消費者金融「プロミス」を展開するSMBCコンシューマーファイナンス（東京都江東区）は11月5日、金融機関のカードローンを保証する業務に使うシステムが第三者の不正アクセスを受け、外部へ送信されたデータに顧客の個人情報が含まれていたと発表した。漏えいした人数は最大32万118人で、氏名や住所のほか、運転免許証番号、年収、保証額も項目に入る。運転免許証などの本人確認書類の画像は含まれない。二次被害は現時点で確認されていないが、同社は金融機関などを名乗る不審な連絡への注意を呼びかけている。
年収や保証額まで漏えい、人数は「最大」
同社の発表によると、漏えいした情報は次の項目にわたる。連絡先と勤務先に加え、どの金融機関の契約に、いくらの保証が付いているかを示す契約情報も含まれる。
| 区分 | 漏えいした項目 |
|---|---|
| 本人の情報 | 氏名、性別、生年月日、住所 |
| 連絡先 | 自宅電話番号、携帯電話番号、メールアドレス |
| 本人確認 | 運転免許証番号（本人確認書類の画像は含まない） |
| 勤務先情報 | 電話番号、年収等 |
| 契約情報 | 金融機関コード、顧客番号、保証額、保証開始日等 |
人数に「最大」と付くのは、影響範囲の調査が続いているためだ。同社は原因と影響範囲の詳細を専門家や関係各所と連携して調べており、発表は「現時点で判明している内容」との位置づけである。32万118人の全員について、すべての項目が漏えいしたのかどうかは示されていない。
項目の一覧に、銀行の口座番号や暗証番号は挙がっていない。ただし勤務先情報と契約情報の項目には「等」が付いており、発表からはそれ以上の内訳は分からない。データが暗号化されていたかどうかも書かれていない。
提携先は189、銀行ローンの保証を担う
不正アクセスを受けたのは、同社が消費者に直接貸し出す「プロミス」の事業ではなく、金融機関と提携する保証業務のシステムである。同社の事業は貸金業と保証業の2本で、発表は地方銀行、信用金庫、インターネット銀行などと提携してカードローン等の保証業務を行っていると説明している。
同社の事業紹介によると、利用者が金融機関に個人向けの無担保ローンを申し込むと、金融機関の審査の後に同社が保証会社として保証審査を行い、その結果を踏まえて金融機関が融資する。利用者の返済が難しくなると、同社が利用者に代わって金融機関に弁済する。同社の資料の図によると、利用者は金融機関と融資の契約を結ぶ一方で同社とも保証委託契約を結び、金融機関は同社に保証料を支払う。借りる相手は金融機関でも、利用者の情報は保証会社も持つことになる。
保証提携先は2026年3月末時点で189に上り、東京と福岡の保証センターが保証審査や受付業務の受託を担う。一部の提携先には、カードローンのWeb申込フォームも提供している。
このため、対象者には、同社との取引を意識していない金融機関のローン利用者が含まれる可能性がある。ただ発表は、どの提携先の利用者が含まれるのかを示していない。プロミスの利用者が含まれるのか、申し込みだけで契約に至らなかった人が含まれるのかも書かれていない。
同社は1962年の設立で、資本金は1407億3700万円、従業員は2026年3月末で1959人。2024年10月1日に三井住友カードの完全子会社となった。
検知は11月2日、手口は明らかにせず
発表によると、同社は11月2日に不正アクセスを検知し、被害の拡大を防ぐため同日中に保証業務のシステムへのアクセスを遮断した。ほかに不正なアクセスがないかを調べる過程で、今回の情報漏えいを確認したという。公表は検知から3日後の11月5日だった。漏えいを確認した日は書かれていない。
侵入の手口や、第三者がいつからシステムに入っていたのかについても、発表は触れていない。保証システムは安全性の確認とメンテナンスのため一時停止を続けており、再開の時期は示されていない。提携先のローンの申し込みや審査に支障が出ているのかも、発表からは確認できない。
同じ時期に、同社はプロミスのサービスも止めていた。10月30日付のお知らせで、緊急メンテナンスのためWeb・アプリのサービスを一時停止していると告知し、安全性の確認ができたものから順次再開するとした。再開を告げたのは11月2日で、不正アクセスを検知した日と同じである。この時点でもメールアドレスの変更と生体認証の登録は利用できないままだった。
ただ、二つのお知らせは緊急メンテナンスの理由を説明しておらず、11月5日の発表もプロミスのサービス停止に触れていない。両者に関係があるのかどうかは確認できていない。
対象者へは個別に案内、不審な連絡に注意
対象となる人には、範囲の特定後に、保証提携先と相談のうえでメールやSMSなどで個別に案内する。したがって、現時点では自分が対象かどうかを発表から判断することはできない。
同社は、同社や金融機関を名乗る不審な電話、メール、SMSが送られる可能性があるとして注意を促している。身に覚えのない連絡や不審な連絡を受けた場合は、記載されたURLにアクセスしたり個人情報を入力したりせず、同社の専用窓口か警察などに相談するよう求めた。個別の案内と、同社が警戒を呼びかける不審な連絡は、どちらもメールやSMSで届く可能性がある。
本件に関する利用者向けの専用窓口は、SMBCコンシューマーファイナンス問合せ窓口（03-5677-9228）。受付は平日、土日祝日とも午前9時から午後6時まで。
法令が求める報告と本人への通知
個人情報保護法は、一定の漏えいが起きた事業者に、個人情報保護委員会への報告と本人への通知を義務づけている。委員会の資料によると、本人の数が1000人を超える漏えいや、不正の目的で行われたおそれがある行為による漏えいが報告の対象になる。今回の最大32万118人はこの人数の基準を大きく上回る。
報告は2段階である。委員会のガイドラインによると、事業者は事態を知った時点から概ね3〜5日以内を目安に速報を出し、30日以内に確報を出す。不正の目的で行われたおそれがある場合、確報の期限は60日以内となる。本人への通知は、事態の状況に応じて速やかに行わなければならない。11月5日の発表には、委員会や金融当局への報告の有無は書かれていない。
不正アクセスによる個人情報の漏えいの公表は、ほかの業種でも続いている。本紙は松屋アプリに不正アクセス、注文利用者237万件の住所・氏名漏えい アプリは停止続くや、日本交通の不正アクセス、従業員や応募者ら約29万人分が漏えいの恐れ タクシー客は対象外を報じた。
同社は今回の件を「重大な事案」と受け止めるとして、原因と影響範囲の調査を続け、再発防止と情報管理態勢の強化に取り組むとしている。提携先の金融機関名と対象者が確定する時期は、11月5日の発表の時点では示されていない。