適用對象：使用岩井コスモ證券線上交易的人，以及將交易系統營運外包的金融機構與企業。本文依據岩井コスモ證券股份有限公司與岩井コスモホールディングス股份有限公司的官方通知撰寫，不涵蓋攻擊手法。
進行中：本文將隨公司發布更多資訊而更新
截至2026年10月23日尚不明確
- 未經授權存取與交易管理系統遭攻擊的具體方式
- 外洩資料中「其他資料」的內容
- 非預期下單涉及的金額與證券
2026年10月20日的第二次通知將人數提高至4,975人，並揭露7個帳戶的非預期下單。公司表示將儘速公布新發現的事實。截至10月23日，我們未見第三次通知。公司網站（www.iwaicosmo.co.jp）於10月23日顯示緊急維護頁面，因此我們透過網際網路檔案庫（Wayback Machine）保存的副本查核了第二次通知。
岩井コスモ證券客戶今天應該做什麼
我們將公司對客戶的要求與本站的一般建議分開呈現。每個步驟的標題都會標明其性質。
請勿點擊聲稱來自公司的電話或電子郵件中的連結或號碼（公司提醒）
公司提醒，可能會出現假冒其名義的電話與電子郵件。由於姓名與電子郵件地址已外洩，請預期可能收到含有您正確姓名、由知道您是客戶的人發出的假訊息。
即使訊息提到確認詐欺交易、補償或安全檢查，也請勿開啟其中的連結，也請勿撥打訊息中提供的任何電話號碼（如何辨識假訊息：什麼是網路釣魚？）。
請從已加入書籤的登入頁面登入，並查看通知（公司的個別聯繫）
公司表示，已於10月16日前個別通知第一次通知中的4,611人，並在第二次通知中透過登入後的通知畫面及電子郵件聯繫新增的364人。請從您自行儲存的書籤或平常使用的入口登入，而非透過電子郵件中的連結，並在該處查看。
10月23日，公司網站顯示緊急維護頁面，要求客戶直接將線上交易的登入頁面加入我的最愛。根據公司的線上交易網站，此次維護是為了處理10月21日公布的PHP漏洞，並非未經授權存取或網路攻擊所致（關於PHP漏洞：PHP重大漏洞說明）。
查看您的下單與成交紀錄（本站建議）
公司表示，已於10月14日個別聯繫7個帳戶出現非預期下單的客戶，並表示之後已將其帳戶恢復至交易前的狀態。即使您沒有接到聯繫，也值得查看近期的下單與成交紀錄，以及您登記的資料是否在您不知情的情況下被更改。
如果發現您未曾進行的下單或變更，請依公司要求聯絡客戶諮詢窗口。
切勿將密碼或交易密碼提供給任何人（本站建議）
公司表示，外洩資料不包括交易密碼，無法用於登入或交易。這意味著假訊息接下來最可能想要從您這裡取得的，就是登入密碼與交易密碼。
即使對方說是為了「確認您的身分」，也請勿提供。若您在其他服務使用相同密碼，請改用不同的密碼（如何檢查：如何確認密碼是否已外洩；額外保護：正確選擇多因素驗證）。
使用官方通知中的聯絡窗口（公司指引）
通知中的聯絡窗口為岩井コスモ證券的客戶諮詢窗口，電話0120-405-546（週一至週五日本時間上午9點至下午5點）。公司請客戶有任何疑問或疑慮時與其聯絡。
請使用本文來源所列官方通知中的號碼，而非您收到的電子郵件或簡訊中提供的號碼。
事件經過（依據岩井コスモ證券的通知）
以下內容依據公司2026年10月16日的通知（岩井コスモホールディングス的即時揭露）及10月20日的第二次通知。外包廠商即公司所述「委託營運與維護本公司線上交易系統」的業者。
2026年10月14日
公司偵測到第三方未經授權的存取，立即聯繫外包廠商，並採取限制存取等緊急措施。同日，交易管理系統也遭到攻擊，7個帳戶出現客戶並未意圖的下單（5筆已成交）。公司當日已個別聯繫這些客戶。10月16日
發布第一次通知（母公司的即時揭露）。通知指出外洩的姓名、電子郵件地址及其他資料涉及4,611人，表示這些人已被個別通知，並設立了聯絡窗口。10月20日
發布第二次通知。經重新檢視存取與通訊紀錄，新增364人，總計4,975人。當日也揭露了非預期的下單。截至10月23日
公司網站顯示緊急維護頁面。公司的線上交易網站表示，此次維護是為了處理PHP漏洞，並非未經授權存取或網路攻擊所致（10月23日查核）。
- 來源
- 公司用於營運與維護線上交易系統的外包廠商系統
- 對象
- 線上交易客戶，4,975人（第一次通知的4,611人加上重新檢視新增的364人）
- 資料項目
- 姓名、電子郵件地址及其他資料。公司表示，364人的資料也在第一次通知的範圍內
- 未包含
- 交易密碼（PIN）。公司表示，資料無法用於登入帳戶或進行交易
- 新增的364人
- 經重新檢視10月14日的存取而發現；公司表示之後未再發生新的未經授權存取或外洩
- 非預期下單
- 10月14日交易管理系統遭到攻擊，7個帳戶出現非預期下單（5筆已成交）。公司表示帳戶已恢復，客戶不需負擔任何費用
- 與外洩的關聯
- 公司表示，外洩的個人資料未被用於這些交易
- 揭露時機
- 公司說明，10月16日時仍在陸續實施防止類似損害的措施，因此暫不公布可能指向手法的資訊
- 成因與措施
- 公司表示，允許存取的漏洞已被找出並修補。公司確認外包廠商已加強管理功能的安全性（存取限制）、加強阻擋未經授權的流量並新增登入異常的即時偵測，同時加強監控
- 其他金融機構
- 根據外包廠商表示，其提供給其他金融機構的系統也已完成檢查，未發現類似的未經授權存取
- 聯絡窗口
- 客戶諮詢窗口 0120-405-546（週一至週五日本時間上午9點至下午5點）
已知與未知的事項
狀態截至2026年10月23日。公司發布更多資訊時，我們將更新狀態欄。
| 項目 | 通知內容 | 狀態 |
|---|---|---|
| 人數 | 4,975人（第一次通知4,611人＋重新檢視新增364人） | 外洩已確認（公司） |
| 外洩項目 | 姓名、電子郵件地址及其他資料 | 外洩已確認（公司） |
| 「其他資料」指什麼 | 未揭露 | 未說明 |
| 交易密碼 | 不在外洩資料中 | 未包含（公司） |
| 登入密碼 | 無另行說明（公司表示資料無法用於登入或交易） | 未說明 |
| 非預期下單 | 7個帳戶出現下單，5筆已成交；帳戶恢復至交易前狀態的作業已完成（第二次通知，10月20日） | 已確認（公司） |
| 客戶負擔 | 無 | 已確認（公司） |
| 交易與外洩的關聯 | 外洩的個人資料未被使用 | 已確認（公司） |
| 下單涉及的金額與證券 | 未揭露 | 未說明 |
| 允許存取的成因 | 已找出並修補；具體方式未揭露 | 未說明 |
| 其他金融機構 | 外包廠商的檢查未發現類似的未經授權存取 | 未發現（外包廠商） |
| 次生損害 | 10月16日第一次通知：未發現 | 未發現（公司） |
外包廠商系統遭未經授權存取
↓→
姓名、電子郵件地址等資料外洩（4,975人）
→ 請勿點擊電話或電子郵件中的連結或號碼
攻擊交易管理系統（同日，10月14日）
↓→
7個帳戶出現非預期下單（5筆已成交）
→ 已恢復至交易前狀態（公司表示）；仍建議查看您的下單與成交紀錄
公司表示，外洩的個人資料未被用於非預期下單
公司表示，非預期下單來自對交易管理系統的攻擊，外洩的個人資料並未被使用。換言之，公司的解釋是：這些下單並非因姓名與電子郵件地址外洩而產生。
即便如此，外洩的姓名與電子郵件地址今後仍可能被用於假訊息。即使下單問題已處理，收到訊息時仍請保持謹慎。
外洩項目組合可能被用於什麼
一般而言，以下資料組合可能被用於以下類型的不當行為。這並不表示本案中已發生此類情況。
- 姓名＋電子郵件地址：可能寄送含有您正確姓名的假郵件。寄件人也知道您是岩井コスモ的客戶，因此更可能出現與事件或補償相關的主旨
- 事件已被通報的事實：更容易編造貼近真實通知的電話與電子郵件內容，例如「確認未經授權的下單」或「退款程序」
- 登入帳號、密碼與交易密碼被輸入假網站：若取得這些資訊，他人可能進入您的帳戶並交易。本案並未外洩這些資料，但這正是假訊息的目標
日本金融廳（FSA）曾發出一般性警告，提醒注意假冒證券公司網站竊取登入資訊後進行的不當交易（金融廳警告（日文））。這是針對證券帳戶的一般性警告，並非針對本事件。
在過去的案例大和證券外包廠商資安事件中，外包廠商後來的通知顯示，同一伺服器上的其他公司也受到影響。本案中，外包廠商表示已檢查其提供給其他金融機構的系統，並未發現類似的未經授權存取。
將交易系統營運外包的金融機構
由於具體方式尚未揭露，我們不說明如何防止入侵。已公布的內容確實顯示，公司表示非預期下單來自對交易管理系統的攻擊，外洩的個人資料未被使用。外包廠商新增的措施中，「加強管理功能的安全性（存取限制）」列在首位。以下各點是根據已公布內容提出的一般性檢查，並非對本案成因的說明。
列出外包廠商系統中的管理功能，以及可從何處使用這些功能的人員
一般而言，交易系統除了客戶畫面外，還有供營運與維護人員使用的管理功能。為客戶登入加上多因素驗證，本身並不能保護管理端，管理端需要獨立檢查。
第一步，請向外包廠商要求提供管理功能清單、可使用這些功能的帳戶，以及可連線位置的限制（例如IP位址），並確認是否有任何管理功能可從網際網路直接連線。
在發生時即偵測非來自客戶自身工作階段的下單
公司於同日偵測到未經授權的存取，並當日聯繫受影響的客戶。一般而言，當下單未經客戶登入、或透過異常路徑、時間或數量發生時立即發出警示，可讓取消交易與聯繫客戶更快速。
外包廠商新增的措施也包括登入異常的即時偵測與加強監控（定期檢查與對異常的即時回應）。在您這一端，應決定由誰接收此類警示，以及需在幾分鐘內決定如何處理。
取得外包廠商對您自身環境的檢查結果
同一家業者可能為多家金融機構營運與維護交易系統。本案中，外包廠商表示也檢查了其提供給其他金融機構的系統。
若您使用同一家外包廠商，請以書面取得針對您環境的檢查結果與範圍（審查了哪個期間的紀錄，依據什麼標準）。關於存取控制面向，請參閱身分驗證與授權的差異。
資料來源（公開紀錄）
本文事實依據以下公開資訊。我們不推測未揭露的手法或成因。
- 岩井コスモホールディングス股份有限公司，「岩井コスモ證券 外部委託先への不正アクセスに伴うお客様情報の漏洩について」（2026年10月16日，即時揭露；附件為岩井コスモ證券的通知）— iwaicosmo-hd.jp（PDF，日文）
- 岩井コスモホールディングス新聞稿，「外部委託先への不正アクセスに伴うお客様情報の漏洩について」（2026年10月16日）— iwaicosmo-hd.jp
- 岩井コスモ證券股份有限公司，「外部委託先への不正アクセスに伴うお客様情報の漏洩について（第2報）」（第二次通知，2026年10月20日）— iwaicosmo.co.jp（10月23日因網站維護中未能顯示；已透過10月21日保存的網際網路檔案庫副本查核）
- 岩井コスモ證券線上交易網站，維護通知（2026年10月23日查核）— iwaicosmo.net
- 金融廳，「インターネット取引サービスへの不正アクセス・不正取引にご注意ください」— fsa.go.jp
更新紀錄
2026-10-23：首次版本，依據岩井コスモ證券2026年10月16日的通知（母公司的即時揭露）及10月20日的第二次通知撰寫。因公司網站維護中，第二次通知係透過網際網路檔案庫副本查核。新事實公布時，我們將更新本文。
延伸閱讀
- 防範後續詐騙：什麼是網路釣魚？ / 什麼是通行金鑰？
- 加強登入安全：正確選擇多因素驗證 / 如何確認密碼是否已外洩
- 本月另一起證券商事件：大和證券外包廠商資安事件（約11萬名客戶）
- 其他2026年事件：2026年的資料外洩與網路攻擊