NTTデータ委託先の情報漏洩：デジタル特典付き社債の対象確認と委託先に渡す項目の棚卸し

NTTデータは2026年10月31日、社債購入者への特典付与を支援する「STdirectServices」で使っている委託先のSaaSが第三者に不正アクセスされ、サービスを停止したと公表しました。同じ日から、近鉄グループホールディングス、カゴメ、JR西日本の社債発行体と、楽天証券、SBI証券、三菱UFJモルガン・スタンレー証券が、購入者の情報が漏えいした可能性を相次いで公表しています。本記事では、社債を買った人が知りたい「自分は対象か」「何が漏れたか」「届いた連絡は本物か」に各社の公式発表の文言に基づいて先に答える構成です。後半では、発行体と証券会社からNTTデータ、さらにその委託先へと情報が渡る多層委託の構造を読み解き、委託先に預けた項目と保有期間を棚卸しするPythonのコードと、報告の期限を示します。

まとめ：NTTデータ委託先の情報漏洩で公表された事実と購入者・委託元が今やること

確定しているのは次の事実です。2026年10月30日、NTTデータから社債発行体へ、委託先が提供する「デジタル証券プラットフォーム」に第三者の不正アクセスがあり、情報が外部に持ち出された可能性があると報告されました。対象はデジタル特典付き社債の購入者の一部です。侵害された委託先の名称と侵入経路は、11月3日時点でどの公式発表にも書かれていません。

社債を買った人が今日やることは、購入した証券会社からの個別連絡を待ち、社債や証券会社を名乗るメール・SMS・電話のリンクを開かないことです。証券口座番号やパスワードは、各社とも漏えいの可能性がある情報に含まれないとしています。個人データを外部のSaaSに預けている企業は、委託先にどの項目を、いつまで置いているかを今月中に確かめてください。

自分が対象か確かめる手順｜購入した銘柄と証券会社で異なる連絡の経路

対象はカゴメ・JR西日本・近鉄の3銘柄で近鉄は100万円以上の購入者のみ

公表されている銘柄は3つです。カゴメの第1回無担保社債（2023年2月21日発行、愛称「カゴメ 日本の野菜で健康応援債」）、JR西日本の第80回無担保社債（2024年6月19日発行）、近鉄グループホールディングスの第135回無担保社債（2026年7月24日発行）です。

近鉄の社債は、11月2日の続報で対象を「100万円以上ご購入された投資家様」と明記しています。100万円未満の購入者は、記載の上では含まれません。カゴメとJR西日本は、購入者のうちの一部とだけ書かれており、どの条件で一部になったかは公表されていません。

個別の連絡は購入した証券会社から届き発行体からは届かない仕組み

対象者への連絡は、社債を販売した証券会社から届きます。カゴメの公表では、販売元の楽天証券がログイン後の「重要なお知らせ」で109名に個別連絡しているとの説明です。JR西日本の公表も、対象の2件には楽天証券から電子メールなどで連絡したと書いています。近鉄は、各証券会社から個別に連絡するとしています。

発行体は購入者の口座を持っていないため、発行体の名前で「確認のため口座情報を入力してください」と届くメールは本物ではありません。近鉄は、特典の案内手続きは既に完了しており、メールでパスワードや暗証番号、クレジットカード情報を聞くことは一切ないと明記しています。問い合わせは、カゴメが03-5623-8503（平日9時〜17時）、JR西日本が06-6375-8939（平日9時半〜17時）、近鉄が06-6775-3473（平日10時〜17時）です。

件数を合算できない理由｜発行体と証券会社が同じ購入者を数えている

近鉄の2,678件は、近鉄の社債を買った人の数です。SBI証券の1,169名、三菱UFJモルガン・スタンレー証券の95名、楽天証券の延べ362件の一部は、その2,678件の内訳にあたります。カゴメの109名とJR西日本の2件も、楽天証券の延べ362件に重なります。

そのため、各社の数字を足すと二重に数えることになります。楽天証券の数字は「延べ」と書かれており、複数の銘柄を買った人がいれば重ねて数えています。全体で何人分か、NTTデータは公表していません。報道では野村證券も影響を公表したとされますが、当社は11月3日時点で同社の公式文面を確認できていません。

漏えいした可能性のある項目の差｜カゴメとJR西日本は6項目で近鉄は3項目

同じプラットフォームでも銘柄ごとに預けた項目が違うという事実の読み方

漏えいの可能性がある項目は、銘柄によって大きく違います。

カゴメの公表とJR西日本の公表は同じ6項目を挙げています。近鉄は住所も電話番号も生年月日も含みません。同じプラットフォームに載っていても、発行体が特典の設計に合わせて預けた項目が違ったと読めます。住所は特典の品物を送るときには必要ですが、メールで案内するだけなら要りません。

もう1つ読み取れるのは保有期間です。2023年と2024年に発行された社債の購入者の情報が、2026年10月の時点でプラットフォームに残っていました。特典が社債の満期まで続く設計なのか、それとも特典の終了後に消し忘れたのかは公表されていません。どちらであっても、委託先に置いたデータは「いつ消すか」を決めない限り、漏えいしたときの対象に入り続けます。

近鉄の続報で氏名がカタカナと判明しメールアドレスが追加された経緯

近鉄の10月31日の第一報では、項目は氏名と購入金額でした。11月2日の続報で、氏名がカタカナ表記であったことと、メールアドレスも外部に持ち出された可能性があることが追加されています。三菱UFJモルガン・スタンレー証券の第二報も、同じ日に項目をカナ氏名、メールアドレス、購入金額へ改めました。

メールアドレスが加わったことで、リスクの中身が変わりました。氏名と金額だけなら直接の連絡手段はありませんが、メールアドレスがあれば「社債の特典」「購入金額の確認」を装った偽のメールを本人に送れます。近鉄も、続報で注意喚起を強めています。第一報の時点で「メールアドレスは含まれない」と受け止めた人は、続報の内容で考え直してください。

口座番号とパスワードが含まれない理由と不審な連絡を見分ける手順

楽天証券の公表は、ログインIDとパスワード、取引に必要な情報は漏えいの可能性がある情報に含まれないとしています。近鉄は、証券口座番号やパスワードなどの金融取引に関する情報をそもそも保持していないという説明です。プラットフォームは購入者の情報を発行体に渡して特典を届けるためのもので、口座を動かす情報を持たない作りだったことが分かります。

不審な連絡を見分けるときは、次の順で確かめます。差出人の表示名ではなくアドレスの@の後ろを見る、メールのリンクからではなくブックマークや公式アプリからログインする、電話で口座番号や暗証番号を聞かれたら切る、の3つです。楽天証券は、パスワードを盗まれても入れない「パスキー認証」によるログインの必須化を進めています。仕組みはパスキー認証とは、偽メールの手口はフィッシング詐欺とはで解説しています。

多層委託の構造｜発行体と証券会社からNTTデータ、委託先SaaSへ渡る投資家情報

社債購入者情報提供サービスが発行体に投資家の情報を届ける目的

社債の購入者を管理しているのは、従来は販売した証券会社でした。発行体は、誰が自社の社債を買ったのかをすぐには知ることができません。NTTデータとSecuritize Japanが2025年4月25日に始めたデジタル証券プラットフォームサービスは、第一弾の「社債購入者情報提供サービス」で、発行体が購入者の情報を受け取り、特典やポイントを付与できるようにする仕組みです。

近鉄の第135回社債は、2026年7月24日のSecuritizeの発表で「STdirectServices」の社債購入者情報提供サービスを採用したとされています。同じ発表は、この社債がセキュリティトークン社債ではなく振替社債だと明記しています。ブロックチェーン上の社債そのものではなく、購入者の情報を集める周辺のシステムが狙われた事案です。

侵害された委託先と侵入経路が未公表の段階で断定できることとできないこと

情報の流れは、購入者から証券会社、証券会社からNTTデータ、NTTデータから委託先のSaaSへと、少なくとも3段あります。各社の公表で言えるのは、侵害を受けたのが最後の段の委託先で、証券会社と発行体のシステムは不正アクセスを受けていないという点までです。

言えないことも整理しておきます。委託先の会社名、侵入経路、脆弱性の種類、不正アクセスが始まった時期は公表されていません。SecuritizeはNTTデータとの共同提供を自社の発表で示していますが、侵害を受けた委託先がどこかは、11月3日時点のどの公式発表にも書かれていません。本記事では、委託先の名称を特定せず、公式発表で確認できる範囲に記述をとどめます。原因が公表された時点で追記します。なお11月2日の日経クロステックは、侵害を受けたのはSecuritize Japanのシステムだと報じています。同じプラットフォームを使った丸井グループ・PPIHの自己募集の申込者側で漏れた項目は、Securitize不正アクセス：丸井・PPIHのデジタル社債で漏れた項目と投資家情報の分け方で整理しています。委託先を起点とする攻撃の全体像はサプライチェーン攻撃とはにまとめました。

委託先に渡す項目を棚卸しするPython実装｜目的外の項目と保有期間超過の検出

目的ごとの必要項目と委託先ごとの台帳を先に作るという設計の順番

今回の事案で、項目の数と保有期間が被害の範囲を決めていたことは前の章で見ました。委託先に渡す項目を絞るには、まず「目的ごとに本当に要る項目」を決め、次に「委託先ごとに実際に預けている項目と、目的の終了日」を台帳にします。次のコードは、その2つを突き合わせて、目的に要らない項目と、目的の終了から猶予を過ぎても残っているデータを拾い、漏えいが見つかった日から報告の期限を出す例です。vendor_data_inventory.pyとして保存します。日付の計算には標準ライブラリのdatetimeだけを使います。

from datetime import date, timedelta

# 委託先に預けている個人データの台帳から、目的に要らない項目と、
# 目的の終了後も残っているデータを洗い出し、漏えい時の報告期限を出す
NEED = {  # 目的ごとに本当に要る項目
    "特典の案内": {"カナ氏名", "メールアドレス", "購入金額"},
    "特典の配送": {"氏名", "住所", "電話番号"},
}
LEDGER = [  # 委託先, データセット, 目的, 預けた項目, 目的の終了日（架空の例）
    ("vendor-a", "bond-2023", "特典の配送",
     {"氏名", "住所", "電話番号", "メールアドレス", "性別", "生年月日"}, date(2024, 3, 31)),
    ("vendor-a", "bond-2026", "特典の案内",
     {"カナ氏名", "メールアドレス", "購入金額"}, date(2026, 9, 30)),
]
GRACE = timedelta(days=90)  # 目的の終了後、削除までに認める猶予

def audit(today):
    for vendor, ds, purpose, items, end in LEDGER:
        extra = sorted(items - NEED[purpose])
        if extra:
            print(f"{vendor}/{ds}: 目的「{purpose}」に不要な項目 {extra}")
        if today > end + GRACE:
            print(f"{vendor}/{ds}: 目的の終了から{(today - end).days}日経過・削除を確認")

def deadlines(found, fraud=True):
    # 個人情報保護委員会の案内: 速報は発覚日から3〜5日以内、確報は30日以内（不正の目的なら60日以内）
    final = found + timedelta(days=60 if fraud else 30)
    print(f"発覚日 {found}: 速報の目安 {found + timedelta(days=3)}〜{found + timedelta(days=5)}"
          f" / 確報の期限 {final}")

audit(date(2026, 11, 3))
deadlines(date(2026, 10, 30))

2026年11月3日に、Python 3.14.7で実行した結果です。台帳の委託先名・データセット名・日付は架空で、今回の事案の実際のデータではありません。

$ python vendor_data_inventory.py
vendor-a/bond-2023: 目的「特典の配送」に不要な項目 ['メールアドレス', '性別', '生年月日']
vendor-a/bond-2023: 目的の終了から947日経過・削除を確認
発覚日 2026-10-30: 速報の目安 2026-11-02〜2026-11-04 / 確報の期限 2026-12-29

配送が目的のデータセットに性別と生年月日が入っていれば、目的外の項目として出ます。目的の終了から90日を過ぎたデータは、削除の確認を促す行が出ます。特典の案内だけに使うbond-2026は、必要な3項目しか預けておらず、終了から90日以内なので何も出ません。

このスクリプトで拾えないリスクと契約・監査ログで補う3つの仕組み

このコードが見ているのは、自社が書いた台帳です。台帳と委託先の実態がずれていれば、何も検出できません。今回のように委託先のさらに先で何が保存されているかは、台帳の外にあります。本番では、次の3つを組み合わせます。

• 契約で、預ける項目・保有期間・削除の証明・再委託の事前承認を定め、台帳と同じ粒度で書く
• 委託先から定期的に保有データの件数と項目の報告を受け、台帳と突き合わせる
• 委託先の管理画面やAPIへのアクセスを監査ログとして自社側にも残し、件数の急な出力を検知する

1つ目が最も効きます。項目と期限が契約に無ければ、委託先に削除を求める根拠がありません。委託先を評価する実務は内部統制を外注する際の注意点、監査ログを欠かさず集める設定はFluentdで監査ログ基盤を作る、外部に出す前に個人を識別できない形へ加工する方法は仮名加工情報とはで扱いました。

委託元の報告義務｜不正の目的による漏えいは速報3〜5日と確報60日以内

不正アクセスによるおそれは件数に関わらず報告対象になる4類型の3つ目

個人情報保護法は、漏えい等が起きたときに個人情報保護委員会への報告と本人への通知を求めています。報告の対象は4つの類型で、そのうち「不正の目的をもって行われたおそれがある行為による漏えい等」は、件数が1人でも対象です。第三者による不正アクセスはこれに当たります。カゴメは、個人情報保護委員会などの関係機関へ報告したと公表しています。

期限は個人情報保護委員会の「漏えい等の対応とお役立ち資料」に示されています。速報は発覚日から3〜5日以内、確報は30日以内で、不正な目的で行われたおそれがある場合は60日以内です。発覚日を10月30日とすれば、確報の期限は12月29日になります。報告の主体と判断の流れは個人情報保護委員会への報告義務で整理しています。

委託元が確報までに委託先から取り寄せる4つの情報と問い合わせの順番

今回の事案では、近鉄の項目が第一報から続報で変わりました。委託元が確報を出すには、委託先の調査結果を待つだけでなく、こちらから聞く項目を決めておく必要があります。

1. 自社が預けたデータのうち、持ち出された可能性がある項目と件数
2. そのデータがいつの時点の版で、なぜその時点まで残っていたか
3. 不正アクセスがあった期間と、アクセス記録の保全状況
4. 再発防止策の実施日と、自社のデータが削除されたかどうか

2つ目は見落とされやすい項目です。2023年の社債購入者の情報が2026年まで残っていた理由が分からなければ、再発防止策に保有期間の見直しを入れられません。認証情報の失効やAPIの認可の見直しはAPI不正アクセス対策の実装手順で扱いました。

委託先に預けた個人データを今月見直す企業と次の契約更新でよい企業

特典やキャンペーンのために生年月日や住所まで外部SaaSに預けている企業

特典の配送、誕生日の案内、年代別の分析のために、氏名と連絡先以外の項目まで外部のSaaSに預けている企業は、今月中に見直してください。確かめることは2点です。1点目は、目的に使っていない項目が残っていないか。2点目は、キャンペーンや特典が終わったあとに、委託先でデータが消えたことを確認しているかです。カゴメとJR西日本の事例では、6項目が最長で3年以上残っていました。

委託先のSaaSを含めて、外から到達できる画面とAPI、管理用アカウントの権限まで第三者の目で洗い出したいときは、脆弱性診断・セキュリティ診断で点検できます。

氏名と連絡先だけを預けて特典の終了後に削除を確認している企業

メールでの案内に必要な項目だけを預け、特典の終了後に委託先から削除の報告を受けている企業は、委託先の見直しを次の契約更新時に回して構いません。この場合、漏えいしたときの影響はメールアドレスを使った偽の連絡にほぼ限られます。先に済ませるのは、自社を名乗る偽メールへの備えです。顧客への連絡にどのドメインを使うかを公表し、それ以外からの連絡は偽物だと案内しておけば、受け取った人が判断できます。

よくある質問

NTTデータ委託先への不正アクセスについて、社債を購入した人と委託元の企業から出やすい質問をまとめました。

NTTデータのシステムから証券口座の情報が漏れたのですか？

各社の公表では、漏れた可能性があるのはNTTデータの委託先が提供するSaaSに置かれていた購入者の情報です。楽天証券、SBI証券、三菱UFJモルガン・スタンレー証券は、自社のシステムが不正アクセスを受けたものではないとしています。証券口座番号やパスワードなどの金融取引に関する情報は、漏えいの可能性がある情報に含まれていません。

近鉄の社債を100万円未満で買った場合も対象になりますか？

11月2日時点の近鉄の続報では、対象は第135回無担保社債を100万円以上購入した投資家2,678件です。100万円未満の購入者は、記載の上では対象に入っていません。ただし調査は続いているため、続報で範囲が変わる可能性があります。対象者には販売した証券会社から個別に連絡が届きます。

楽天証券の延べ362件と近鉄の2,678件は足して数えてよいですか？

足せません。楽天証券の延べ362件は、カゴメ・JR西日本・近鉄の3銘柄の一部の購入者を銘柄ごとに数えた数字で、近鉄の2,678件やカゴメの109名、JR西日本の2件と重なります。発行体の数字と販売した証券会社の数字は、同じ購入者を別の立場から数えたものです。

社債の特典を名乗るメールが届いたらどうすればよいですか？

メール内のリンクを開かず、証券会社の公式アプリやブックマークからログインして「重要なお知らせ」を確認してください。近鉄は、メールでパスワードや暗証番号、クレジットカード情報を聞くことは一切ないとしています。心当たりのない連絡で個人情報を入力してしまった場合は、利用している証券会社の窓口に連絡します。

外部のSaaSに個人データを預けている企業がまず確かめることは何ですか？

委託先ごとに、預けている項目と、そのデータをいつ消すかが決まっているかを確かめます。今回の事案では、銘柄によって預けた項目の数が6と3で分かれ、2023年発行分の情報も2026年まで残っていました。項目と保有期間が契約に書かれていなければ、次の契約更新を待たずに追記を求めるのが安全です。

関連記事

• ユミルリンク不正アクセス第二報で延べ5,162万件：DCM・さとふる等の利用企業と受信者の確認点：同じ10月に起きた委託先SaaS経由の事案と、利用企業の報告の手順
• スカラコミュニケーションズの不正アクセスと最大71万件：管理サイトから他社へ広げない設計：SaaS事業者の事故が複数の利用企業へ広がった構造
• フィッシング詐欺とは？成立の仕組みと実装者向けの技術的対策を解説：漏えいしたメールアドレスに届く偽の案内の手口と対策
• パスキー認証とは？仕組み・パスワードとの違い・企業の導入判断を解説：証券会社が必須化を進めるログイン方式の仕組み
• Fluentdで監査ログ基盤を作る｜欠損させない転送設定と改ざん防止の保管【v1.19】：委託先へのアクセスを自社側に記録する基盤の作り方