カゴメ・近鉄グループホールディングス・西日本旅客鉄道（10月31日）、フィリップ・キャピタル証券（11月2日）、パン・パシフィック・インターナショナルホールディングス（11月2日）の発表にもとづく。同日に各社のお知らせを確認し、11月4日より新しい更新は見当たらなかった。ほかにも公表した会社があると報じられているが、公式発表を確認できた分だけを表に入れている。
次に読む
- 偽の連絡の見分け方：フィッシングとは ／ パスキーとは
- ログインの守り方：二要素認証の選び方
- 口座やアカウントの不審な動き：不正アクセスされたか確認する方法
- 同じ型（委託先経由）の証券の事案：大和証券の委託先への不正アクセス（約11万名）
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）