【10/31】楽天証券の不正アクセスとは？委託先から社債362件流出か

楽天証券は10月31日、デジタル特典付き社債を買った一部の顧客の情報、延べ362件が外部に漏えいした可能性があると発表しました。不正アクセスを受けたのは楽天証券のシステムではなく、特典の申し込みに使われていたNTTデータの委託先のサービスです。

同じ不正アクセスで、近鉄グループホールディングス（近鉄GHD）も社債を100万円以上買った投資家2678人分の氏名と購入金額が漏えいした可能性があると発表しました。この記事では、何が起きたのか、対象になる社債と人、漏れた可能性のある情報と含まれない情報、NTTデータが止めたサービス、相次ぐ証券口座の乗っ取り被害との違い、自分が対象かもしれない人が今すぐやることを、各社の発表と報道で確認できた事実をもとに整理します。

楽天証券の不正アクセスとは？NTTデータ委託先から情報流出の可能性

楽天証券が社債の特典申し込みに使っていた外部サービスに不正アクセスがあり、顧客情報が持ち出された可能性がある事案です。

楽天証券の10月31日の発表によると、外部サービスの提供元である株式会社NTTデータから、委託先が提供する「デジタル証券プラットフォーム」に第三者の不正アクセスがあり、システム内の情報が外部に持ち出された可能性があると報告を受けました。発生日は10月30日（金）としています。楽天証券は「当社のシステムが不正アクセスを受けたものではない」と説明しています。

見出しの「楽天証券 不正アクセス」だけを見ると、楽天証券の口座そのものが破られたように読めますが、今回の発表はそうではありません。侵入されたのは社債の特典を扱う外部のサービスで、楽天証券のログインや売買の仕組みが狙われた事案ではない点を押さえておく必要があります。

デジタル特典付き社債とは？

買った人に発行会社からの特典が付く社債で、特典の申し込みや付与をデジタルのサービスで行う仕組みです。

楽天証券の発表では、今回の対象を「デジタル特典付き社債」と呼んでいます。特典の申し込みや付与の手続きに外部のサービスが使われており、そこに購入者の情報が置かれていました。社債そのものの元本や利払いの仕組みが止まったという発表は、確認できた範囲ではありません。

対象になる社債は？カゴメ・JR西日本・近鉄GHDの3銘柄

楽天証券で対象になるのは、カゴメ、JR西日本、近鉄GHDの3銘柄の社債を買った顧客の一部で、延べ362件です。

楽天証券の発表とCNET Japanの報道をもとに、対象の社債を表にまとめます。

3銘柄を合わせた楽天証券の対象は延べ362件で、近鉄GHDの社債だけは「100万円以上を買った人」という条件が付いています。

楽天証券の発表は「延べ362件」としていて、実際の人数や具体的な数え方は公表されていません。

漏えいした可能性のある情報は？IDやパスワードは含まれない

楽天証券のログインIDやパスワード、取引に必要な情報は、漏えいした可能性のある情報に含まれていないと報告されています。

楽天証券は、NTTデータからそのように報告を受けたと発表しています。発表の時点で、この件に起因する不正アクセスや不正取引は確認されていないとしています。一方で、楽天証券分の漏えいした可能性のある情報が具体的にどの項目かは、発表には書かれていません。

手がかりになるのが近鉄GHDの発表です。関西テレビと共同通信によると、近鉄GHD分で漏えいした可能性があるのは、社債を買った人の氏名と購入金額で、証券口座番号やパスワードなど金融取引に関する情報は含まれていないとされています。これは近鉄GHDが自社の社債について公表した内容で、楽天証券分の具体的な情報の項目は調査中です。

氏名と購入金額が漏れると何が困る？

ログイン情報は含まれないと報告されていますが、社債を買った事実を知った者からの詐欺の連絡に使われるおそれがあります。

楽天証券も近鉄GHDも、自社や関係会社を装った不審なメールやSMS、電話に注意するよう呼びかけています。「社債の特典の件で」「情報漏えいのお詫びとして」などと、今回の件をなぞった連絡が来ても、記載されたURLを開いたり、個人情報を入力したりしないことが大切です。

NTTデータが止めた「STdirectServices」とは？

社債を買った人への特典の付与を支えるNTTデータのサービスで、今回の不正アクセスを受けて停止されています。

NTTデータは10月31日、「STdirectServicesのサービス停止についてのお知らせ」を出しました。サービスで使っている委託先のSaaS（インターネット経由で使うソフト）に第三者の不正アクセスがあり、委託先が扱う個人情報が漏えいした可能性があるため、サービスを止めたと説明しています。現時点で特典付与の対象になる社債が無いため、停止による業務への影響は無いとしています。

委託先の会社名は公表されている？

委託先の会社名は、NTTデータ、楽天証券、近鉄GHDのいずれの発表でも明らかにされていません。

ビジネス+ITは、NTTデータの発表には委託先の社名、漏えいの件数や情報の項目、不正アクセスの時期、サービスの再開時期が書かれていないと指摘しています。共同通信は、原因をNTTデータの「再委託先」のシステムへの不正アクセスとみられると伝えていて、媒体によって「委託先」「再委託先」と表現が分かれています。

近鉄GHDは2678人分、ほかの会社への広がりは？

近鉄GHDが社債購入者2678人分の漏えいの可能性を発表し、TBS NEWS DIGは野村證券なども対象と伝えています。

関西テレビによると、近鉄GHDは10月30日にNTTデータから報告を受け、31日に発表しました。対象は今年7月に発行した第135回無担保社債を100万円以上買った投資家全員の2678件で、氏名と購入金額が漏えいした可能性があるとしています。近鉄GHDは影響の範囲を調べていて、「深くお詫び申し上げます」とコメントしました。

発表した各社の内容を並べると、次のとおりです。

楽天証券の362件と近鉄GHDの2678件は数え方の立場が違うため、足し算はできず、重なる人もいるとみられます。

TBS NEWS DIGは見出しで「近鉄GHDや野村証など、社債購入者の情報漏えいの可能性」と伝えています。野村證券分の件数や情報の項目は、この記事で確認できた範囲では分かっていません。カゴメとJR西日本の社債も楽天証券の対象に入っているため、両社やほかの販売証券会社から発表が続くかどうかが今後の焦点です。

いつ何が起きた？発表までの流れ

不正アクセスは10月30日に起き、NTTデータから報告を受けた各社が31日に発表しました。

各社の発表と報道から、流れを図にまとめます。

図のとおり、発生から発表までは1日で、原因や侵入の経路はまだ調査の途中です。

楽天証券は、NTTデータや委託先と連携して原因、影響範囲、漏えいした可能性のある情報の詳細を調べ、影響が確認された顧客には個別に連絡するとしています。

証券口座の乗っ取り被害とは別の話？

別の話です。今回は外部サービスからの情報の持ち出しで、IDとパスワードを盗まれて口座を勝手に売買される乗っ取りとは中身が違います。

証券口座の乗っ取りは2025年春ごろから相次いでいます。共同通信によると、不正アクセスで口座を乗っ取られ、保有する株などを勝手に売られたとする79人が、2026年8月27日、SBI証券、松井証券、楽天証券、マネックス証券の4社に原状回復を求める民事調停を東京簡裁に申し立てました。ゴールドオンラインも、口座内の株や投資信託を勝手に売られ、その代金で小型株を買わされる手口が主流だと解説しています。

今回の件は、こうした乗っ取りとは侵入された場所が違います。ただ、社債を買ったことや金額を知った者が、楽天証券を名乗る偽のメールでログイン画面へ誘い、IDとパスワードを盗もうとする可能性は否定できません。情報の持ち出しが、次の乗っ取りの入口に使われないよう備えることが大切です。

委託先からの漏えいは最近多い？

増えているかを示す統計は確認できませんが、同じ時期に外部の事業者を通じた漏えいの公表が別にもあります。

ビジネス+ITによると、前日の10月30日には、KDDIとライフネット生命保険が、提携先のシステムへの不正アクセスでKDDIの顧客情報が最大約2万2500件流出した可能性を発表しました。自社のシステムを守っていても、仕事を任せた先が破られると情報が漏れるという点で、今回と同じ型の事案です。

自分が対象か確かめるには？今すぐやること

まず楽天証券の取引履歴で対象3銘柄を買ったかを確かめます。買っていても対象かの確定は、楽天証券の個別連絡を待ちます。

楽天証券の発表と、各社の呼びかけをもとに、今すぐできることをまとめます。

• 対象の社債を買ったか確かめる：カゴメ第1回、JR西日本第80回、近鉄GHD第135回の無担保社債を楽天証券で買ったかを、自分の取引履歴で確かめます。
• メールやSMSのURLを開かない：楽天証券や近鉄を名乗る連絡が来ても、記載のURLからログインせず、公式アプリやブックマークから開きます。
• パスキー認証を設定する：楽天証券は、まだ設定していない人にパスキー認証の設定を勧めています。
• 取引履歴を時々見る：今回の件で不正取引は確認されていませんが、身に覚えのない売買が無いかを見ておくと安心です。

この4つのうち、すぐに効くのはURLを開かないこととパスキー認証の設定で、どちらも今日のうちにできます。

楽天証券の不正アクセスのよくある質問

続報は、楽天証券、NTTデータ、近鉄GHDの公式サイトのお知らせで確かめられます。影響が確認された人には楽天証券から個別に連絡が来るので、それまでは偽の連絡に乗らないことを優先してください。

参考情報

• 楽天証券「外部サービスへの不正アクセスによる情報漏えいの可能性について」（2026年10月31日） https://www.rakuten-sec.co.jp/web/info/info20261031-01.html
• NTTデータ「STdirectServicesのサービス停止についてのお知らせ」（2026年10月31日） https://www.nttdata.com/global/ja/news/release/2026/103101
• CNET Japan「楽天証券、顧客情報流出の可能性 NTTデータ委託先不正アクセスで」（2026年11月1日） https://japan.cnet.com/article/35254251/
• ビジネス+IT「NTTデータ、委託先SaaSに不正アクセス…社債特典サービス停止、漏えい『空白』とは？」（2026年10月31日） https://www.sbbit.jp/article/cont1/187990
• ゴールドオンライン「証券会社『補償はできません』…NISA資産1,200万円の38歳会社員、不正ログイン被害で資産が消えたのに、“補償ゼロ”」（2026年10月31日） https://gentosha-go.com/articles/-/83011
• 関西テレビ「近鉄グループホールディングス 100万円以上の社債を購入した投資家の個人情報が漏えいした可能性」（2026年10月31日）
• 共同通信「近鉄社債購入者の情報が漏えいか 氏名や金額、2678人分」（2026年10月31日）
• 共同通信「大手証券4社に原状回復求める 口座乗っ取り被害で調停申し立て」（2026年8月27日）
• TBS NEWS DIG「近鉄GHDや野村証など、社債購入者の情報漏えいの可能性-不正アクセス」（2026年10月31日）