トレードワークスの提供システムに不正アクセス 証券顧客4,611名漏洩

証券向けのシステムを手がけるトレードワークスは、岩井コスモ証券に提供しているインターネット取引システムが不正アクセスを受け、一部の顧客情報が外部へ漏洩したと公表しました。注目したいのは、顧客側のログインを守る仕組みは機能していた一方で、システムを提供する側の管理機能の設定の不備が突かれた、という点です。この記事は、同社の適時開示に書かれていることだけをまとめます。

何が起きたか

トレードワークスは、2026年10月14日に、自社システムへの不正アクセスを検知し、直ちにアクセス制限などの緊急の措置をとったとしています。この不正アクセスにより、岩井コスモ証券のインターネット取引の、一部の顧客情報が外部へ漏洩したことが判明したとしています。公表は10月16日です。

侵入の手口や、検知のきっかけの詳細は、適時開示には書かれていません。この記事も、中身を推測しません。

漏洩した情報と、守られたもの

トレードワークスは、顧客のログインには多要素認証やパスキーといった多重の認証が設けられており、通常の経路からの不正ログインは防がれていたとしています。二次被害は、現時点で確認されていないとしています。

弱点は「顧客の入口」ではなく「管理の設定」

今回のポイントは、原因の場所です。トレードワークスは、顧客のログインは多重の認証で守られていた一方、自社システムの「一部の管理機能に設定の不備があり、第三者に悪用された」と説明しています。自社の管理が不十分であったことによるもの、としています。

トレードワークスは、判明後、悪用された管理機能の利用を止め、不正に確立された接続を無効にし、攻撃元からの通信を遮断したとしています。また、自社システムを利用する他の金融機関についても点検し、同様の事象は現時点で確認されていないとしています。対応の費用は全額を自社で負担する方針で、加入するサイバー保険の適用を見込むとしています。

影響する会社・しない会社

• 影響する: 岩井コスモ証券のインターネット取引を使う顧客で、今回の対象に含まれる人です。氏名・メールアドレスなどが漏洩の可能性の対象です。同社を装った不審な電話・メールに注意が要ります。
• 影響する: 外部のベンダーに、基幹の取引や顧客管理のシステムを委託している会社です。委託先の管理機能や特権の設定まで、見ているかを確かめる価値があります。
• 影響する: 共通の基盤を、複数の顧客に提供している事業者です。1社の設定の不備が、すべての利用先のリスクになり得ます。
• 影響しない(可能性が高い): このシステムを使っていない証券会社や金融機関。ただし、同種の委託先が無いかは、確かめないと分かりません。

情シスが今日やること

• 委託先の管理機能を見る。外部に委託したシステムで、利用者の入口だけでなく、裏側の管理機能(設定変更・権限付与など)に、認証や制限が効いているかを確かめます。
• 特権の棚卸し。管理機能や特権を持つアカウントが、誰に、いくつあるか。不要なものや、設定の緩いものが残っていないかを点検します。
• 多要素認証の範囲。顧客向けのログインだけでなく、管理者向けの経路にも、多要素認証が入っているかを確かめます。
• 共通基盤のリスク。1つの基盤を多くの顧客で共有している場合、1か所の不備が全体に及ぶ前提で、監視と点検の体制を確かめます。