デジタル社債やセキュリティトークンの発行・管理プラットフォームを提供するSecuritize Japanのシステムが、2026年10月29日に第三者の不正アクセスを受けました。丸井グループは11月2日、デジタル社債に申し込むためにアカウントを作った最大9,086名の情報が漏えいし、そのうち54名は銀行口座番号まで出た可能性があると公表しています。本記事では、丸井グループ・パン・パシフィック・インターナショナルホールディングス（PPIH）・スターツ証券の公表を並べ、申し込んだ人が知りたい「自分は対象か」「何が漏れたか」「どこに問い合わせるか」を、公式発表の文言に沿って先に確かめられる構成にしました。後半では、ブロックチェーン上の保有記録と申込者の個人情報が別の場所にある構造を読み解き、投資家情報を3つの保管先に分けて、破られたときに出る項目を数えるPythonのコードを示します。
まとめ：Securitize不正アクセスで公表された事実と申込者・発行体が今やること
確定しているのは次の事実です。10月29日、Securitize Japanが提供するシステムで第三者の不正アクセスが確認され、同社はアクセス制限を行ったうえでシステムを停止しました。このシステムを使ってデジタル社債などを自社で募集していた発行体が、相次いで影響を公表しています。侵入経路と原因は、11月3日時点でどの公式発表にも書かれていません。
申し込んだ人が今日やることは、発行体からの個別連絡を待ち、社債やポイントを名乗るメール・SMSのリンクを開かないことです。発行体は、委託先に預けている項目と保管の分け方を確かめ、個人情報保護委員会への報告の準備に入ります。
| 公表した会社 | 対象 | 漏えいの可能性がある項目（11月3日時点） |
|---|---|---|
| 丸井グループ | 社債申込用アカウント作成者：最大9,086名 | 氏名・住所など8項目（銀行口座番号は54名） |
| PPIH | デジタル社債の申込者 | 漏えいの有無・対象・内容とも調査中（第1報） |
| スターツ証券 | スターツ・アセット・トークン～両国・千鳥町～保有者 | 氏名・保有口数 |
表の丸井グループの対象は、デジタル社債への申込みのためにアカウントを作成した人です。漏えいの可能性がある8項目は、氏名・住所・電話番号・メール・生年月日・性別・銀行口座番号・投資口数で、銀行口座番号が含まれる可能性があるのは54名です。
自分が対象か確かめる手順｜丸井・PPIH・スターツ証券で異なる対象と項目
丸井グループは購入者に限らず申込みでアカウントを作った最大9,086名
丸井グループの11月2日の公表で、対象は「デジタル社債への申込みのためアカウントを作成したお客さま」です。社債を実際に買った人だけでなく、申し込みのためにアカウントを作った人も含まれます。抽選に外れた人や、途中で申し込みをやめた人も対象に入りうるということです。
丸井グループは、Securitizeのプラットフォームでエポスカード会員向けのデジタル社債を5回発行しています。Securitizeの2026年4月13日の発表によると、5回目は2026年3月12日発行のグリーンボンドで、発行額は1億6,000万円程度でした。どの回の申込者が含まれるかは公表されていません。対象者には丸井グループから順次個別に連絡が届きます。問い合わせは本件専用窓口0120-659-757（10時〜18時、水・日を除く）です。
PPIHは第1報で漏えいの有無も調査中、スターツ証券は氏名と保有口数
PPIHの第1報は、お客様情報が漏えいした可能性の有無、対象となるお客様、漏えいデータの内容を調査中としています。ドン・キホーテなどの店舗や会員サービスへの不正アクセスは確認されていません。問い合わせ先はメールのinfo-securitytoken@ppih-group.comです。
PPIHのデジタル社債は、2025年6月13日の発表によると、majica付帯のUCSカード会員向けに2025年8月8日に発行された1年物で、利払日と償還日は2026年8月8日でした。償還から約3か月後の時点で、申込・登録情報が委託先のシステムに残っていたことになります。
スターツ証券の10月31日の公表は、不動産を裏付けとする「スターツ・アセット・トークン～両国・千鳥町～（譲渡制限付）」が対象です。第三者が取得したことが判明したのは氏名と保有口数で、住所・電話番号・メールアドレスなどの連絡先と、パスワードなどの認証情報へのアクセスは確認されていないとしています。
口座番号まで出た可能性は54名、カード情報は委託していないという線引き
丸井グループの公表で目を引くのは、銀行口座番号が含まれる可能性のある人が9,086名中54名に限られる点です。全員の口座番号を預けていたわけではなかったと読めますが、54名に絞られた理由は書かれていません。クレジットカードの情報は、そもそもSecuritizeに委託していないため漏えいはないとしています。
この線引きが、そのまま被害の範囲を決めました。委託先に預けていない項目は、委託先が破られても出ません。丸井グループのシステムからの漏えいは確認されておらず、二次被害も11月2日時点で確認されていません。
NTTデータ経由の社債と何が違うか｜セキュリティトークン社債と振替社債の2経路
丸井とPPIHはSecuritizeで自己募集、近鉄などは証券会社とNTTデータ経由
同じ10月29日の不正アクセスの影響は、2つの経路で広がっています。1つは、丸井グループやPPIHのように発行体がSecuritizeのプラットフォームでセキュリティトークン社債を自ら募集する経路です。証券会社を通さず、発行体が投資家に直接販売し、金利の一部をエポスポイントやmajicaポイントで払う設計でした。
もう1つは、近鉄グループホールディングス・カゴメ・JR西日本の社債のように、証券会社が販売した振替社債の購入者情報を、NTTデータの「STdirectServices」を通じて発行体へ届ける経路です。こちらは証券会社が購入者を数え、証券会社から個別連絡が届きます。対象銘柄と連絡の経路が違うため、NTTデータ経由の社債を買った人はNTTデータ委託先の情報漏洩で整理した手順で確かめてください。
11月2日にNTTデータが委託先をSecuritizeと認めた報道の位置づけ
NTTデータの10月31日の発表は、委託先のSaaSで不正アクセスが発生したとだけ書き、会社名を挙げていません。日経クロステックの11月2日の報道によると、NTTデータは同日の取材に対し、委託先がSecuritize Japanであると認めました。公式の発表文ではなく取材への回答である点は区別しておく必要があります。
Securitize Japan自身のプレスリリース一覧には、11月3日時点で本件の掲載が見当たりません（最新は10月6日）。原因と全体の件数は、同社か発行体の続報で確かめるしかない段階です。委託先を起点に複数の企業へ被害が広がる構図は、サプライチェーン攻撃とはで類型ごとに整理しています。
ブロックチェーンで守れるものと守れないもの｜保有記録と申込者情報の置き場所
トークンの移転記録が改ざんに強くても申込時の本人情報は別のデータベース
セキュリティトークン社債は、誰が何口持っているかをブロックチェーン上の記録で管理します。この記録は改ざんに強い一方、氏名・住所・口座番号のような個人情報は、通常ブロックチェーンには書きません。書けば消せなくなり、公開型のチェーンなら誰でも読めてしまうためです。申込みの受付、本人確認、利払いの口座は、プラットフォームの通常のデータベースで管理されます。
今回の公表で漏えいの可能性がある項目は、すべてこちら側の情報です。ブロックチェーンを使っていることは、申込者の個人情報を守る理由にはなりません。台帳とデータベースの役割分担はブロックチェーンとデータベースの違いで比較しています。
譲渡制限付きの社債で発行体が投資家の氏名と口座を持ち続ける2つの理由
丸井グループ、PPIH、スターツ証券の商品は、いずれも譲渡制限付きです。発行体は、誰が保有しているかを償還まで把握し続ける必要があります。理由は2つあります。1つは利払いと償還の送金先、もう1つはポイントで払う金利の付与先です。
どちらも必要な情報ですが、同じ表に全部を並べる必然はありません。保有口数は台帳に、氏名や連絡先は連絡用の保管先に、口座番号は送金用の保管先に置き、三者を鍵がなければつなげないIDで結べば、1か所が破られたときに出る項目を減らせます。次の章では、この分け方をコードで確かめます。
投資家情報を3つの保管先に分けるPython実装｜鍵付きハッシュで台帳と連絡先を切る
台帳・連絡先・口座を分けて破られた先ごとに出る項目を数えるコード
次のコードは、申込データを「台帳」「連絡先」「口座」の3つに分け、どこか1か所が破られたときに何件・どの項目が出るかを、全部を1つの表に置いた場合と比べます。保管先どうしをつなぐIDは、標準ライブラリのhmacで申込番号から作る鍵付きハッシュで、鍵はsecretsで生成します。保存するファイル名はinvestor_store_split.pyです。
import hmac, hashlib, secrets
# 申込データを「台帳」「連絡先」「口座」の3つの保管先に分け、
# どこか1か所が破られたときに、何件・どの項目が一緒に出るかを数える
PEPPER = secrets.token_bytes(32) # 本番はKMSなど、3つの保管先とは別の場所に置く鍵
def investor_id(app_no):
# 鍵付きハッシュで、保管先どうしをつなぐIDから申込番号を逆算できなくする
return hmac.new(PEPPER, app_no.encode(), hashlib.sha256).hexdigest()[:16]
APPS = [ # 架空の申込データ（口座は利払いの登録を済ませた人だけが持つ想定）
{"申込番号": "A-0001", "氏名": "山田 花子", "住所": "東京都中野区", "電話番号": "090-0000-0001",
"生年月日": "1990-01-01", "銀行口座番号": "1234567", "口数": 5},
{"申込番号": "A-0002", "氏名": "佐藤 太郎", "住所": "大阪府大阪市", "電話番号": "090-0000-0002",
"生年月日": "1985-05-05", "銀行口座番号": None, "口数": 1},
{"申込番号": "A-0003", "氏名": "鈴木 一郎", "住所": "愛知県名古屋市", "電話番号": "090-0000-0003",
"生年月日": "2002-12-12", "銀行口座番号": None, "口数": 0},
]
STORES = { # 保管先ごとに置く項目
"台帳": {"口数"},
"連絡先": {"氏名", "住所", "電話番号", "生年月日"},
"口座": {"銀行口座番号"},
}
def split(apps):
db = {name: [] for name in STORES}
for a in apps:
iid = investor_id(a["申込番号"])
for name, cols in STORES.items():
row = {c: a[c] for c in cols if a.get(c) is not None}
if row:
db[name].append({"id": iid, **row})
return db
def exposure(label, rows):
cols = sorted({k for r in rows for k in r} - {"id", "申込番号"})
print(f"{label}: {len(rows)}件 {cols}")
db = split(APPS)
exposure("一体型の表が破られた場合", [{k: v for k, v in a.items() if v is not None} for a in APPS])
for name in STORES:
exposure(f"{name}だけが破られた場合", db[name])
print("台帳のID例:", db["台帳"][0]["id"], "（鍵が無ければ申込番号に戻せない）")2026年11月3日に、Python 3.14.7で実行した結果です。申込データは架空で、今回の事案の実際のデータではありません。IDは実行のたびに鍵が変わるため、毎回違う値になります。
$ python investor_store_split.py
一体型の表が破られた場合: 3件 ['住所', '口数', '氏名', '生年月日', '銀行口座番号', '電話番号']
台帳だけが破られた場合: 3件 ['口数']
連絡先だけが破られた場合: 3件 ['住所', '氏名', '生年月日', '電話番号']
口座だけが破られた場合: 1件 ['銀行口座番号']
台帳のID例: e2c48b1586980a44 （鍵が無ければ申込番号に戻せない）一体型の表が破られると、6項目が1人ずつ結びついた形で出ます。分けておけば、台帳だけなら口数しか出ず、口座だけなら番号は出ても誰の口座かは鍵なしでは分かりません。口数0のA-0003は、申し込みだけでアカウントを作った人を想定した行です。丸井グループの公表のように、買っていない人も台帳と連絡先に残る点は、保有期間を決めるときに忘れやすいところです。ハッシュと暗号化の違いはハッシュ化とはで解説しています。
分割だけでは足りない場面と本番で鍵・権限・削除で補う3つの仕組み
このコードは、保管先を分ける効果を数えるための最小の例です。攻撃者が3つの保管先すべてに入れる管理者権限を取った場合や、鍵を同じサーバに置いていた場合は、一体型と変わりません。本番では、次の3つを組み合わせます。
- 鍵と口座の保管先は、申込受付のアプリとは別の権限でしか読めないようにし、読み出しを監査ログに残す
- 口座番号は列単位で暗号化し、利払いの処理のときだけ復号する
- 償還や抽選の終了から期限を決めて、連絡先と口座を削除する
効果が大きいのは1つ目です。PostgreSQLでの列暗号化の手順はPostgreSQLの暗号化、口座番号を別の値に置き換えて持つ方式は決済トークンとは、管理用APIの認可と失効はAPI不正アクセス対策の実装手順で扱いました。
発行体の報告義務と委託先管理｜Securitizeからの通知を受けた後の手順
委託先の事故でも報告の主体は発行体で不正アクセスは1人でも報告対象
個人情報保護法26条1項は、漏えい等が起きた個人データを取り扱う事業者に、個人情報保護委員会への報告と本人への通知を求めています。申込者の情報を集めて管理を委託した発行体は、委託元として報告の主体になります。委託先は、委託元に事態を通知すれば自らの報告義務を免れる仕組みです。不正アクセスによる漏えいのおそれは、件数が1人でも報告の対象です。
期限は個人情報保護委員会の「漏えい等の対応とお役立ち資料」に示されています。速報はおおむね3〜5日以内、確報は不正の目的によるおそれがある場合は60日以内です。発行体が知った日を10月29日とすれば、確報の期限は12月28日になります。判断の流れは個人情報保護委員会への報告義務で整理しています。
確報までに委託先から取り寄せる4つの情報と申込者へ連絡する順番
PPIHのように第1報で漏えいの有無が分かっていない発行体は、委託先の調査を待つだけでなく、聞く項目を先に決めておきます。
- 自社の申込者のうち、持ち出された可能性がある人数と項目（口座番号を持つ人が何人含まれるか）
- 抽選に外れた人や償還済みの銘柄の申込者が含まれるか、なぜ残っていたか
- 不正アクセスがあった期間と、アクセス記録の保全状況
- 再発防止策の実施日と、システム再開の条件
申込者への連絡は、口座番号が含まれる人を先にします。丸井グループの54名のように、口座番号まで出た人は振込を装う詐欺の標的になりやすいためです。偽の連絡の手口はフィッシング詐欺とはで解説しています。
デジタル社債の委託先を今月見直す発行体と次回の発行時でよい発行体
申込時に口座番号や生年月日まで委託先のプラットフォームに預ける発行体
申込みの受付から利払いまでを1つのプラットフォームに任せ、口座番号・生年月日・住所まで同じ委託先に置いている発行体は、今月中に2点を確かめてください。1点目は、償還済みの銘柄や抽選に外れた人の情報が残っていないか。2点目は、委託先の内部で誰がどの項目を読めるかを、契約と実態の両方で把握しているかです。委託先の評価の進め方は内部統制を外注する際の注意点にまとめました。
委託先のプラットフォームを含めて、外から到達できる画面とAPI、管理用アカウントの権限まで第三者の目で洗い出したいときは、脆弱性診断・セキュリティ診断で点検できます。
氏名と保有口数だけを預け利払いの口座は自社か証券会社で持つ発行体
委託先には氏名と保有口数だけを預け、口座番号は自社か証券会社の側で持っている発行体は、見直しを次回の発行時に回して構いません。スターツ証券の公表のように、出る項目が氏名と保有口数に限られれば、連絡先を使った偽の案内は届きにくくなります。先に済ませるのは、申込者への連絡にどの差出人とドメインを使うかを公表しておくことです。
よくある質問
Securitize Japanのシステムへの不正アクセスについて、デジタル社債の申込者と発行体から出やすい質問をまとめました。
丸井のデジタル社債を買っていなくても対象になりますか？
対象になる可能性はあります。丸井グループの公表では、対象は「デジタル社債への申込みのためアカウントを作成したお客さま」最大9,086名で、購入した人に限っていません。抽選に外れた人や申し込みをやめた人も含まれうるため、丸井グループからの個別連絡を確認し、不明な点は本件専用窓口0120-659-757に問い合わせてください。
エポスカードやUCSカードの情報も漏れたのですか？
丸井グループは、クレジットカードに関する情報をSecuritizeに委託していないため漏えいはないとしています。PPIHは、店舗や会員サービスなど自社グループのシステムへの不正アクセスは確認されていないとしています。漏えいの可能性があるのは、デジタル社債の申込み・登録のために委託先へ預けた情報です。
ブロックチェーンを使っているのになぜ情報が漏れたのですか？
ブロックチェーンに記録されるのは、主に誰が何口持っているかという保有の記録です。氏名・住所・口座番号などの申込者の情報は、プラットフォームの通常のデータベースで管理されています。今回漏えいの可能性があるとされた項目は、いずれもこちら側の情報です。侵入経路は11月3日時点で公表されていません。
NTTデータの件とSecuritizeの件は同じ事案ですか？
日経クロステックの11月2日の報道では、NTTデータは「STdirectServices」の委託先がSecuritize Japanであると取材に認めました。ただし対象は、近鉄・カゴメ・JR西日本などの振替社債を証券会社で買った人で、丸井やPPIHのデジタル社債の申込者とは対象も連絡の経路も違います。自分がどちらに当たるかは、買った銘柄と購入先で判断します。
デジタル社債の発行体は個人情報保護委員会に報告が必要ですか？
申込者の個人データの漏えいのおそれがある場合は、委託元の発行体が報告の主体です。不正アクセスによるものは件数にかかわらず報告対象で、速報はおおむね3〜5日以内、確報は60日以内に出します。委託先の調査が続いていても、速報は分かっている範囲で出し、確報までに人数と項目を確定させます。
関連記事
- NTTデータ委託先の情報漏洩：デジタル特典付き社債の対象確認と委託先に渡す項目の棚卸し：同じ不正アクセスがNTTデータ経由で振替社債の購入者に広がった経路
- ユミルリンク不正アクセス第二報で延べ5,162万件：DCM・さとふる等の利用企業と受信者の確認点：同じ10月に起きた委託先SaaS経由の事案と内部アカウントの横展開
- ブロックチェーンとデータベースの違い｜RDB・台帳DBとの比較と選び方【2026年】：保有記録と個人情報をどちらに置くかの判断
- 決済トークンとは？トークナイゼーションの仕組みと暗号化との違い・実装方式を開発視点で解説：口座番号などを別の値に置き換えて持つ実装
- PostgreSQLの暗号化｜TLS設定・pgcryptoの列暗号化とTDE不在時の選び方：口座番号の列を暗号化して保管する手順
