楽天証券など社債特典で漏えいか 償還済みの購入者情報も残っていた

終わった特典の顧客情報は、委託先のさらに先で、本当に消えているでしょうか。楽天証券などが2026年10月31日に公表した漏えいでは、2年8か月前に償還した社債の購入者の名前や生年月日まで、外部の仕組みに残っていました。楽天証券の口座のログインIDとパスワードは、対象に入っていません。

楽天証券によると、漏えいした可能性があるのは、「デジタル特典付き社債」の特典の申し込みなどに使う外部サービスにあった一部の顧客の情報です。提供元はNTTデータで、不正アクセスを受けたのはNTTデータの委託先が提供する「デジタル証券プラットフォーム」です。同じ日に、社債を発行したカゴメ、JR西日本、近鉄グループホールディングス（近鉄GHD）と、販売会社のSBI証券も発表を出しました。

発表を並べると、件数も項目もそろわない

楽天証券の発表では、3銘柄を買った一部の顧客、延べ362件が対象です。NTTデータからは、ログインに必要なIDやパスワード、取引に必要な情報は含まれないと報告を受けたといいます。ただ、どの項目が漏れたかまでは、この発表から読み取れません。

項目を書いていたのは発行体の側でした。読めた発表を並べると、次のとおりです。

近鉄GHDの発表はページを開けなかったため、件数と項目は関西テレビとデイリースポーツの報道によります。SBI証券の発表にも、近鉄GHDが同じ日に公表したことと、100万円以上の購入者が対象であることが書かれていました。

同じ楽天証券の顧客でも、銘柄によって含まれる項目はかなり違います。カゴメとJR西日本の社債では、住所や電話番号、生年月日まで入っていました。2024年の楽天証券の販売ページによると、JR西日本の社債の特典は、申し込むときに個人情報の提供への同意を求める形でした。近鉄GHDの社債は氏名と購入金額だけ。そのかわり関西テレビによると、100万円以上買った投資家の全員が対象です。

編集部で数字を引き算すると、もう一つ見えてきます。カゴメとJR西日本の発表では、対象者への連絡はどちらも販売会社の楽天証券からです。カゴメの社債は、2023年の発表でも販売する証券会社が楽天証券だけでした。そこで楽天証券の延べ362件から、カゴメの109名とJR西日本の2件を引くと251件。近鉄GHDの社債で対象になった楽天証券の顧客は、この251件前後とみられます。SBI証券の1,169名と足すと1,420で、近鉄GHDの2,678件（報道）の半分ほどです。この社債は野村證券もオンラインで売っていましたが、野村證券の件数は確認できていません。どれも編集部が各社の数字を足し引きしたもので、楽天証券の「延べ」の件数と各社の人数が同じ数え方だという保証はありません。

事故の全体で何人が対象なのかを示した発表は、読めた範囲にありませんでした。投資家から見ると、販売会社と発行体がそれぞれ発表を出し、書いてある項目も違います。知らせを出す委託元の会社は、自社の発表に項目を書き、ほかにどの会社から連絡が行くかを添えておくと、問い合わせが減るはずです。

償還から2年8か月、情報は残っていた

カゴメの社債は2023年2月21日に発行され、2024年2月21日に償還されました。JR西日本の第80回無担保社債は1年債で、発行は2024年6月19日、償還は2025年6月19日です。両社がNTTデータから報告を受けた2026年10月30日の時点で、カゴメの社債は償還から2年8か月、JR西日本の社債は1年4か月がたっていた計算です。

特典の受け渡しも、とうに終わっていたはずです。2024年の楽天証券の販売ページでは、JR西日本の社債の特典は、ポイントの付与が2024年8月下旬、車両撮影ツアーが同年11月17日の予定でした。

カゴメの発表によると、購入者5,472名のうち対象は109名。なぜ一部だけなのか、なぜ償還のあとも残っていたのか、理由はどの発表にもありません。残しておく事情があったのかもしれません。2023年のカゴメの発表は、当時の仕組みを、発行体が社債の購入者の情報をデジタルで受け取り、投資家と直接つながるための基盤と説明していました（情報の共有は投資家の事前の同意が前提）。

それでも、個人情報保護委員会が示すガイドラインに照らすと、引っかかる点があります。利用する必要がなくなった個人データの例として、ガイドラインが挙げるのがキャンペーンの応募者の情報です。

キャンペーンの懸賞品送付のため、当該キャンペーンの応募者の個人データを保有していたところ、懸賞品の発送が終わり、不着対応等のための合理的な期間が経過した場合

法律はこうなったデータを「遅滞なく消去するよう努めなければならない」と定めています。¹努力義務ではありますが、特典を届けるためだけに預けた情報なら、この例にかなり近いものです。

編集部は、侵入の手口よりも、終わった特典の情報が委託先の先に残っていたことのほうが重いとみています。少なくともカゴメとJR西日本の分は、消えていれば漏れなかった情報だからです。10月には大阪大学の件でも、NECが作業後に消すはずだったファイルが残り、それが持ち出されました（大阪大の7万7851人分が漏えい）。終わったはずの作業や特典のデータが委託先の側に残り、それが漏れる形が、ひと月に2件続いたことになります。

委託の先に、もう一段の委託先

この仕組みでは、持ち主が何段にも分かれていました。

• 発行体（カゴメ、JR西日本、近鉄GHD）は、特典の申し込みなどにNTTデータの外部サービスを使っていた
• そのプラットフォームは、NTTデータの委託先がNTTデータに提供していた（カゴメの発表）。委託先の社名は、どの発表にもない
• 購入者の情報は、販売会社（楽天証券、SBI証券、野村證券など）の顧客の情報でもある

楽天証券もSBI証券も、自社のシステムが不正アクセスを受けたわけではないとしました。それでも、対象者に連絡するのは販売会社です。カゴメによると、楽天証券はログイン後の「重要なお知らせ」で109名に連絡しました。

委託先がさらに再委託するときについては、委員会のリーフレットにこうあります。

委託先が別の業者に再委託を行い個人データを提供する場合、委託先と同様の監督が必要となります。

ガイドラインが監督の足りない例として載せるのも、委託元の知らない再委託の先で漏えいした場合です。今回の発行体が委託先の社名を知っていたかどうかは分かりません。ただ、公表された文面を読む限り、仕組みを提供していた会社の名前は投資家に伝わっていません。

一方で、知らせの速さは目立ちます。カゴメとJR西日本は、NTTデータから報告を受けた10月30日の翌日に公表しました。当サイトが10月の事故を集めた集計では、委託先の報告を受けた日から公表までの日数が、9件の中央値で4日、最短でも2日でした。報告から1日で出したのは、9件のどれより早い計算です。

差出人も、委託元が考えておきたい点でしょう。2024年の楽天証券の販売ページは、JR西日本の社債の特典を「info@digital-bond.com（デジタルエンゲージメントプラットフォーム）から送付されるメールからのお申込みが必要です」と案内し、受信許可の設定まで頼んでいました。当時の仕組みの名前は、今回の発表のものと違います。発行体でも証券会社でもない差出人から、本物の案内が届く形です。編集部は、こうした形に慣れた投資家ほど、漏えいのあとに届く偽の案内を見分けにくくなるとみています。

対象は3銘柄の購入者、楽天証券の口座全体は対象外

影響が及ぶ人と会社は、次のとおりです。

• カゴメの2023年の社債、JR西日本の第80回無担保社債、近鉄GHDの第135回無担保社債を買った人のうち、各社が対象とした人。近鉄GHDの社債では、100万円以上買った人が対象
• 3社の発行体と、この社債を売った販売会社。カゴメは個人情報保護委員会などの関係機関に報告済み
• ほかに、NTTデータのこの外部サービスを使ったことのある会社。自社の分が含まれていないかを、NTTデータに確認しておくと確実

影響しない人は、次のとおりです。

• 楽天証券やSBI証券に口座を持っているだけの人。楽天証券はログインのIDやパスワードと取引に必要な情報を、SBI証券は証券口座番号やパスワードなどを、対象に含めていない
• 楽天証券で3銘柄以外の社債を買った人。楽天証券の発表の対象は3銘柄だけ

近鉄GHDの社債で、氏名と100万円以上の購入金額が組になっている点は気がかりです。ほかの名簿と組み合わされれば、投資に回せるお金がある人の名簿として、投資の勧誘をよそおった連絡に使われるおそれがあります。社員向けに周知するなら、証券会社からの個別の連絡はメールやSMSのリンクを開かず、公式サイトやアプリにログインして確認すること、電話やSMSで個人情報を聞かれても答えないこと、の2点が軸になります。楽天証券は、パスキーの設定がまだの人に設定を呼びかけました。

委託元の情シスが今週やること

特典やキャンペーン、アンケートで顧客の情報を外に預けている会社なら、業種を問わず当てはまります。

1. 終わった特典やキャンペーンを一覧にし、データを預けた委託先ごとに「まだ持っているか」「いつ消したか」を聞きます。消したという先には、消した日と範囲を書面でもらいます。
2. 委託先に、再委託先と、その先で使っているクラウドサービスの名前を出してもらいます。契約に再委託の事前報告の決まりがなければ、次の更新で入れます。
3. 委託先から事故の知らせが来た日を1日目にして、段取りを決めておきます。ガイドラインでは、委託元は通常、遅くとも委託先から通知を受けた時点で事態を知ったことになり、速報の目安は概ね3〜5日以内です。不正アクセスによる漏えいのおそれは、委託先や使っているサービスの提供元が攻撃された場合も含めて、人数に関係なく報告の対象。確報は60日以内です。
4. 利用者への知らせの雛形に、漏えいの可能性がある項目、ほかに連絡する会社、自社から連絡するときの差出人を書く欄を足します。
5. 外部の差出人から特典やキャンペーンのメールを送っているなら、その差出人を自社の公式サイトに載せます。

預かる側の会社が見直す手順

NTTデータやその委託先のように、他社の顧客の情報を預かる立場なら、見直すのは次の3か所です。

1. 案件ごとにデータを分けて置き、台帳に案件の終了日と消去の予定日を書きます。
2. 消したら、消した日と範囲を委託元に報告します。
3. 事故のときに、委託元ごと、項目ごとの件数をすぐ出せるようにしておきます。

今回、JR西日本とカゴメは、報告の翌日に項目と件数まで公表しました。委託元ごとの内訳が早く届いたのでしょう。逆に、内訳を出せない預かり方だと、委託元は公表の文面を決められず、知らせが遅れます。

まだ分からないこと

• 不正アクセスが起きた日と侵入の経路。楽天証券は10月30日を「発生日時」としていますが、JR西日本とカゴメはこの日を報告を受けた日と書いています
• プラットフォームを提供した委託先の社名と、事故の全体の人数
• 償還済みの社債の情報が残っていた理由と、対象が購入者の一部だけだった理由
• NTTデータと野村證券のお知らせの中身。どちらもページを開けず、確認できていません

委託先に「消しましたか」と聞くと、相手を疑っているようで気が引けるかもしれません。でも今回、答えは委託先のさらに先にありました。終わったキャンペーンの一覧を1枚作り、次の定例で1行ずつ聞いてみる。それだけで、次に知らせが届いた日の動きはかなり変わるはずです。