NTTデータは11月2日、デジタル証券基盤「STdirectServices」で利用している委託先Securitize Japan（セキュリタイズジャパン、東京都中央区）のSaaS（インターネット経由で使うソフトウェア）が不正アクセスを受け、社債購入者などの個人情報が漏えいしたと発表した。これまでに確認した購入者は、発行企業3社分の計2789人。システムの認証機能の脆弱性を突かれて管理者権限を奪われ、情報が持ち出された。基盤は停止したままで、再開の時期は示していない。

10月29日に侵入、管理者権限を奪われる

発表によると、不正アクセスは10月29日に発生した。第三者がシステムの認証機能の脆弱性を悪用して管理者権限を不正に取得し、システム内の情報を持ち出した。どの認証機能のどのような脆弱性なのか、発表は説明していない。

Securitize Japanはサービスを止め、不正アクセスの経路の遮断と、奪われた管理者権限の無効化などを実施した。NTTデータもSTdirectServicesの提供を止めた。

NTTデータが最初に公表したのは10月31日で、この時点では委託先の社名を出さず、個人情報が「漏えいした可能性」があるとの説明にとどめていた。11月2日の第2報で委託先の名前を明らかにし、漏えいを「確認した」と改めた。第1報は、特典を付ける対象の社債がいまは無いため、停止による特典付与の業務への影響は無いとも説明している。

情報漏えいの影響範囲と原因は、両社が調査を続けている。Securitize Japanのサイトのトップページには、11月4日夕の時点で本件の案内は見当たらなかった。

漏えいは3区分、111人は住所と生年月日も

第2報は、11月2日時点で確認した漏えいを三つに分けて示した。

区分 人数 不正に取得された情報
発行企業2社分の社債購入者の一部 計111人 氏名、住所、電話番号、メールアドレス、性別、生年月日
発行企業1社分の社債購入者の一部 2678人 カナ氏名、社債の購入数量、メールアドレス
発行企業と金融機関のシステム利用担当者 調査中 氏名、メールアドレス
11月2日時点で確認された情報漏えいの内訳

出典: NTTデータ「STdirectServicesのサービス停止についてのお知らせ（第2報）」

111人の区分は、STdirectServicesの提供が始まる前にNTTデータが個別に提供していたサービスの情報だという。この区分は住所、電話番号、生年月日までそろっており、3区分の中で項目が最も多い。2678人の区分には住所は含まれないが、誰がどれだけ社債を買ったかを示す購入数量が含まれる。

金融機関の口座番号やカード番号は、発表の項目に挙がっていない。NTTデータは、現時点で漏えいした情報の不正利用は確認されていないと説明している。一方で、漏えいした情報の詳細や影響範囲は調査中で、人数と項目は今後の調査で変わる余地を残す。

購入者の情報を発行企業へ届ける仕組み

STdirectServicesは、NTTデータとSecuritize Japanが共同で提供するデジタル証券基盤だ。デジタル証券は、ブロックチェーン技術を使って証券をデジタル化したもので、セキュリティ・トークン（ST）とも呼ばれる。NTTデータの第1報は、STdirectServicesを社債購入者への特典の付与を支援するサービスだと説明している。

社債を発行するとき、投資家の情報は証券会社などの販売会社が管理しており、発行企業がすぐに手に入れることは難しかった。両社が2025年4月に発表した「社債購入者情報提供サービス」は、購入者の情報を発行企業へ渡し、商品などの特典を企業から投資家に直接付けられるようにするものだ。両社は資金調達とマーケティングの両立を売りとし、将来の用途として、地域企業の資金調達を地域金融機関が支援する手段も想定していた。

両社の関係は長い。NTTデータは2020年12月に共同検討を始め、2021年6月には米Securitize, Inc.と資本提携した。2023年2月には、みずほ銀行向けの基盤をSecuritizeのプラットフォームを使って構築したと発表している。

Securitize Japanの2026年7月の発表によると、このサービスの利用案件には、2025年の西日本旅客鉄道、2026年4月の東急、同年7月の近鉄グループホールディングスの社債がある。近鉄の社債はセキュリティトークン社債ではなく、従来の振替社債だと同社は断っている。

発行企業の名前は示されず、法は報告と通知を求める

第2報は、漏えいの対象となった発行企業3社の社名を書いていない。先に挙げた利用案件のどれが今回の対象に含まれるのか、発表からは分からない。該当する発行企業と金融機関には、NTTデータが報告済みだとしている。

購入者本人への連絡の方法や、専用の問い合わせ窓口についても、第2報に記載は無い。発表に載っている連絡先は報道機関向けの広報部のメールアドレスで、自分が対象かどうかを購入者が確かめる手段は、11月2日の発表の時点では示されていない。

個人情報保護法は、個人の権利利益を害するおそれが大きい漏えいについて、個人情報保護委員会への報告と本人への通知を事業者に義務づけている（26条）。委員会の案内によると、不正の目的で行われたおそれがある漏えいや、本人の数が1000人を超える漏えいがこれに当たり、外部からの不正アクセスでサーバーのデータを盗まれた場合が例に挙がる。報告はまず速やかに行い、不正の目的によるおそれがある場合の期限は発覚した日から60日以内だ。

委託を受けた事業者は、委託元へ通知すれば委員会への報告義務を免れる（26条1項ただし書き）。委員会の資料は、委託先と委託元の双方が報告している場合もあると記している。第2報は委員会への報告の有無に触れていない。

委託元には、委託先に対する「必要かつ適切な監督」の義務がある（25条）。NTTデータは調査結果を踏まえ、委託先のセキュリティ対策の確認と自社の委託先管理の見直しを含めて再発防止に取り組むと表明した。STdirectServicesの再開は、必要な安全対策が講じられたことを確認したうえで判断する。

管理者権限の扱いについては、委員会が10月28日にまとめたガイドライン更新案が、特権アカウントを割り当てる従業者や端末、場面を最小限に限定することを手法の例として追記し、管理者権限のアカウントが侵害されると被害が大規模に広がるおそれがあると理由を説明している（「個人情報保護委、安全管理の「手法の例示」に多要素認証など追加へ　意見募集を開始」）。外部事業者のサービスへの不正アクセスでは、メール配信のアララが同じ10月に被害を公表し、利用企業の公表が続いている（「アララのメール配信に不正アクセス、流出は約7700万件に拡大　アソビューは1582万件」）。