Securitize Japanのサイバー攻撃でソニー銀行の顧客617人分の氏名が流出

ソニー銀行、電子証券の取引を停止

米国のトークン化企業Securitizeの東京子会社であるSecuritize Japanがサイバー攻撃を受け、ソニー銀行、NTTデータ、丸井グループが保有していた顧客データが外部に漏洩した。三社とも情報流出を認め、調査は現在も続いている。初動はソニー銀行が先行した。同行は10月30日、電子証券業務を委託している外部業者への不正アクセスを検知し、水曜日(11月4日)にその業者がSecuritize Japanであると特定した。同行が公式発表で特定を明らかにしたのは11月4日付で、検知から公表までの5日間の経緯がここで確定した。

同行で流出した情報の規模は限定的だ。氏名が漏れたのは617人で、4人については氏名を含む顧客情報の全項目が流出した。ソニー銀行は、これ以外の重大な影響は確認されていないと説明する。不正な取引は現時点で検出されておらず、流出データが公開された形跡もないという。電子証券以外のサービスには影響が出ていない。その一方で同行は、十分な安全対策を整えるまでの間、電子証券の取引サービスを停止した。影響を受けた顧客には個別に連絡を行うとともに、問い合わせ窓口も設けている。

委託先との関係は数年にわたって続いてきた。ソニー銀行は2023年からSecuritize Japanを通じて電子証券の発行を始め、2026年には音楽著作権への投資を担保とする資金調達でも同社の基盤を利用した。電子証券は、所有権や権利の記録をブロックチェーン上で管理する金融商品で、その記録の保管は銀行自身ではなく専門事業者に委ねられる。まさにこの構造ゆえに、不正アクセスの際に同行の顧客名簿が他社のネットワーク内に置かれていたことになる。

NTTデータと丸井グループも流出を公表

Securitize Japan側の経緯は、これより1日早い10月29日に始まる。同社はこの日、自社システム内の不審な通信に気づき、外部の侵入者の痕跡と突き止めてソニー銀行に通知した。その後のアクセスログの調査で、顧客記録がシステムから持ち出されたことが判明した。

今週は、ほかの法人顧客2社も影響を明らかにした。NTTデータは11月4日、社債の購入者に関する個人情報がSecuritize Japanのサービス経由で漏洩したと発表した。同社の調査は、侵入の起点をプラットフォームの認証機能の不備と特定した。攻撃者はこの不備を突いて管理者権限を奪い、データを取得したという。丸井グループの流出範囲はさらに広い。電子債券の申し込みのためだけに口座を開設した最大9,086人について、氏名、住所、電話番号、メールアドレス、生年月日、性別、購入口数が流出した。このうち約54人については、銀行口座の情報も併せて持ち出された。

一連の事態は、東アジアの金融機関が攻撃にさらされる厳しい時期に重なった。最近数週間で、日本の損保、金融、物流など約80社が、中国で開発されたオープンソースの侵入テスト用AIツール「ARTEX」を経由した攻撃を受けた。攻撃者は海外の6基のサーバーを用意し、9月18日から10月18日にかけて日本企業への攻撃に使用した。韓国では、同じツールに関連する侵入が新韓銀行やKB国民銀行を含む16の金融機関に及び、約10万件の記録が漏洩した。韓国警察はさらに、仮想通貨取引所Bithumb、大信証券、未来アセットグローバル投資の情報流出について予備捜査に着手した。このうち大信証券では38,490人の顧客情報が流出した。ただし、Securitize Japanの各事案とARTEXを結び付ける公的な報告は現時点でなく、NTTデータも攻撃者や特定のツールではなく認証機能の不備を挙げているにとどまる。

各社の公表内容を見渡すと、個々の数字よりも全体の構図が重要だ。Securitize Japanは複数の大型金融機関の電子証券基盤を同時に支えており、認証機能の一つの不備が、銀行、技術グループ、消費者金融の三つの業態を単一の障害点から同時に襲った。各社の対応の選び方も対照的だ。ソニー銀行は、記録管理を外部事業者に委ねている状況では検証されていない環境での運用継続を避けるという保守的な判断で取引を停止した。今回の事案は、オンチェーン上のコードを狙う典型的なスマートコントラクト攻撃とは性質が異なり、管理層、つまり認証の強化と日常的なアクセスログ監視が対象とする領域で起きた。不正取引が現時点で確認されていない以上、被害は金銭面ではなく情報面にとどまる。依然として確定していないのは攻撃者の正体だ。NTTデータも丸井グループも名指ししておらず、ARTEX関連の捜査は当面、別件として扱われている。