大和証券の漏えい、責任は委託できない

業務委託先のサーバーが不正アクセスを受け、約22万件の情報が漏えいした可能性がある──。2026年10月に共同通信が報じた、大和証券グループ本社の事例です。自社の守りをどれだけ固めても、データを預けた先が破られれば、顧客から見れば「大和証券から漏れた」ことに変わりはありません。入口が委託先だったという点に、いまの情報管理の難しさが表れていると感じます。コーポレート実務に携わってきた立場から、その意味を読み解きます。

約22万件、その半分が個人情報

記事によれば、インターネット経由の問い合わせデータを管理する業務委託先のサーバーに対し、10月2日から3日にかけて不正アクセスがありました。漏えいの可能性があるのは、個人を特定できない情報も含めて約22万件。そのうち約11万件、つまりおよそ半分が、氏名やメールアドレス、証券口座番号などを含む個人情報です。

同社は、漏えいしていたとしても取引には使えないと説明しています。ただ、氏名と口座番号を知っている相手からの連絡は、受け取る側には本物らしく見えます。漏えいした情報そのものより、それを使った詐欺のほうが顧客にとっての実害になりやすい。二次被害に顧客がどう備えられるか、たとえば会社からの連絡の真偽を確かめる手段まで含めた対応が求められるでしょう。一方で、不正アクセスから数日で公表に至った点は評価されてよいと思います。

委託先の監督は、委託元の義務

個人情報保護法は、個人データの取扱いを外部に委託する場合、委託元に対して委託先への「必要かつ適切な監督」を求めています。委託先を選ぶ基準、契約での安全管理措置の取り決め、そして委託先での取扱い状況の把握。この三つがそろって、はじめて監督と言えます。

IPO準備でも、個人情報の取扱いと委託先管理は審査で確認される項目でした。ただ実務では、委託を始めるときにチェックシートを回収し、契約書に安全管理の条項を入れたところで止まっていることが少なくありません。特に、問い合わせ対応のような「本業の周辺」の業務ほど、委託先にどんなデータがどれだけ残っているのかを、委託元が把握できていないことがあります。本業のシステムには目が届いていても、周辺業務のデータは管理の地図から抜け落ちやすいのです。

問い合わせのデータは、対応が終わったあとも消されずに残りがちです。いつまで保存し、いつ消すのかが決まっていなければ、委託先のサーバーには年々データが積み上がっていきます。持っているデータが多いほど、漏れたときの影響も大きくなる。保存期間を決めて、不要になったデータを消すことも、地味ですが立派な安全管理措置だと思います。

報告期限は、委託先からの情報で決まる

もう一つ、実務者として気になるのは、事故が起きたあとの報告義務です。不正アクセスによる漏えいは、件数にかかわらず、個人情報保護委員会への報告と本人への通知が必要になります。

速報はおおむね3〜5日以内。事故が起きたとき、何が、いつ、どれだけ漏れたのかという情報は、まず委託先の手元にあります。委託先から必要な情報がすぐに上がってくる取り決めがなければ、この期限は守れません。契約に事故時の報告義務や調査への協力を書いておくこと。そして年に一度でも、委託先の実態を確かめに行くこと。地味ですが、ここが分かれ目になると感じます。

委託先の数が多い会社ほど、すべてを同じ深さで見るのは現実的ではありません。預けているデータの量と重要度で委託先に優先順位をつけ、上位から実態を確かめていく。そのためにも、まず「どこに何を預けているか」の一覧を持つことが出発点になります。

まとめ

• 大和証券グループで、業務委託先のサーバーへの不正アクセスにより約22万件が漏えいした可能性。うち約11万件は個人情報を含む
• 取引には使えないとしても、氏名と口座番号を知る相手からの連絡は本物らしく見える。二次被害への備えまで含めた対応が必要
• 個人情報保護法は、委託元に委託先への「必要かつ適切な監督」を求めている。契約時のチェックで止まっていないか
• 不正アクセスによる漏えいは件数にかかわらず報告対象。速報3〜5日、確報60日の期限は、委託先との取り決めで守れるかが決まる

データを外に預けるのは、効率化のために当然の選択です。ただ、業務は委託できても、責任は委託できません。委託先まで含めた「自社の情報がどこにあるか」を説明できるかどうか。それが、あらためて問われていると感じています。

統制を「運用」まで落とし込むには、承認や記録を人の注意だけに頼らず残せる仕組みも必要です。ワークフローや文書管理などのシステム選びでは、要件を伝えると自社に合う製品や開発会社を紹介してくれるサービスを使う方法もあります。

【PR】

【出典・参考】
・共同通信「大和証、22万件漏えいか　不正アクセス、個人情報も」（2026年10月5日）

※本記事は公表情報をもとに一般的な考察を目的として作成したものであり、特定の企業の評価や投資判断を推奨するものではありません。数値は出典記事に基づく参考値です。