千葉銀行は2026年9月17日、子会社であるちばぎん商店のコーポレートサイトが第三者による不正アクセスを受け、同行が委託していた業務の申込者情報が漏えいした可能性があると発表した。9月3日の午後、サイトにオンラインカジノに関するコンテンツが表示されているのを担当者が確認したことが端緒だった。発覚から公表までには約2週間を要している。
オンラインカジノのコンテンツ表示が端緒
千葉銀行の発表によると、ちばぎん商店の担当者が2026年9月3日13時頃、同社のコーポレートサイトにオンラインカジノに関するコンテンツが表示されていることを確認した。その後の調査で、当該サイトを稼働させていたサーバーが第三者による不正アクセスを受けていたことが判明している。同社はサイトの公開を停止し、外部からのリンクも削除した。
侵入の経路や手口について、同行は現時点で公表していない。外部の専門機関とともに調査を進めるとともに、警察にも報告しているとしている。
漏えいのおそれがあるのは委託業務の申込者情報
漏えいの可能性があるのは、千葉銀行がちばぎん商店に委託していた「TSUBASA ちばぎん Visa デビットカード」および「TSUBASA ちばぎん Visa ビジネスデビットカード」のプラチナカード保有者向けギフト送付業務に関する情報である。対象は、この特典であるGIFT SELECTIONに申し込んだ顧客の氏名、住所、メールアドレス、電話番号、申込番号で、2022年度から2024年度、および2025年度の4月から10月までの申込分である。
件数は個人の顧客が約722先、法人の顧客が約1,616先で、合わせて約2,338先にのぼる。クレジットカード情報やパスワードは当該サーバーには保存されていなかった。また、ちばぎん商店が運営する「C-VALUE ショッピング」および「C-VALUE クラウドファンディング」は別のサーバーで稼働しており、影響はないとしている。
同行は、個人情報が外部へ送信されたことを示す証跡は確認されておらず、これまでに二次被害も確認されていないとしている。ただし調査は継続中であり、被害の範囲が確定したわけではない。
なお、報道が伝える件数には幅がある。日本経済新聞はグループ内で合計約1万件の顧客情報が漏えいした可能性があると報じており、公式発表が明示した委託業務分の件数とは一致しない。本稿では公式発表に記載された数値を採った。
守りの薄い場所に、個人情報は置かれていないか
今回侵入を受けたのは、預金や為替の処理を担う勘定系システムでも、顧客が日々ログインするインターネットバンキングでもない。子会社が企業情報や自社の取り組みを紹介するために公開していた、いわば広報用のコーポレートサイトである。それでもそこには、銀行から委託された業務の申込者情報が2022年度分から残されていた。
企業がセキュリティ投資の優先順位を決めるとき、上位に来るのは基幹システムや顧客向けサービスであり、広報用のWebサイトは後回しになりやすい。だが攻撃者の側から見れば、守りが薄く、かつ個人情報が置かれている場所ほど都合がよい。更新が滞ったWebサイト管理システム（CMS）や追加機能（プラグイン）を抱えたコーポレートサイトなどは、攻撃対象になりやすい典型例と言える。
発覚の経緯も示唆的である。異常を知らせたのは監視システムのアラートではなく、表示されたオンラインカジノのコンテンツを人が見つけたことだった。改ざんが目に見える形で行われたからこそ気づけたとも言える。仮に攻撃者が画面を変えずに静かにデータだけを抜いていれば、発見はさらに遅れた可能性がある。自社のドメイン配下にどのようなサイトがあり、それぞれに何のデータが置かれ、誰が保守しているのか。その棚卸しこそが、本件から引き出せるもっとも実務的な教訓だろう。
同じ手口に、自社は備えられていますか？