株式会社NTTデータは2026年10月31日、社債購入者への特典付与を支援するサービス「STdirectServices」で利用している委託先のSaaS（インターネット経由で利用するソフトウェア）が第三者による不正アクセスを受け、同サービスを停止したと発表した。委託先のサービスで取り扱う個人情報が漏えいした可能性があり、委託先で調査が進められている。同サービスを社債の特典申込に使っていた近鉄グループホールディングスも同日、2026年7月に発行した第135回無担保社債を100万円以上購入した投資家の情報2,678件が漏えいした可能性があると公表した。
委託先の「デジタル証券プラットフォーム」が侵害
NTTデータによると、STdirectServicesは社債を購入した人に特典を付与する業務を支援するサービスである。現時点では特典付与の対象となる社債がないため、サービス停止による特典付与業務への影響はないとしている。同社は関係各社と連携して状況の確認を続けるという。
近鉄グループホールディングスの発表によれば、同社はNTTデータから、NTTデータの委託先が提供する「デジタル証券プラットフォーム」に第三者による不正アクセスがあったとの報告を受けた。10月30日には、プラットフォーム内の情報が外部に持ち出された可能性があると伝えられたという。NTTデータの発表では、委託先の社名は明らかにされていない。
近鉄GHDの投資家の情報2,678件、氏名と購入金額が対象
近鉄グループホールディングスによると、対象は特典を申し込んだ投資家に限らず、第135回無担保社債を100万円以上購入した全員で、対象情報は2,678件である。漏えいした可能性がある情報には、氏名と同社債の購入金額が含まれる。証券口座番号やパスワードなど金融取引に関する情報は保持していないため、対象には含まれていない。
社債の特典であるKIPSポイントの進呈と、レストラン列車「Les Saveurs 志摩」のペア乗車券の当選者への通知は、すでに完了しているという。同社は個人情報保護委員会などの関係機関に報告し、同社を装った不審なメールやSMS、電話に注意するよう投資家に呼びかけている。
報道によると、楽天証券やSBI証券なども同じ不正アクセスに関連して、顧客情報への影響を公表している。侵入経路や技術的な要因は、NTTデータの委託先で詳しく調べている段階だ。
社債を発行した企業から見えにくい「委託先の委託先」
今回の構図は、社債を発行した企業（発行体）、特典業務を支えるNTTデータ、そしてNTTデータの委託先が運営するプラットフォームという三層になっている。投資家から見れば社債の発行体や証券会社が窓口だが、今回、漏えいの可能性があるとされたのは、NTTデータの委託先が提供するプラットフォーム内の情報だった。
発行体側には、自社の顧客情報がどの事業者のどのシステムに置かれているかを確認する視点が求められる。委託先を選ぶ際のセキュリティ評価だけでなく、再委託の有無と範囲、事故が起きたときの報告の流れを契約段階で確かめておくことが欠かせない。あわせて、特典付与に本当に必要な項目だけを渡すことも、被害を小さくするための現実的な手段となる。
同じ手口に、自社は備えられていますか？