野村證券は2026年10月23日、金融機関などに提供している、保有する資産の構成（ポートフォリオ）を管理するツール「i-Port」の加入者向けメール配信業務の委託先で不正アクセスがあり、システムに保存されていた顧客のメールアドレスなどが外部に漏えいした可能性があると発表した。委託先は、メール配信サービスを運営するユミルリンクである。野村證券によると、i-Portに登録されたポートフォリオの情報や証券取引口座の情報は、漏えいの可能性がある情報に含まれていない。
委託先のデータベースから情報が持ち出される
野村證券は10月22日、委託先から報告を受けた。委託先によると、同社が運営するメール配信サービスの一部システムへの不正アクセスが10月16日に確認され、その後の調査で、データベースから情報が外部に持ち出されたことが10月22日に確認された。メール配信に関連して保存されていた顧客のメールアドレスなどが、漏えいした可能性があるという。
漏えいの可能性がある件数や、メールアドレス以外の項目の詳細は公表されていない。対象となる金融機関などの顧客には個別に案内するとしている。
野村證券は、現時点で本件に起因する情報の不正利用や、本件に関連する同社システムへの不正アクセスは確認されていないと説明している。引き続き委託先に事実関係の確認を求め、原因と同社グループへの影響範囲の把握を進めるという。
金融機関を装う「本物らしい」メールに注意
野村證券は、本件に便乗して同社グループや関係者を装う不審なメールに注意するよう呼びかけている。メール内のリンクや添付ファイルを開かず、情報の提供を求められても応じないよう求めている。
i-Portの利用者は金融機関などの法人である。メールアドレスと「i-Portの利用者である」という事実が攻撃者に渡れば、ツールの更新案内や契約手続きを装い、特定の相手を狙って情報をだまし取るフィッシングメールに悪用されるおそれがある。普段の業務連絡と見分けにくい場合もある。
メール配信の委託先での侵害に備える
メール配信の委託先からの漏えいは、10月に入って相次いでいる。配信サービスには多くの企業の配信先リストが集まるため、1つの基盤が侵害されると、利用企業ごとに個別の発表が続く構図になりやすい。
利用企業の側では、自社のシステムが無事でも、委託先に預けた情報が漏えいすれば顧客への説明が必要になる。配信サービスに預けているリストの範囲が業務に必要な最小限になっているか、不要になった配信先を削除しているか、委託先で侵害が起きたときに連絡を受ける手順が決まっているかを、この機会に確認しておきたい。
同じ手口に、自社は備えられていますか？