スカラコミュニケーションズのFAQシステム「i-ask」への不正アクセス
- タグ
- 国内
スカラコミュニケーションズの2026年10月6日の発表によると、FAQシステム「i-ask」への不正アクセスで、利用企業最大5社の問い合わせ情報が漏えいした可能性がある［1］。件数は問い合わせ単位の延べで最大713,126件とし、実際の対象人数は名寄せ作業を進めている［1］。大和証券、シチズン時計、損害保険ジャパン、オリックス生命保険は、委託先への不正アクセスで顧客の情報が漏えいした可能性があると発表した［3、5、6、8］。
経緯
スカラコミュニケーションズは、第三者がi-askの管理サイトに不正にログインし、同社が管理するサーバーに不正なプログラムを設置したと説明した［1］。同じサーバーで稼働していた利用企業のシステム環境のデータベースからは、問い合わせ情報を取得された可能性があることを確認した［1］。
大和証券の10月5日の発表では、スカラコミュニケーションズから、顧客情報への不正アクセスと不正取得の形跡が確認されたとの報告を受けた［3］。受付済みの問い合わせ履歴の情報は、スカラコミュニケーションズのサーバーに保存されていた［3］。朝日新聞は同じ日の記事で、スカラコミュニケーションズが大和証券へのインターネット上の問い合わせ内容の管理を2013年4月から2025年12月まで請け負ったと報じた［14］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | i-askへの不正アクセスがあった〔注1〕 | ［1］ |
| 2026年 | スカラコミュニケーションズ | 朝にデータベースの監視アラートを契機に調査を始め、8時ごろに不正アクセスを遮断して、該当する利用企業に報告した | ［1］ |
| 2026年 | 大和証券 | 外部委託先への不正アクセスによる顧客情報の漏洩の可能性を発表し、該当する顧客に個別に連絡した | ［3、4］ |
| 2026年 | 四国銀行 | 大和証券の外部委託先への不正アクセスによる顧客情報の漏洩の可能性を告知した | ［9］ |
| 2026年 | スカラコミュニケーションズ | i-askへの不正アクセスによる個人情報の漏えいの可能性を発表した | ［1］ |
| 2026年 | スカラ | 連結子会社での不正アクセスによる個人情報の漏えいの可能性を発表した | ［2］ |
| 2026年 | シチズン時計 | 委託先への不正アクセスによる顧客情報の漏えいの可能性を発表した | ［5］ |
| 2026年 | 損害保険ジャパン | 外部委託先システムへの不正アクセスによる顧客情報の漏えいの可能性を発表した | ［6］ |
| 2026年 | 東武鉄道 | 委託先への不正アクセスを告知した | ［7］ |
| 2026年 | オリックス生命保険 | 委託先での個人情報の漏えいの可能性を発表した | ［8］ |
| 2026年 | auじぶん銀行 | 自行への影響は無いと発表した | ［11］ |
| 2026年 | 大和証券 | 該当する顧客に個別に連絡した | ［4］ |
影響範囲
スカラコミュニケーションズの発表では、漏えいした可能性がある問い合わせ情報には氏名、メールアドレス、問い合わせ内容等が含まれ、項目は利用企業によって異なる［1］。延べ件数には、同じ顧客による複数回の問い合わせが重複して含まれる［1］。
利用企業の発表
大和証券、シチズン時計、損害保険ジャパン、東武鉄道、オリックス生命保険は、自社のシステムへの不正アクセスは確認されていないと説明した［3、5、6、7、8］。
| 組織 | 利用していた業務 | 件数・人数 | 漏えいした可能性がある情報 | 含まれない情報 | 資料 |
|---|---|---|---|---|---|
| 大和証券 | インターネット経由の問い合わせ内容の管理等 | 約11万名〔注2〕 | 氏名、メールアドレス、口座番号等 | - | ［3］ |
| シチズン時計 | シチズン、ブローバ、フレデリック・コンスタントの各ブランドのWebサイトの問い合わせフォームからの受付業務 | 2026年10月3日の段階でシステムに保存されていた問い合わせ情報の約10万名分〔注3〕 | 氏名、住所、電話番号、メールアドレス等と、問い合わせ内容欄に書かれた銀行口座情報やクレジットカード情報等 | - | ［5］ |
| 損害保険ジャパン | 事業者向け通信機能付きドライブレコーダー「SMILING ROAD」の、主に導入企業の従業員からのよくある質問・問い合わせの機能 | 問い合わせ単位の延べ約6万件（同じ顧客の複数回の問い合わせを重複して含む） | 氏名、電話番号、住所、メールアドレス、勤務先に関する情報、ドライバーID、運転アラートに関する情報、利用機器の情報、申込番号、問い合わせ内容 | 金融機関の口座、クレジットカード、マイナンバーカードの情報 | ［6］ |
| オリックス生命保険 | 公式ウェブサイトを通じた問い合わせ内容の管理等 | 約26,500件（同じ顧客の複数回の問い合わせを含む） | 氏名、生年月日、住所、電話番号、メールアドレス、証券番号、問い合わせ内容（申告された医療情報等を含む） | マイナンバーやクレジットカード番号等 | ［8］ |
東武鉄道の10月7日の発表では、お客さまセンターの「お問い合わせ」フォームでスカラコミュニケーションズのサービスを利用していた［7］。これまでの調査で東武鉄道に関する情報の閲覧と取得の形跡は確認されていないとの報告を、スカラコミュニケーションズから受けた［7］。
auじぶん銀行の10月9日の発表によると、自行サイトの「よくあるご質問」とメールの問い合わせフォームでスカラコミュニケーションズのサービスを利用しているが、同社が発表した最大5社の利用環境には含まれていない［11］。自行の利用環境でも、不正なデータ取得や不正ログイン等の形跡と顧客情報の漏えいは確認されていないと説明した［11］。
大和証券と提携する銀行
四国銀行と岩手銀行の告知では、大和証券が問い合わせ管理等に利用するサービスの外部委託会社で不正アクセスが発生し、顧客の「インターネット経由でのお問い合わせ等に係る情報」が漏洩した可能性がある［9、10］。四国銀行は対象の顧客に個別に連絡する方針で［9］、岩手銀行は個別に連絡している［10］。
岩手銀行は、2026年4月6日から大和証券との包括的業務提携による業務を始めていた［10］。朝日新聞は10月8日の記事で、四国銀行は2023年、岩手銀行は2026年にそれぞれ大和証券と包括的業務提携を結び、証券口座を大和証券に統合し、問い合わせ先も大和証券に移していたと報じた［16］。
対応と現状
スカラコミュニケーションズの10月6日の発表では、被害の拡大を防ぐために実施した措置を挙げた［1］。
- 不正ログインに使われたアカウントのパスワード変更［1］
- 攻撃元IPアドレスからのアクセスの遮断［1］
- 設置された不正なプログラムの隔離［1］
- 全環境における管理者アカウントのパスワード変更［1］
- アップロードされたファイルをプログラムとして実行できないようにする設定変更［1］
スカラコミュニケーションズは、外部の専門調査機関と連携してフォレンジック調査を進めている［1］。個人情報保護委員会に報告し、警察に相談したうえで捜査に全面的に協力する［1］。調査の結果に基づき、管理者認証の強化（多要素認証の導入等）、環境間の分離、監視体制の強化、第三者による定期的な脆弱性診断などの対策を講じる［1］。
親会社のスカラの10月6日の発表では、スカラコミュニケーションズからの報告を受けて直ちにグループの対策本部を設置し、事実関係の調査と影響範囲の特定を進めている［2］。
スカラコミュニケーションズ、シチズン時計、オリックス生命保険は、二次被害は確認されていないと説明した［1、5、8］。大和証券は不正な取引は確認されていないとし［3］、損害保険ジャパンは不正利用の事実は確認されていないとした［6］。両社は、情報がインターネット上に公開・拡散された事実も確認されていないと説明した［3、6］。
大和証券、東武鉄道、auじぶん銀行の発表によると、スカラコミュニケーションズは緊急のセキュリティ強化を実施した［3、7、11］。新たな不正アクセスや情報漏えいは確認されていない［3、7、11］。
大和証券は、漏洩した可能性のある情報では、オンライントレードを含めて証券口座へのアクセスや同社での取引はできないと説明した［3］。氏名や問い合わせ内容を使い、大和証券や関係者を装った電話やメールで詐欺が行われるおそれがあるとして、取引用ID・パスワード、暗証番号、ワンタイムパスワード等を提供しないよう求めた［3］。既存の委託先の点検も進めている［3］。大和証券のトップページの案内では、該当する顧客にはお知らせBOXやメール等で個別に連絡した［4］。
シチズン時計の発表によると、個人情報保護委員会には同社と委託先が報告し、所轄の警察署には同社が相談した［5］。問い合わせの受付業務は、スカラコミュニケーションズのシステムから他のシステムへの移行を進めている最中で、新規の受付には使っていない［5］。このシステムの利用は2026年10月中旬で終える予定で、移行期間の終了後に、保管されている顧客の個人情報はすべて削除されることになっている［5］。
損害保険ジャパンは、対象の顧客に個別に連絡し、連絡が難しい顧客には、この公表をもって連絡に代える［6］。オリックス生命保険は、対象の顧客に書面またはメール等で個別に案内する［8］。
会見での説明
片山財務大臣兼内閣府特命担当大臣（金融）は10月6日の閣議後記者会見で、大和証券が業務委託先への不正アクセスで顧客情報を漏洩した可能性を公表したことは承知していると述べた［12］。顧客情報の適正な管理は「個人情報保護や金融機関の信頼性の確保の観点から極めて重要」とし、「当該社の対応がどうなのかということをしっかりモニタリング」すると答えた［12］。
デジタル庁の同じ日の会見要旨では、古川デジタル大臣が、大和証券などの情報漏えいの発表を挙げた記者の質問に答えた［13］。各企業が調査を進めていると思うとし、「その結果を見て、適切に判断をしていかなければいけない」と述べた［13］。
未公表の事項
注
出典
当事者
- ［1］株式会社スカラコミュニケーションズ『FAQシステム「i-ask」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ』（2026年10月6日公開）
- ［2］株式会社スカラ『当社連結子会社における不正アクセスによる個人情報漏えいに関するお詫びとお知らせ』（2026年10月6日公開、PDF）
関係組織
- ［3］大和証券株式会社『外部委託先への不正アクセスによるお客様情報の漏洩の可能性について』（2026年10月5日公開、PDF）
- ［4］大和証券株式会社『外部委託先への不正アクセスによるお客さま情報の漏洩の可能性について』（公開日不明、2026年10月25日閲覧）
- ［5］シチズン時計株式会社『委託先事業者に対する不正アクセスによるお客様情報の漏えいの可能性について』（2026年10月6日公開）
- ［6］損害保険ジャパン株式会社『当社事業者向けサービスで使用する外部委託先システムへの不正アクセスによるお客さま情報漏えいの可能性について』（2026年10月7日公開、PDF）
- ［7］東武鉄道株式会社『委託先事業者への不正アクセスについて（お知らせ）』（2026年10月7日公開、PDF）
- ［8］オリックス生命保険株式会社『当社の委託先における個人情報漏えいの可能性について』（2026年10月8日公開、PDF）
- ［9］株式会社四国銀行『大和証券の外部委託先への不正アクセスによるお客さま情報の漏洩の可能性について』（2026年10月5日公開）
- ［10］株式会社岩手銀行『【大和証券との包括的業務提携】大和証券の外部委託先への不正アクセスによるお客さま情報の漏洩の可能性について』（公開日不明、2026年10月17日閲覧）
- ［11］auじぶん銀行株式会社『FAQシステム『i-ask』への不正アクセス事案に関する影響について（当社影響なし）』（2026年10月9日公開、PDF）
公的機関
- ［12］財務省『片山財務大臣兼内閣府特命担当大臣閣議後記者会見の概要(令和8年10月6日(火曜日))』（2026年10月6日公開）
- ［13］デジタル庁『古川大臣記者会見（令和8年10月6日）要旨』（2026年10月6日公開）
報道機関
- ［14］株式会社朝日新聞社『大和証券、顧客11万人の口座番号など漏洩か 委託先に不正アクセス』（2026年10月5日公開、2026年10月9日更新）
- ［15］株式会社デイリースポーツ『シチズン時計１０万人分漏えいか 個人情報、委託業者不正アクセス』（2026年10月6日公開、共同通信の配信）
- ［16］株式会社朝日新聞社『岩手銀や四国銀、損保ジャパンでも情報漏洩か 関係先に不正アクセス』（2026年10月8日公開、無料公開の範囲のみ参照）