岩井コスモ証券の委託先システムへの不正アクセス
- カテゴリ
- 不正アクセス
岩井コスモ証券の2026年10月20日の第2報によると、外部委託先のトレードワークスへの不正アクセスで顧客4,975名〔注1〕の情報が漏洩したほか、売買管理システムへの攻撃で7口座分の顧客の意図しない売買注文が発注され、うち5口座で約定した［2］。トレードワークスの10月23日の開示によると、損失の見込額は約50百万円で、2026年12月期第4四半期に特別損失として計上する見込みである［5］。
経緯
トレードワークスの10月16日の開示では、不正アクセスが発生したのは、自社が岩井コスモ証券に提供しているインターネット取引システムだった［4］。顧客のログインには多重化された認証（多要素認証・パスキー等）があり、通常の経路での不正ログインは防がれていた［4］。トレードワークスは、自社システムの一部の管理機能に設定の不備があって第三者に悪用されたとし、自社の管理が不十分だったことによるものだと説明した［4］。悪用された管理機能を通じて顧客のパスワードが取得されたことは確認されていない［4］。
トレードワークスの10月23日の開示によると、原因は、システムの一部の管理機能の設定上の不備により、本来は限定された環境からのみ利用されるべき機能が外部から利用できる状態にあったことである［5］。第三者はこの不備を突いてシステムに不正にアクセスし、その機能を利用して不正な取引をした［5］。
岩井コスモ証券は第2報で、不正取引は漏洩した個人情報が利用されたものではないと説明した［2］。10月16日の第一報では、同様の被害を防ぐための対策を段階的に進めている状況にあったため、手口につながる情報の公表を控えた［2］。所要の対策を講じて確認を終えたことから、第2報で不正取引もあわせて報告した［2］。
デイリースポーツの10月21日の記事では、岩井コスモ証券は攻撃を「総当たりの攻撃」と表現した［7］。同じ記事は、攻撃に人工知能（AI）が使われた可能性があると報じ、トレードワークスが「ＡＩと断定はできない」と主張したと伝えた［7］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | 岩井コスモ証券 | 第三者による不正アクセスを検知し、直ちにトレードワークスに連絡してアクセス制限などの緊急措置を講じた | ［1］ |
| 2026年 | トレードワークス | 自社システムへの不正アクセスを検知し、悪用された管理機能の利用停止、不正に確立された接続の無効化と攻撃元からの通信の遮断、攻撃者の特性に応じた不正アクセス対策の強化をその日のうちに行った | ［4］ |
| 2026年 | - | 売買管理システムへの攻撃が発生した | ［2］ |
| 2026年 | 岩井コスモ証券 | 対象の顧客に個別に連絡し、取引前の状態に復元した | ［2、5］ |
| 2026年 | 岩井コスモ証券・岩井コスモホールディングス・トレードワークス | 顧客情報の漏洩を公表した | ［1、3、4］ |
| 2026年 | 岩井コスモ証券 | 第2報で漏洩の対象の追加と不正取引を公表した | ［2］ |
| 2026年 | 岩井コスモ証券 | 委託先に「悪意ある第三者」がサイバー攻撃を仕掛けたことで客の意図しない売買が発生したと発表した | ［7］ |
| 2026年 | トレードワークス | 経過と損害の見込額を開示した | ［5］ |
影響範囲
岩井コスモ証券の第一報によると、漏洩した情報の対象は4,611名で、内容は氏名、メールアドレス他だった［1］。第2報では、トレードワークスと連携した調査でアクセス記録に加えて通信記録も改めて精査した結果、新たに364名の情報の漏洩が判明した［2］。この追加分は前回の不正アクセスの際に生じていたものを再調査で把握したもので、その後に新たな不正アクセスや情報の漏洩が発生したものではない［2］。
岩井コスモ証券の第2報では、漏洩した情報の内容は第一報で知らせた範囲内である［2］。前回の対象者を含め、漏洩した情報に取引暗証番号は含まれておらず、その情報では証券口座へのログインや各種取引はできない［2］。意図しない売買注文による顧客の負担は生じていない［2］。
岩井コスモ証券とトレードワークスは10月16日の公表で、二次被害は確認されていないとした［1、4］。トレードワークスは10月23日の開示で、顧客の資金の不正な流出も確認されていないと説明した［5］。
トレードワークスの10月16日の開示では、自社のシステムを使う他の金融機関も点検して必要な対策を実施しており、外部の専門機関による点検を含めて確認を進める［4］。10月23日の開示では、他の金融機関に提供するシステムで同様の事象は確認されていないとした［5］。デイリースポーツは10月20日の記事で、トレードワークスが金融機関向けのネット取引システムの企画・開発・保守を手がけ、証券会社や外国為替証拠金取引（FX）、暗号資産といった金融商品を扱う企業を顧客としていると報じた［6］。
対応と現状
岩井コスモ証券の第一報では、ホームページなどで顧客に注意を呼びかけ、情報が漏洩した顧客には既に個別に報告した［1］。岩井コスモ証券を装った電話やメールなどが新たに発生する可能性があるとして、注意を求めた［1］。第2報で新たに対象となった顧客には、ログイン後のお知らせ画面とメールで個別に連絡した［2］。
岩井コスモ証券は、既に脆弱性のある箇所の特定と修正を完了したうえで、トレードワークスに脆弱性箇所の再点検とセキュリティ管理体制の強化を求めている［1］。トレードワークスは10月16日の開示で、この要請を踏まえて脆弱性箇所を再点検し、岩井コスモ証券と外部の専門機関と連携してセキュリティ管理体制の強化と再発防止に取り組むとした［4］。
岩井コスモ証券の10月20日の第2報では、トレードワークスが緊急措置に加えて追加の対策を実施したことを確認した［2］。
- 管理機能のセキュリティ強化（アクセス制限）［2］
- 不正な通信を遮断する仕組みの強化と、ログインに関する異常を即時に検知する仕組みの追加［2］
- 監視体制の強化（定時の点検と異常時の即時対応）［2］
強化後に新たな情報の漏洩は確認されておらず、岩井コスモ証券もトレードワークスと連携して監視と点検を続けている［2］。
トレードワークスの10月23日の開示によると、検知後速やかにアクセスを遮断したため、以降は不正なアクセスによる侵入と不正な取引は発生していない［5］。設定に不備のあった機能は外部から利用できないよう恒久的に是正し、第三者機関の知見も活用しながらシステム全体の点検とセキュリティ対策の強化を続けている［5］。セキュリティに係る報告基準と情報共有の仕組みも見直す［5］。岩井コスモ証券のインターネット取引システムは、事象の発生後も継続して稼働している［5］。
トレードワークスは10月16日の開示で、生じた損失と対応費用は全額を自社が負担する方針だとし、具体的な内容は関係先と協議していると説明した［4］。10月23日の開示では、サイバー保険の適用を見込み、保険会社に事故を通知して所定の手続を進めている［5］。
トレードワークスの10月16日の開示では、攻撃に関する情報は関係機関と共有する［4］。10月23日の開示では、岩井コスモ証券と関係当局と連携して対応を続けるとした［5］。デイリースポーツの10月21日の記事は、政府が原因分析を求めたと報じた［7］。
会見での説明
共同通信の配信記事では、親会社の岩井コスモホールディングスの会長は、10月23日に大阪市内で開いた決算会見で、不正取引を許したことに「責任逃れではないが、システム会社の分野だ」と釈明した［8］。同じ記事は、攻撃がAIか人的行為かは分からないと報じた［8］。
未公表の事項
- 悪用された管理機能の名称・種類と、侵入の具体的な手法
- 攻撃者と、攻撃にAIが使われたかどうか
- 意図しない売買注文の銘柄・株数・金額
- 漏洩した情報の「氏名、メールアドレス他」のうち「他」に当たる項目
- 岩井コスモ証券とトレードワークスによる当局への報告と警察への相談の有無
注
出典
当事者
- ［1］岩井コスモ証券株式会社『外部委託先への不正アクセスに伴うお客様情報の漏洩について』（2026年10月16日公開）
- ［2］岩井コスモ証券株式会社『外部委託先への不正アクセスに伴うお客様情報の漏洩について(第2報)』（2026年10月20日公開）
- ［3］岩井コスモホールディングス株式会社『岩井コスモ証券 外部委託先への不正アクセスに伴うお客様情報の漏洩について』（2026年10月16日公開、PDF、適時開示）
- ［4］株式会社トレードワークス『当社が提供するシステムへの不正アクセスに関するお知らせ』（2026年10月16日公開、PDF、適時開示）
- ［5］株式会社トレードワークス『（開示事項の経過）当社が提供するシステムへの不正アクセスに関するお知らせ』（2026年10月23日公開、PDF、適時開示）
報道機関
- ［6］デイリースポーツ online『岩井コスモ証券にサイバー攻撃 意図せぬ売買注文、被害初確認か』（2026年10月20日公開）
- ［7］デイリースポーツ online『岩井コスモ証券にＡＩ攻撃か 売買発生、初の金融機関被害か』（2026年10月21日公開）
- ［8］デイリースポーツ online『「客が意図しない売買」陳謝 岩井コスモ証券会長、釈明も』（2026年10月23日公開、共同通信の配信）
更新記録
- 2026年10月26日：公開した。
- 2026年10月31日：「会見での説明」から謝罪の句を外した。
- 2026年11月3日：経緯の文の言い回しを改めた（事実と出典は変えていない）。