目次
対象：岩井コスモ証券でインターネット取引をしている人と、取引システムの運用を外部に任せている金融機関・事業者。本記事は岩井コスモ証券株式会社と岩井コスモホールディングス株式会社の公式発表にもとづく解説で、攻撃手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月23日時点まだ分かっていないこと
- 不正アクセスと売買管理システムへの攻撃の具体的な手口
- 漏えいした項目のうち「他」の内訳
- 意図しない売買注文の金額・銘柄
10月20日の第2報で、対象の人数が4,975名に増え、7口座での意図しない売買注文が公表されました。同社は、新たに判明した事実は速やかに知らせるとしています。10月23日時点で、第3報は見当たりません。同社のホームページ（www.iwaicosmo.co.jp）は10月23日時点で緊急メンテナンス中の表示になっており、第2報のページはインターネットアーカイブ（Wayback Machine）の保存版で内容を確認しました。
岩井コスモ証券の顧客が今日やること
同社が顧客に求めていることと、当サイトが一般的にすすめることを分けて書きます。各手順の見出しの後ろに、どちらかを示しています。
同社を名乗る電話・メールのリンクや番号を使わない（同社の注意喚起）
同社は、同社を装った電話やメール等が発生する可能性があるとして、注意を呼びかけています。漏えいしたのは氏名とメールアドレス等なので、宛名が正しく、同社の顧客だと分かったうえで送られてくる偽の連絡が考えられます。
「不正取引の確認」「補償の手続き」「セキュリティ確認」といった名目でも、届いたメールのリンクは開かず、届いた連絡に書かれた電話番号にもかけないでください（見分け方は フィッシングとは）。
ブックマークのログイン画面から入り、お知らせを確かめる（同社の個別連絡）
同社は、第1報の4,611名には10月16日までに個別に報告し、第2報で加わった364名にはログイン後のお知らせ画面とメールで個別に連絡したとしています。メールのリンクではなく、自分で登録したブックマークか、いつもの入口からログインして確かめてください。
同社のホームページは10月23日時点で緊急メンテナンス中で、その画面ではネット取引のログイン画面を「お気に入り」に直接登録しておくよう案内しています。同社のネット取引サイトによれば、このメンテナンスは10月21日に公表されたPHPの脆弱性への対策のためで、不正アクセスやサイバー攻撃によるものではないとしています（PHPの脆弱性は PHPの重大な脆弱性の解説）。
注文と約定の履歴を見る（当サイトのすすめ）
同社は、意図しない売買注文があった7口座の顧客には10月14日に個別に連絡し、すでに取引前の状態に戻す措置を完了したとしています。連絡を受けていない人も、念のため最近の注文・約定の履歴と、登録情報に覚えのない変更がないかを見ておくと安心です。
覚えのない注文や変更があれば、同社が案内するとおり、お客様相談室に連絡してください。
パスワードと取引暗証番号は誰にも伝えない（当サイトのすすめ）
同社は、漏えいした情報に取引暗証番号は含まれず、この情報では口座へのログインや取引はできないとしています。裏を返すと、偽の連絡が次に聞き出そうとするのはログインのパスワードと取引暗証番号です。
電話で「本人確認のため」と言われても伝えないでください。同じパスワードを他のサービスでも使っているなら、分けておきます（確認の方法は パスワードが漏れていないか確認する方法、追加の守りは 二要素認証の選び方）。
問い合わせは公式発表に載っている窓口へ（同社の案内）
発表に載っている窓口は、岩井コスモ証券のお客様相談室、電話 0120-405-546（受付時間：平日9時〜17時）です。同社は、ご不明な点やご不安な点はこの窓口に連絡するよう案内しています。
番号は、届いたメールやSMSに書かれたものではなく、この記事の出典に挙げた公式の発表で確かめたものを使ってください。
何が起きたのか（岩井コスモ証券の発表より）
以下は、同社の2026年10月16日の発表（岩井コスモホールディングスの適時開示）と10月20日の第2報にもとづきます。委託先は、同社が「当社インターネット取引のシステム運用・保守業務を委託している」と説明する事業者です。
2026年10月14日
同社が第三者による不正アクセスを検知し、直ちに委託先に連絡してアクセス制限等の緊急措置を講じた。同じ日に売買管理システムへの攻撃も発生し、7口座で顧客の意図しない売買注文が発注された（うち5口座で約定）。対象の顧客には同日、個別に連絡した。10月16日
第1報を公表（親会社の適時開示）。漏えいは4,611名の氏名、メールアドレス他とした。対象者には個別に報告済みとし、問い合わせ窓口を開設した。10月20日
第2報を公表。アクセス記録と通信記録の再調査で364名が加わり、4,975名とした。売買注文の件もこの日に公表した。10月23日時点
同社のホームページが緊急メンテナンス中の表示になっている。同社のネット取引サイトは、PHPの脆弱性への対策のためで、不正アクセスやサイバー攻撃によるものではないとしている（10月23日に確認）。
- どこから
- 同社がインターネット取引のシステム運用・保守業務を委託している事業者のシステム
- 対象
- インターネット取引の顧客4,975名（第1報の4,611名に、再調査で判明した364名を追加）
- 項目
- 氏名、メールアドレス他。364名の分も、第1報で知らせた内容の範囲内としている
- 含まれないもの
- 取引暗証番号。同社は、この情報では口座へのログインや各種取引はできないとしている
- 追加分の扱い
- 10月14日の不正アクセスの際に生じていたものを再調査で把握したもので、その後に新たな不正アクセスや漏えいが起きたものではないとしている
- 不正な注文
- 10月14日に売買管理システムへの攻撃が発生し、7口座で意図しない売買注文が発注（うち5口座で約定）。取引前の状態に戻し、顧客の負担は生じていないとしている
- 個人情報との関係
- 同社は、今回の不正取引に漏えいした個人情報は使われていないとしている
- 公表の時期
- 10月16日の時点では、同様の被害を防ぐ対策を段階的に進めていたため、手口につながる情報の公表を控えていたと説明している
- 原因と対策
- 原因となった箇所の特定と修正は完了したとしている。委託先で、管理機能のセキュリティ強化（アクセス制限）、不正な通信を遮断する仕組みの強化とログインの異常を即時に検知する仕組みの追加、監視体制の強化が行われたことを確認したとしている
- 他の金融機関
- 委託先によれば、委託先が他の金融機関に提供しているシステムも点検し、同様の不正アクセスは確認されていないとしている
- 問い合わせ
- お客様相談室 0120-405-546（平日9時〜17時）
分かっていること・分かっていないこと
2026年10月23日時点の状態です。続報が出たら、この表の状態欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 漏えいの人数 | 4,975名（第1報4,611名＋再調査で364名） | 漏えいを確認（同社） |
| 漏れた項目 | 氏名、メールアドレス他 | 漏えいを確認（同社） |
| 「他」の内訳 | 公表されていない | 記載なし |
| 取引暗証番号 | 漏えいした情報に含まれない | 含まれない（同社） |
| ログインパスワード | 個別の記載はない（この情報ではログインや取引はできないとしている） | 記載なし |
| 意図しない売買注文 | 7口座で発注、うち5口座で約定。取引前の状態に戻す措置は完了（10月20日の第2報） | 確定（同社） |
| 顧客の負担 | 生じていない | 確定（同社） |
| 不正取引と漏えい情報の関係 | 漏えいした個人情報は使われていない | 確定（同社） |
| 注文の金額・銘柄 | 公表されていない | 記載なし |
| 原因となった箇所 | 特定と修正は完了。具体的な手口は公表されていない | 記載なし |
| 他の金融機関への影響 | 委託先の点検で、同様の不正アクセスは確認されていない | 確認されていない（委託先） |
| 二次被害 | 10月16日の第1報で「確認されておりません」 | 確認されていない（同社） |
委託先のシステムへの不正アクセス
↓→
氏名・メールアドレス他が漏えい（4,975名）
→ 偽の電話・メールのリンクや番号を使わない
売買管理システムへの攻撃（同じ10月14日）
↓→
7口座で意図しない売買注文（うち5口座で約定）
→ 取引前の状態に戻し済み（同社）。念のため注文・約定の履歴を見る
不正な注文に、漏えいした個人情報は使われていない（同社の説明）
同社は、意図しない売買注文は売買管理システムへの攻撃によるもので、漏えいした個人情報は使われていないとしています。つまり、名前とメールアドレスが漏れたことが原因で注文が出たのではない、という説明です。
一方で、漏れた氏名とメールアドレスは、これから届く偽の連絡に使われるおそれがあります。注文の件が片付いていても、連絡への注意は続けてください。
漏れた項目の組み合わせで起きうること
一般に、次の組み合わせがそろうと、次のような悪用が起きえます。今回それが起きたという意味ではありません。
- 氏名＋メールアドレス：宛名の正しい偽のメールが作れる。「岩井コスモ証券の顧客である」ことも分かるので、件名に事件や補償を絡めた連絡が届きやすくなる
- 事件が報道されたという事実：「不正な注文の確認」「返金の手続き」など、本物の発表に近い名目の電話やメールが作りやすくなる
- 偽サイトで入力したログインID・パスワード・取引暗証番号：ここまでそろうと、口座に入られて取引されるおそれがある。今回漏れたのはここではないが、偽の連絡が狙うのはこの部分
金融庁は、証券会社を装った偽サイトで盗まれたログイン情報による不正取引の被害について、一般の注意を呼びかけています（金融庁の注意喚起）。これは今回の事案についての注意ではなく、証券口座全般についての注意です。
過去の例では、大和証券の委託先の事案 で、委託先側の発表によって同じサーバーを使う他社への影響が後から分かりました。今回は、委託先が他の金融機関向けのシステムを点検し、同様の不正アクセスは確認されていないとしています。
取引システムの運用を外部に任せている金融機関へ
具体的な手口は公表されていないため、ここでは侵入の防ぎ方には踏み込みません。公表された経緯から言えるのは、同社が、意図しない注文は売買管理システムへの攻撃で出たもので、漏えいした個人情報は使われていないと説明している点です。委託先の追加対策の先頭には「管理機能のセキュリティ強化（アクセス制限）」が挙がっています。以下は、この公表内容を手がかりにした一般的な見直しの点で、今回の原因を示すものではありません。
委託先のシステムにある管理機能を一覧にし、誰がどこから使えるかを書き出す
一般に、取引システムには、顧客の画面とは別に、運用・保守の担当者が使う管理機能があります。顧客のログインに多要素認証を入れても、管理機能の側の守りは別に確かめる必要があります。
最初の1つとして、委託先に「管理機能の一覧」「使えるアカウント」「接続できる場所（IPアドレスなど）の制限」を出してもらい、インターネットから直接使える管理機能がないかを確かめます。
顧客の操作でない注文を、その場で検知できるようにする
同社は、不正アクセスを当日に検知し、注文が出た顧客にも当日連絡しています。一般に、注文が顧客のログインを経ずに出た場合や、ふだんと違う経路・時間帯・件数で出た場合に、すぐ通知が届く仕組みがあると、取り消しや連絡を早くできます。
委託先の追加対策にも「ログインに関する異常を即時に検知する仕組みの追加」と「監視体制の強化（定時の点検と異常時の即時対応）」があります。自社の側でも、通知を誰が受け、何分以内に誰が判断するかを決めておきます。
同じ委託先を使う他社の点検結果を、自社でも受け取る
取引システムの運用・保守は、1つの事業者が複数の金融機関から請け負っていることがあります。今回、委託先は他の金融機関向けのシステムも点検したとしています。
同じ委託先を使っているなら、自社の環境についての点検の結果と範囲（どの期間の記録を、何を基準に見たか）を書面で受け取っておきます。委託先の管理の考え方は 認証と認可の違い も参考になります。
出典（公開記録）
本記事の事実関係は以下の公開情報にもとづきます。公表されていない侵入の手口や原因は推測していません。
- 岩井コスモホールディングス株式会社「岩井コスモ証券 外部委託先への不正アクセスに伴うお客様情報の漏洩について」（2026年10月16日、適時開示。別紙に岩井コスモ証券の発表を含む） — iwaicosmo-hd.jp（PDF）
- 岩井コスモホールディングス プレスリリース「外部委託先への不正アクセスに伴うお客様情報の漏洩について」（2026年10月16日） — iwaicosmo-hd.jp
- 岩井コスモ証券株式会社「外部委託先への不正アクセスに伴うお客様情報の漏洩について(第2報)」（2026年10月20日） — iwaicosmo.co.jp（10月23日時点でホームページがメンテナンス中のため表示されず、インターネットアーカイブの保存版（10月21日保存） で内容を確認）
- 岩井コスモ証券 ネット取引サイトのメンテナンスのお知らせ（2026年10月23日に確認） — iwaicosmo.net
- 金融庁「インターネット取引サービスへの不正アクセス・不正取引にご注意ください」 — fsa.go.jp
更新履歴
2026-10-23：初版。岩井コスモ証券の10月16日の発表（親会社の適時開示）と10月20日の第2報にもとづく。第2報のページは、同社のホームページがメンテナンス中のため、インターネットアーカイブの保存版で確認しました。新たな事実が公表されたら本記事を更新します。
次に読む
- 便乗詐欺への備え：フィッシングとは ／ パスキーとは
- ログインの守り方：二要素認証の選び方 ／ パスワードが漏れていないか確認する方法
- 同じ月の証券会社の事案：大和証券の委託先への不正アクセス（約11万名）
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）
よくある質問
Q岩井コスモ証券の不正アクセスで何が漏れたのですか？
岩井コスモ証券の2026年10月20日の第2報によれば、インターネット取引の顧客4,975名の「氏名、メールアドレス他」が漏えいしました。10月16日の第1報では4,611名とし、その後の再調査で364名が加わりました。「他」に何が含まれるかは公表されていません。情報は、同社がネット取引のシステム運用・保守を委託している事業者のシステムから漏れたものです。
Q自分が対象かどうか、どうすれば分かりますか？
同社は、第1報の4,611名には10月16日までに個別に報告し、第2報で加わった364名にはネット取引のログイン後のお知らせ画面とメールで個別に連絡したとしています。メールのリンクではなく、ブックマークに登録したログイン画面から入ってお知らせを確かめてください。分からない場合は、お客様相談室（0120-405-546、平日9時〜17時）に問い合わせます。
Q取引暗証番号やパスワードは漏れましたか？
同社は、漏えいした情報に取引暗証番号は含まれていないとし、この情報では証券口座へのログインや各種取引はできないとしています。ログインパスワードについての個別の記載はありません。どのような連絡でも、パスワードや取引暗証番号は伝えないでください。
Q意図しない売買注文とは何ですか？損失は出ましたか？
同社の第2報によれば、不正アクセスがあった10月14日に売買管理システムへの攻撃も発生し、7口座で顧客の意図しない売買注文が発注され、うち5口座で約定しました。対象の顧客には10月14日に個別に連絡し、すでに取引前の状態に戻す措置を完了しており、顧客の負担は生じていないとしています。同社は、この不正取引に漏えいした個人情報は使われていないとしています。金額や銘柄は公表されていません。
Q原因は何ですか？
同社は、委託先のシステムが第三者による不正アクセスを受けたとし、原因となった箇所の特定と修正は完了したとしています。追加の対策として、委託先で管理機能のセキュリティ強化（アクセス制限）、不正な通信を遮断する仕組みの強化とログインの異常を即時に検知する仕組みの追加、監視体制の強化が行われたとしています。不正アクセスの具体的な手口は、10月23日時点で公表されていません。
Q岩井コスモ証券を名乗る電話やメールが来たらどうすればいいですか？
同社は、同社を装った電話やメール等が発生する可能性があるとして注意を呼びかけ、身に覚えのない連絡や取引はお客様相談室に連絡するよう案内しています。届いた連絡に書かれた番号やリンクは使わず、公式の発表に載っている番号（0120-405-546、平日9時〜17時）にかけ直してください。氏名やメールアドレスが正しくても、本物である証拠にはなりません。