SMBCコンシューマーファイナンスの情報漏洩：最大32万人の対象確認と保証会社に集まる情報

SMBCコンシューマーファイナンスは2026年11月5日、銀行や信用金庫のカードローンを保証する業務で使っているシステムが第三者に不正アクセスされ、最大320,118名の個人情報が外部へ送信されたと公表しました。漏えいした項目は、運転免許証番号、勤務先と年収に加え、保証額にまで及ぶ内容です。本記事では、カードローンを使っている人が知りたい「自分は対象か」「プロミスの利用者も含まれるのか」「届いた連絡は本物か」に、同社と提携先の公式発表の文言に基づいて先に答えます。後半では、保証会社に多くの金融機関の顧客情報が集まる構造を読み解き、提携先の金融機関が自行の対象者を照合するPythonのコードと、個人情報保護委員会への報告期限を示します。

まとめ：SMBCコンシューマーファイナンス情報漏洩で公表された事実と今やること

確定しているのは次の事実です。同社は11月2日に不正アクセスを検知し、同日中に保証業務のシステムへのアクセスを遮断しました。その後の調査で、外部に送信されたデータに顧客の個人情報が含まれていたことを確認しています。原因と侵入経路は、11月5日時点で公表されていません。保証システムは一時停止中です。

カードローンを使っている人が今日やることは2つです。利用中のカードローンの保証会社がSMBCコンシューマーファイナンスかを契約書類や商品概要で確かめること、そして同社や金融機関を名乗るメール・SMS・電話のリンクを開かないことです。対象者には、範囲を特定したあとでメールやSMSなどを使って個別に案内する予定としています。

自分が対象か確かめる手順｜銀行カードローンの保証会社とプロミス利用者の違い

公表の対象は提携先カードローンの保証業務でプロミスの扱いは記載なし

SMBCコンシューマーファイナンスは「プロミス」の名前で自社の消費者ローンを提供しています。一方で、地方銀行、信用金庫、インターネット銀行などと提携し、各行のカードローンを保証する業務も行っています。同社の11月5日の公表で不正アクセスを受けたとされているのは、後者の「保証業務において使用しているシステム」です。

プロミスの自社ローンの利用者が対象に含まれるかどうかは、公表文に書かれていません。含まれる、とも、含まれない、とも読めない書き方です。漏えい項目に「金融機関コード」「保証額」「保証開始日」が並んでいることから、提携先の金融機関のカードローンを保証している契約の情報が中心だと読めます。プロミスだけを使っている人は、同社の続報を待ちつつ、後で示す不審な連絡への備えを先に済ませてください。

利用中のカードローンの保証会社がSMBCコンシューマーファイナンスか確かめる方法

銀行や信用金庫のカードローンには、多くの場合、保証会社が付いています。保証会社の名前を確認できるのは、商品概要説明書や契約書の「保証」の欄、各行のカードローンのページです。SMBCコンシューマーファイナンスの名前があれば、今回の公表の対象範囲に入る可能性があります。

名前が別の保証会社であれば、今回の件の対象ではありません。カードローンの保証会社は銀行ごと、商品ごとに違い、同じ銀行でも商品によって保証会社が分かれていることがあります。過去に完済したカードローンも、念のため確認の対象に入れてください。公表文は「保証開始日」を項目に挙げていますが、完済した契約の情報が残っていたかどうかは書かれていません。

個別の案内はメールやSMSで届く予定｜偽の連絡を見分ける4つの確認

同社は、対象となる人には範囲を特定したあと、保証提携先と相談のうえメールやSMSなどで個別に案内するとしています。案内が届く前に、同社や金融機関を名乗る不審な電話、メール、SMSが来る可能性があると、同社自身が注意を呼びかけています。

1. メールやSMSに書かれたURLを開かない。確認はブックマークや公式アプリから行う
2. 電話で暗証番号、インターネットバンキングのパスワード、ワンタイムパスワードを聞かれたら切る
3. 「保証額の確認」「免許証の再登録」など、漏えい項目に触れて信用させる連絡ほど疑う
4. 迷ったら、同社の専用窓口（03-5677-9228、平日・土日祝9時〜18時）か利用中の銀行に、自分で調べた番号から電話する

2つ目は愛媛銀行の公表が明記している内容で、同行は本件の対応として電話・メール・SMSで暗証番号やパスワードを尋ねることはないとしています。偽の案内の典型的な手口はフィッシング詐欺とはで解説しています。

漏えいした項目の読み方｜運転免許証番号・年収・保証額が同時に出た重み

公表された10種類の項目と本人確認書類の画像が含まれない点の意味

公表された項目は次のとおりです。

運転免許証などの本人確認書類の画像は含まれていません。画像が無ければ、免許証の写しを使ったオンラインでの口座開設やローン申込は通りにくくなります。ただし免許証番号そのものは出ています。番号と氏名・生年月日・住所がそろっているため、電話や書面で本人になりすます材料としては十分な組み合わせです。

勤務先と保証額がそろうことで本人しか知らない事実を装う偽電話の手口

今回の項目は、メールアドレスだけが漏れた事案とは、含まれる情報の性質が異なるものです。勤務先の電話番号と年収、借りている金融機関と保証額が同時に分かれば、「◯◯銀行のカードローンの保証額について確認したい」と、本人しか知らないはずの事実を並べた電話をかけられます。勤務先へ本人を装って在籍確認の電話を入れることもできます。

二次被害は11月5日時点で確認されていないと同社は説明しています。それでも、借入の事実と金額は、本人が家族や職場に知られたくない情報になりやすい項目です。ドコモSMTBネット銀行の公表も同じ項目を挙げており、提携先によって項目の数が違うという説明は、11月5日時点ではどこからも出ていません。

提携先の公表比較｜ドコモSMTBネット銀行・愛媛銀行と三井住友銀行の別事案

ドコモSMTBネット銀行は最大122,635人で銀行システムへの侵入はなし

旧住信SBIネット銀行のドコモSMTBネット銀行は、同じ11月5日に、自行のカードローン利用者のうち最大122,635人の情報が漏えいしたと公表しました。全体の最大320,118名のうち、約38%にあたります。同行は、本件は保証会社のシステムへの不正アクセスによるもので、自行の銀行システムへの不正アクセスは確認されていないとしています。その他の銀行サービスへの影響もないという説明です。

対象者への案内は、SMBCコンシューマーファイナンスが範囲を特定したうえで、同社から個別に届く予定です。同行の問い合わせはWebフォームで受け付けています。

愛媛銀行の11月5日時点の件数確認状況と該当ローンの申込手続の停止

愛媛銀行は、カードローン等の一部商品で同社と保証業務の提携をしており、自行の顧客の情報も漏えいの対象になっていることを確認したと公表しました。件数は11月5日時点で確認中です。該当するローン商品の申込手続は停止しています。問い合わせは取引店か、フリーダイヤル0120-22-0576（平日9時〜17時）です。

朝日新聞の報道によると、同社は2026年3月時点で189の金融機関から保証業務を請け負っています。今後、他の銀行や信用金庫からも同様の公表が続く可能性があります。利用中の金融機関のお知らせ欄を、数日おきに確認してください。

同じ11月5日公表の三井住友銀行のメールアドレス漏えいは別の事案

同じ日に、三井住友銀行もメール配信の委託先への不正アクセスでメールアドレス227,216件が漏えいしたと公表しています。どちらも三井住友フィナンシャルグループの会社ですが、侵害されたシステムも漏えいした項目も違う、別の事案です。

三井住友銀行の件は、主に法人向けのメール配信サービスの宛先で、項目はメールアドレスです。カードローンの保証の件とは対象者も異なるため、2つの件数を足して数えないでください。委託先のメール配信基盤を起点とする事案は、ユミルリンク不正アクセス第二報でも同じ構造を扱いました。

保証会社のシステム構造｜多くの金融機関の顧客情報が1か所に集まる理由

保証審査と代位弁済のために申込情報と年収が保証会社へ渡る流れ

同社のソリューション事業の説明によると、保証業務提携の流れは次のとおりです。客が金融機関に個人向け無担保ローンを申し込むと、金融機関の審査のあとで同社が保証会社として保証審査を行います。その結果を踏まえて融資するのは金融機関で、返済が難しくなった場合に金融機関に代わって弁済するのが同社です。東京と福岡の保証センターでは、提携先のローンの保証審査や受付業務も受託しています。

保証審査には、年収、勤務先、本人確認の番号が要ります。代わりに弁済する可能性がある以上、保証額と保証開始日も保証会社が管理します。つまり、今回漏えいした項目は、保証業務を行えば必ず保証会社に集まる情報です。1つの保証会社が多くの金融機関と提携するほど、1か所のシステムに複数の銀行の顧客が同じ形式で並びます。ドコモSMTBネット銀行の公表で金融機関コードが項目に入っているのは、この区別のためだと読めます。

提携先に提供するWeb申込フォームと未公表の侵入経路で断定できないこと

同社は、一部の保証提携先にカードローンのWeb申込フォームを提供していると公表文で説明しています。インターネットから誰でも触れられる入口を、保証会社自身が持っている構造です。

ただし、侵入経路がこの申込フォームだったとは、どの公式発表にも書かれていません。脆弱性の種類、不正アクセスが始まった時期、外部へ送信された期間も未公表です。本記事は侵入経路を特定せず、公式発表で確認できる範囲に記述をとどめます。原因が公表された時点で追記します。委託先や提携先を起点にした攻撃の全体像はサプライチェーン攻撃とはにまとめました。

提携先の金融機関が自行の対象者を照合するPython実装｜件数と報告期限

漏えい対象リストと自行の顧客台帳を金融機関コードと顧客番号で照合する

保証会社から対象のリストを受け取った提携先が最初にやることは、自行の顧客と突き合わせて件数を確定し、案内の方法を決めることです。次のコードは、金融機関コードで自行の行だけを取り出し、顧客番号で台帳と照合して、ローンの状態別・連絡手段別の件数と、台帳に見つからない番号を出します。あわせて計算するのは、漏えいを知った日を起点とした報告の期限です。このコードはleak_match.pyというファイル名で保存してください。読み込みには標準ライブラリのcsvモジュールだけを使います。

import csv
import io
from collections import Counter
from datetime import date, timedelta

# 保証会社から受け取った漏えい対象リスト（架空の例）
LEAKED = """bank_code,customer_no
9991,A0001
9991,A0002
9992,B0107
9991,A0999
"""
# 自行の顧客台帳（架空の例）。ローンの状態と、案内に使う連絡手段を持つ
CUSTOMERS = """customer_no,status,contact
A0001,利用中,sms
A0002,完済,mail
A0003,利用中,mail
"""
MY_BANK = "9991"  # 自行の金融機関コード（架空）

def match(leaked_csv, customers_csv, bank):
    mine = {r["customer_no"]: r for r in csv.DictReader(io.StringIO(customers_csv))}
    hit, unknown = [], []
    for r in csv.DictReader(io.StringIO(leaked_csv)):
        if r["bank_code"] != bank:
            continue  # 他の提携先の行は自行では扱わない
        (hit if r["customer_no"] in mine else unknown).append(r["customer_no"])
    print(f"自行コード{bank}の対象 {len(hit) + len(unknown)}件（台帳と一致 {len(hit)}件 / 台帳に無い {len(unknown)}件）")
    print("ローンの状態別:", dict(Counter(mine[c]["status"] for c in hit)))
    print("連絡手段別:", dict(Counter(mine[c]["contact"] for c in hit)))
    if unknown:
        print("保証会社へ照会する顧客番号:", unknown)

def deadlines(known, fraud=True):
    # 個人情報保護委員会の案内: 速報は知った日から3〜5日以内、確報は30日以内（不正の目的なら60日以内）
    final = known + timedelta(days=60 if fraud else 30)
    print(f"知った日 {known}: 速報の目安 {known + timedelta(days=3)}〜{known + timedelta(days=5)} / 確報の期限 {final}")

match(LEAKED, CUSTOMERS, MY_BANK)
deadlines(date(2026, 11, 5))

2026年11月5日に、Python 3.14.10で実行した結果です。金融機関コード・顧客番号・件数はすべて架空で、今回の事案の実際のデータではありません。

$ python leak_match.py
自行コード9991の対象 3件（台帳と一致 2件 / 台帳に無い 1件）
ローンの状態別: {'利用中': 1, '完済': 1}
連絡手段別: {'sms': 1, 'mail': 1}
保証会社へ照会する顧客番号: ['A0999']
知った日 2026-11-05: 速報の目安 2026-11-08〜2026-11-10 / 確報の期限 2027-01-04

他の提携先のコード9992の行は数えません。台帳に無いA0999は、顧客番号の採番の違いか、既に台帳から消した古い契約の可能性があるため、保証会社に照会します。状態別に「完済」が出たら、完済後の情報が保証会社側に残っていたことを意味し、確報で保有期間の説明が要る論点になります。

このスクリプトで足りない部分と保証会社側で持つべき提携先ごとの分離

照合は、受け取ったリストが正しい前提で動きます。リストに漏れがあれば、自行側では気づけません。保証会社側の設計で見直す点は、優先度の高い順に次のとおりです。

• 提携先ごとにデータの保存場所か暗号鍵を分け、1つの経路から全提携先の顧客を一度に読み出せないようにする
• 申込フォームや提携先向けのAPIから、保存済みの顧客データへ直接たどれない構成にする
• 完済・解約から一定期間を過ぎた契約の勤務先情報や年収を削除し、残す項目を絞る
• 大量の行の読み出しや外部への送信量の急増を検知し、件数と時刻を記録する

1つ目が最も効きます。提携先が多いほど、分離が無いと1回の侵害の影響がすべての提携先に広がります。認証情報の失効やAPIの認可、レート制限の具体的な実装はAPI不正アクセス対策の実装手順で扱いました。

提携先と保証会社の報告義務｜不正アクセスは速報3〜5日と確報60日以内

不正の目的によるおそれがある漏えいの件数に関わらない報告対象の判断基準

個人情報保護法は、漏えい等が起きたときに個人情報保護委員会への報告と本人への通知を求めています。報告の対象は4つの類型で、「不正の目的をもって行われたおそれがある行為による漏えい等」は1人分でも対象です。第三者による不正アクセスはこれに当たります。期限は個人情報保護委員会の「漏えい等の対応とお役立ち資料」に示されていて、速報は知った日から3〜5日以内、確報は30日以内、不正の目的によるおそれがある場合は60日以内です。

提携先が11月5日に報告を受けたとすれば、確報の期限は2027年1月4日です。保証会社と提携先のどちらがどの範囲を報告するかは、それぞれの契約と立場に応じて決まる事項です。報告の主体と判断の流れは個人情報保護委員会への報告義務で整理しています。2026年10月に施行されたサイバー対処能力強化法の届出との関係は、サイバー対処能力強化法とはで確認できます。

提携先が確報までに保証会社から取り寄せる対象者・保有期間など4つの情報

確報を出すには、保証会社の調査結果を待つだけでなく、こちらから聞く項目を決めておく必要があります。

1. 自行の金融機関コードに該当する対象者の顧客番号の一覧と、その件数の確定日
2. 完済・解約済みの契約がいつまで保証会社側に残っていたか
3. 不正アクセスがあった期間と、外部へ送信された期間
4. 保証システムの再開条件と、再開前に実施した対策の内容

2つ目は見落とされやすい項目です。完済した人の情報が残っていたなら、その人にも案内が要り、再発防止策に保有期間の見直しを入れることになります。

保証会社や委託先に個人データを預ける企業が今月見直す範囲と後回しでよい範囲

提携先にWeb申込の入口を提供し多くの取引先の顧客を同じ基盤に置く企業

保証会社、決済代行、会員基盤のSaaSのように、複数の取引先の顧客データを1つのシステムで預かり、さらにインターネットに申込や登録の入口を開いている企業は、今月中に見直してください。確かめることは2点です。外から到達できる画面とAPIから、保存済みの顧客データまで何段の認可で守られているか。そして、取引先ごとのデータが分かれているかです。

外部から到達できる申込フォーム、提携先向けAPI、管理用アカウントの権限まで第三者の目で洗い出したいときは、脆弱性診断・セキュリティ診断で点検できます。

保証会社に申込情報を渡すだけの金融機関は契約の項目と保有期間から

自社で入口を持たず、保証会社に審査用の情報を渡す立場の金融機関や事業会社は、システムより先に契約を見直します。渡している項目、完済後の保有期間、削除の報告、漏えい時に受け取る情報の粒度が契約に書かれているかを確かめてください。書かれていなければ、今回のような事案で件数の確定や確報が遅れます。委託先や提携先を評価する実務は内部統制を外注する際の注意点にまとめています。

よくある質問

SMBCコンシューマーファイナンスの保証システムへの不正アクセスについて、カードローンの利用者と提携先の担当者から出やすい質問をまとめました。

プロミスを利用しているだけでも対象になりますか？

11月5日の公表文には、プロミスの自社ローンの利用者が対象に含まれるかどうかは書かれていません。不正アクセスを受けたのは、地方銀行や信用金庫、インターネット銀行などのカードローンを保証する業務のシステムです。対象者には範囲の特定後にメールやSMSなどで個別の案内が届く予定なので、続報と個別の案内を待ち、それまでは同社を名乗る不審な連絡のリンクを開かないでください。

自分のカードローンの保証会社はどこで確認できますか？

商品概要説明書や契約書の保証の欄、金融機関のカードローンの商品ページに保証会社の名前が載っています。SMBCコンシューマーファイナンスと書かれていれば、今回の対象範囲に入る可能性があります。同じ金融機関でも商品によって保証会社が違うことがあるため、利用中の商品ごとに確かめてください。

銀行口座の暗証番号やパスワードも漏れたのですか？

公表された項目に、口座の暗証番号やインターネットバンキングのパスワードは含まれていません。ドコモSMTBネット銀行は自行の銀行システムへの不正アクセスは確認されていないとしています。愛媛銀行は、本件の対応で暗証番号やパスワード、ワンタイムパスワードを電話・メール・SMSで尋ねることはないと明記しています。

32万人と12万人と三井住友銀行の22万件は足して数えてよいですか？

足せません。ドコモSMTBネット銀行の最大122,635人は、保証会社全体の最大320,118名の内訳です。三井住友銀行のメールアドレス227,216件は、メール配信の委託先で起きた別の事案で、対象者も項目も違います。

不審な電話やSMSが来たらどこに相談すればよいですか？

記載されたURLを開かず、個人情報も入力しないでください。そのうえで、同社の専用窓口（03-5677-9228、平日・土日祝9時〜18時）、利用中の金融機関、または警察に相談します。電話番号は、届いた連絡に書かれたものではなく、公式サイトや契約書類で自分で調べた番号を使ってください。

関連記事

• NTTデータ委託先の情報漏洩：デジタル特典付き社債の対象確認と委託先に渡す項目の棚卸し：同じ秋に起きた金融の委託・提携先経由の事案と、預ける項目の棚卸し
• 大和証券の情報漏洩・不正アクセス：約11万人の対象確認と委託先i-askの経緯、口座番号を委託先に残さない設計：金融機関の委託先に顧客情報を残さない設計
• ユミルリンク不正アクセス第二報で延べ5,162万件：DCM・NTTPC等の利用企業と受信者の確認点：複数の利用企業へ広がったSaaS経由の事案
• フィッシング詐欺とは？成立の仕組みと実装者向けの技術的対策を解説：漏えいした連絡先に届く偽の案内の手口と対策
• 個人情報保護委員会への報告義務｜対象4類型・速報3〜5日と確報30日の実務：提携先と保証会社が報告を判断する流れ