适用对象：使用岩井コスモ証券网上交易的客户，以及外包交易系统运营业务的金融机构和企业。本文基于岩井コスモ証券株式会社及岩井コスモホールディングス株式会社的官方通知，不涉及攻击技术。
事态发展中：本文将随公司发布的更多信息进行更新
截至2026年10月23日尚不明确
- 未经授权访问及攻击交易管理系统的具体方法
- 泄露数据中“其他信息”的具体内容
- 非本意委托所涉及的金额和证券
10月20日的第二次通知将人数提高至4,975人，并披露了7个账户中的非本意委托。公司表示将及时公布新发现的事实。截至10月23日，我们尚未发现第三次通知。10月23日，公司官网（www.iwaicosmo.co.jp）显示紧急维护页面，因此我们通过互联网档案馆（Wayback Machine）保存的副本查阅了第二次通知。
岩井コスモ証券客户今天应做什么
我们将公司对客户的要求与本站的一般建议分开列出。每个步骤的标题都会注明其来源。
请勿使用冒充公司的电话或邮件中的链接或号码（公司提醒）
公司提醒，可能会出现冒充其名义的电话和电子邮件。由于姓名和电子邮件地址已泄露，请预期可能会收到以您正确姓名发出、且知晓您为客户的假消息。
即使消息声称要确认欺诈交易、赔偿或进行安全核查，也请勿打开其中的链接，也请勿拨打消息中给出的任何电话号码（如何识别假冒：什么是网络钓鱼？）。
通过自行收藏的登录页面登录，并查看通知（公司的个别联系）
公司表示，已于10月16日前单独通知第一次通知中的4,611人，并通过登录后的通知页面及电子邮件联系了第二次通知新增的364人。请通过您自行保存的书签或平时使用的入口登录，而非点击电子邮件中的链接，并在那里查看通知。
10月23日，公司官网显示紧急维护页面，要求客户将网上交易登录页面直接保存为收藏。据公司网上交易网站称，此次维护是为了应对10月21日公布的PHP漏洞，并非由未经授权访问或网络攻击所致（关于PHP漏洞：PHP严重漏洞详解）。
查看您的委托及成交记录（本站建议）
公司表示，已于10月14日单独联系了7个存在非本意委托账户的客户，并称此后已将其账户恢复至交易前的状态。即使您未收到联系，也值得检查近期的委托及成交记录，以及您的登记信息是否在不知情的情况下被更改。
如发现您未做出的委托或变更，请按公司要求联系客户咨询窗口。
切勿向任何人透露您的密码或交易密码（本站建议）
公司表示，泄露的数据不包括交易密码，且无法用于登录或交易。这意味着假消息接下来最可能索要的，就是您的登录密码和交易密码。
请勿透露，即使对方说是“为了确认您的身份”。如果您在其他服务中使用相同的密码，请设置不同的密码（如何检查：如何检查密码是否已泄露；额外保护：正确选择多因素认证）。
使用官方通知中的联系方式（公司指引）
通知中的联系方式为岩井コスモ証券客户咨询窗口，电话0120-405-546（工作日日本时间上午9点至下午5点）。公司请客户就任何疑问或担忧与其联系。
请使用本文来源中列出的官方通知中的号码，而非您收到的电子邮件或短信中提供的号码。
发生了什么（来自岩井コスモ証券的通知）
以下内容基于公司2026年10月16日的通知（岩井コスモホールディングス的适时披露）及10月20日的第二次通知。外包商是公司所描述的、负责“运营和维护我们网上交易系统”的企业。
2026年10月14日
公司发现第三方未经授权访问，立即联系外包商并采取了访问限制等紧急措施。同日，交易管理系统也遭到攻击，7个账户中出现了客户并未意图的委托（其中5笔已成交）。公司当天单独联系了这些客户。10月16日
发布第一次通知（母公司的适时披露）。称泄露的为4,611人的姓名、电子邮件地址及其他信息，表示已单独通知这些人，并设立了联系窗口。10月20日
发布第二次通知。经对访问及通信日志的重新检查，新增364人，总数为4,975人。非本意委托也于当日披露。截至10月23日
公司官网显示紧急维护页面。公司网上交易网站称，此次维护是为了应对PHP漏洞，并非由未经授权访问或网络攻击所致（10月23日查证）。
- 来源
- 公司用于运营和维护网上交易系统的外包商系统
- 涉及人员
- 网上交易客户，4,975人（第一次通知的4,611人加上重新检查新发现的364人）
- 信息项目
- 姓名、电子邮件地址及其他信息。公司表示，364人的数据属于第一次通知的范围
- 不包括
- 交易密码。公司表示，该数据无法用于登录账户或交易
- 新增的364人
- 通过对10月14日访问的重新检查发现；公司表示此后未发生新的未经授权访问或泄露
- 非本意委托
- 10月14日交易管理系统遭到攻击，7个账户中出现非本意委托（5笔已成交）。公司称账户已恢复，客户不承担任何费用
- 与泄露的关联
- 公司表示，泄露的个人信息未被用于这些交易
- 披露时机
- 公司解释称，10月16日时仍在陆续实施防止类似损害的措施，因此暂未公布可能暴露手法的信息
- 原因及措施
- 公司表示，允许访问的漏洞已被查明并修复。公司确认外包商已加强管理功能的安全性（访问限制）、加强对未授权流量的拦截并增加登录异常的即时检测，同时加强了监控
- 其他金融机构
- 据外包商称，其为其他金融机构提供的系统也已接受检查，未发现类似的未经授权访问
- 联系方式
- 客户咨询窗口 0120-405-546（工作日日本时间上午9点至下午5点）
已知与未知的情况
截至2026年10月23日的状态。公司发布更多信息时，我们将更新状态一栏。
| 项目 | 通知内容 | 状态 |
|---|---|---|
| 人数 | 4,975人（第一次通知4,611人 + 重新检查364人） | 泄露已确认（公司） |
| 泄露项目 | 姓名、电子邮件地址及其他信息 | 泄露已确认（公司） |
| “其他信息”的含义 | 未披露 | 未说明 |
| 交易密码 | 不在泄露数据中 | 不包括（公司） |
| 登录密码 | 无单独说明（公司称该数据无法用于登录或交易） | 未说明 |
| 非本意委托 | 7个账户中出现，5笔已成交；账户恢复至交易前状态的工作已完成（10月20日第二次通知） | 已确认（公司） |
| 客户费用 | 无 | 已确认（公司） |
| 交易与泄露的关联 | 泄露的个人信息未被使用 | 已确认（公司） |
| 委托涉及的金额及证券 | 未披露 | 未说明 |
| 导致访问得逞的环节 | 已查明并修复；具体方法未披露 | 未说明 |
| 其他金融机构 | 外包商检查未发现类似的未经授权访问 | 未发现（外包商） |
| 次生损害 | 10月16日第一次通知：未发现 | 未发现（公司） |
外包商系统遭未经授权访问
↓→
姓名、电子邮件地址等信息泄露（4,975人）
→ 请勿使用电话或邮件中的链接或号码
攻击交易管理系统（同日，10月14日）
↓→
7个账户出现非本意委托（5笔已成交）
→ 已恢复至交易前状态（公司）；仍请查看您的委托及成交记录
公司表示，泄露的个人信息未被用于非本意委托
公司表示，非本意委托源于对交易管理系统的攻击，泄露的个人信息未被使用。换言之，其解释是这些委托并非因姓名和电子邮件地址泄露而产生。
即便如此，泄露的姓名和电子邮件地址今后仍可能被用于假消息。即使委托问题已处理，也请对消息保持谨慎。
泄露信息的组合可能被用于什么
一般而言，以下信息组合可能导致以下类型的滥用。这并不意味着本案中已发生此类情况。
- 姓名 + 电子邮件地址：以您正确姓名发出的假邮件。发件人也知道您是岩井コスモ客户，因此更可能出现与事件或赔偿相关的邮件标题
- 事件已被报道这一事实：与真实通知相近的电话和邮件（如“确认未经授权的委托”或“退款手续”）更容易被编造
- 登录账号、密码及交易密码被输入到假网站：有了这些信息，他人即可进入您的账户并进行交易。本次泄露的并非这些信息，但这正是假消息所要获取的内容
日本金融厅已就通过冒充证券公司的假网站窃取登录信息进行欺诈交易发布一般性警告（金融厅警告（日文））。这是针对证券账户的一般性警告，而非针对本次事件。
在过去的案例大和证券外包商入侵事件中，外包商后来的通知显示同一服务器上的其他公司也受到了影响。本案中，外包商表示已检查其为其他金融机构提供的系统，未发现类似的未经授权访问。
面向外包交易系统运营的金融机构
具体方法尚未披露，因此我们不讨论如何防止入侵。已公布的信息确实表明，公司称非本意委托源于对交易管理系统的攻击，且泄露的个人信息未被使用。外包商所增加的措施中，“加强管理功能的安全性（访问限制）”列在首位。以下要点是根据已公布信息提出的一般性检查，并非对本案成因的说明。
列出外包商系统中的管理功能，以及哪些人可从何处使用
一般而言，交易系统中有供运维人员使用的管理功能，与客户界面分开。仅为客户登录添加多因素认证，本身并不能保护管理端，管理端需要单独检查。
第一步，请向外包商索取管理功能清单、可使用这些功能的账户，以及可访问的来源限制（如IP地址），并确认是否有任何管理功能可直接从互联网访问。
在事件发生时检测非客户自身会话产生的委托
公司在同一天发现了未经授权访问，并当天联系了受影响客户。一般而言，当委托在无客户登录的情况下产生，或通过异常路径、时间或数量产生时，即时告警可使撤销委托和联系客户更加迅速。
外包商增加的措施还包括登录异常的即时检测及加强监控（定期检查及对异常的即时响应）。在您这一方，应确定由谁接收此类告警，以及在多少分钟内由谁决定处理方式。
获取外包商对您自身环境的检查结果
同一家企业可能为多家金融机构运营和维护交易系统。本案中，外包商表示也检查了其为其他金融机构提供的系统。
如果您使用同一外包商，请以书面形式获取其针对您环境的检查结果及范围（审查了哪个时段的日志，依据何种标准）。关于访问控制方面，请参阅身份认证与授权的区别。
来源（公开记录）
本文所述事实均基于以下公开信息。我们不对未披露的方法或原因作任何推测。
- 岩井コスモホールディングス株式会社，《岩井コスモ証券 外部委託先への不正アクセスに伴うお客様情報の漏洩について》（2026年10月16日，适时披露；附件为岩井コスモ証券的通知）— iwaicosmo-hd.jp（PDF，日文）
- 岩井コスモホールディングス新闻稿，《外部委託先への不正アクセスに伴うお客様情報の漏洩について》（2026年10月16日）— iwaicosmo-hd.jp
- 岩井コスモ証券株式会社，《外部委託先への不正アクセスに伴うお客様情報の漏洩について（第2報）》（第二次通知，2026年10月20日）— iwaicosmo.co.jp（10月23日因网站维护未能显示；通过10月21日保存的互联网档案馆副本查阅）
- 岩井コスモ証券网上交易网站，维护通知（2026年10月23日查阅）— iwaicosmo.net
- 金融厅，《インターネット取引サービスへの不正アクセス・不正取引にご注意ください》— fsa.go.jp
更新记录
2026-10-23：首个版本，基于岩井コスモ証券10月16日的通知（母公司的适时披露）及10月20日的第二次通知。因公司网站维护，第二次通知通过互联网档案馆副本查阅。新信息公布后我们将更新本文。
延伸阅读
- 防范后续诈骗：什么是网络钓鱼？ / 什么是通行密钥（Passkey）？
- 保护您的登录：正确选择多因素认证 / 如何检查密码是否已泄露
- 本月另一家证券公司事件：大和证券外包商入侵事件（约110,000名客户）
- 2026年其他事件：2026年的数据泄露与网络攻击