【解説】Astemo・岩井コスモ証券・函館市など5件、委託先に関わる不正アクセスを整理

委託先の従業員のアカウントで、本人が操作していない多要素認証の通知が出ていたのは、9月2日ごろでした。Astemoが情報の流出を公表したのは10月16日です。同じ日には、証券会社や自治体からも、委託先に関わる不正アクセスの公表が続きました。

2026年10月16日に公表された国内の事案のうち、既報で扱わなかった5件を整理した。Astemoは、業務委託会社の従業員のアカウントが侵害され、データ共有クラウドから約350名分の個人情報を含むデータが流出した。岩井コスモ証券は、システムの運用・保守の委託先トレードワークスが不正アクセスを受け、4,611名の氏名やメールアドレスなどが漏えいした。三井住友DSアセットマネジメントは、委託業者のシステムで不正アクセスを検知し、直販サイトのマイページを約10時間止めた。京王電鉄は、攻撃者を名乗る組織がグループの情報を公開したと主張していることを確認した。函館市は、委託先アルカディアへの不正アクセスで、災害メールとNET119緊急通報システムの登録情報が漏えいした可能性があるとした。

10月16〜17日の公表のうち、Studio、コミックシーモア、日本郵便などの8件は前回の記事で整理しました。ファンケルとアテニア、skyticketの第2報、ジャパンタイムズのグループは、別の記事で取り上げます。この記事では、同じ日に公表されたほかの5件を取り上げます。

5件のうち4件は、委託先のシステムや、委託先従業員のアカウントへの不正アクセスに関係しています。Astemoでは委託先のアカウントを通じたクラウドへの不正アクセスと流出が確認され、岩井コスモ証券と函館市では委託先への不正アクセスに伴う情報への影響が公表されました。三井住友DSアセットマネジメントは、委託業者のシステムで不正アクセスを検知し、予防的にシステムを止めています。10月上旬のi-ask、Commune、IDCFクラウドの事案でも、サービス提供元への不正アクセスの影響について、複数の利用企業が公表しました（関連記事）。同じ構図が、製造業、証券、自治体へと続いています。

10月16日に公表された5件

組織	入口（各社の説明）	影響（各社の表記）
Astemo	業務委託会社の従業員のアカウント侵害 → データ共有クラウド	従業員・仕入先関係者など約350名分の個人情報を含むデータが流出（10月16日時点、精査中）。顧客関係者と消費者の個人情報は含まない
岩井コスモ証券	委託先トレードワークスのシステムへの不正アクセス	4,611名の氏名、メールアドレスなどが漏えい
三井住友DSアセットマネジメント	取引委託業者のシステムへの不正アクセス	予防のためシステムを停止。マイページに約10時間ログインできず。口座情報や取引への影響は確認されていない
京王電鉄（第2報）	9月26日に確認したランサムウェア攻撃	攻撃者を名乗る組織が情報の一部を公開したと主張。外部専門家と事実関係を確認中で、個人情報の漏えいが確認された場合は対処すると説明
函館市	委託先アルカディアへの不正アクセス	119RAIDEN、NET119緊急通報システムの登録情報が漏えいした可能性。範囲は調査中

Astemo｜多要素認証の通知から始まった経緯

自動車部品を手がけるAstemoの公表は、侵入から発覚までの経緯を細かく示しています。

9月2日、本人が操作していない認証の通知

入口は、Astemoのデータ共有クラウドにアクセスする権限を持っていた業務委託会社の、従業員のシステムアカウントでした。調査の結果、9月2日ごろ、このアカウントで委託会社のシステムへのログインに異常があり、従業員本人が操作していない多要素認証の通知が出ていたことが分かっています。

多要素認証は、パスワードなどの知識、端末の所持、生体情報といった種類の異なる要素を2つ以上組み合わせて本人を確かめる仕組みです。パスワードに加えて、スマートフォンに届く通知で承認する方式もあります。本人が何もしていないのに承認を求める通知が届くのは、第三者がパスワードを使ってログインを試みているときに起こりうる状況です。ただし、Astemoの公表は認証の方式や通知への応答を示しておらず、この通知がどう扱われ、どのようにアカウントが乗っ取られたのかまでは分かりません。

9月17日、従業員への連絡

Astemoが事案に気づいたのは9月17日です。データを取得したと主張する第三者から、複数の従業員に、データの公開をほのめかす連絡が届きました。9月22日には、第三者が運営する外部サイトにAstemoを標的にしたという主張が掲載されているのを確認しています。9月24日に不審なダウンロードを見つけ、使われたアカウントを特定しました。委託会社から、アカウントが侵害されていたとの連絡を受けたのは10月初旬です。

流出したデータと対応

10月16日時点で流出が確認された個人情報は、Astemoの従業員、仕入先関係者、外部協力会社関係者などの約350名分で、氏名、メールアドレス、電話番号、所属といった業務上の連絡先です。人数や情報の種類、影響範囲は引き続き精査しています。顧客関係者や、その先の消費者の個人情報は含まれていなかったとしています。社内ネットワークや端末への侵害、ランサムウェアへの感染を示す証跡も見つかっていません。

Astemoは、侵害されたアカウントだけでなく、委託会社が使う全てのアカウントを停止しました。顧客や取引先、製品・開発に関わる情報への影響は確認を続けており、今後は委託先を含めたアカウントとアクセス権限の管理、異常なアクセスの監視を見直すとしています。

委託先の一人のアカウントが、委託元のクラウドへの入口になる。この公表では、9月2日ごろのログイン異常と本人の操作によらない認証の通知から、流出の確認までの経緯を日付で追えます。同じように委託先とクラウドを共有している企業にとって、自社の点検に使える記録です。

岩井コスモ証券と三井住友DSアセットマネジメント｜証券・運用の委託先

岩井コスモ証券は、インターネット取引のシステムの運用・保守を委託しているトレードワークスのシステムが、第三者の不正アクセスを受けたと発表しました。10月14日に不正アクセスを検知し、ただちにトレードワークスと連絡を取ってアクセス制限などの措置をとっています。漏えいしたのは4,611名分の氏名やメールアドレスなどで、対象者には公表の時点ですでに個別に連絡を済ませていました。同社は、漏えいした情報では証券口座への不正ログインや不正な取引のリスクはないとしています。脆弱な箇所の特定と修正も終え、トレードワークスにはセキュリティ管理体制の強化を求めています。

三井住友DSアセットマネジメントは、投資信託の直販サービス「三井住友DS投信直販ネット」の取引委託業者のシステムで、第三者による不正アクセスを検知しました。予防のためにシステムを止めたため、10月15日19時50分ごろから16日6時00分ごろまで、マイページにログインできない状態になりました。現在は復旧しており、口座情報や取引への影響は確認されていないとしています。委託業者の名前は示されていません。

2社の公表は同じ日ですが、委託先が同じかどうかは公表資料からは分かりません。2社の公表からは、どちらもインターネット取引のサービスの一部を外部の事業者に委託していることが分かります。委託先で不正アクセスを検知したら、影響が確認される前でも予防的に止める。三井住友DSの対応は、その判断の一つの形です。

京王電鉄｜「公開した」という主張を確認

京王電鉄は、9月26日未明に確認したランサムウェア攻撃の第2報を出しました。攻撃者を名乗る組織が、京王グループが持つ情報の一部を公開したと主張していることを確認したという内容です。外部の専門家とともに事実関係を確かめており、個人情報の漏えいが確認された場合は速やかに対処するとしています。

攻撃の確認と、鉄道の運行に影響がなかったことは、9月の記事で伝えました。9月26日の攻撃確認から20日後の10月16日に、攻撃者を名乗る組織による公開の主張を確認したと公表した形です。主張を確認した日は示されていません。ジャパンタイムズのグループも、10月15日に外部サイトでデータの公開を確認したと、16日に発表しています。主張と、実際に何が含まれているかは別のことで、京王電鉄も「正確な情報の入手に努めている」段階です。

函館市｜119番の通報システムにも

函館市は、メール配信システムなどの委託事業者であるアルカディアが不正アクセスを受け、市民の個人情報が漏えいした可能性があると発表しました。アルカディアの防災情報一斉配信サービス「SpeeCAN RAIDEN」の事案は10月14日の記事で取り上げ、防災メールを止めた自治体と続けた自治体の違いを伝えました。

函館市の公表で新たに分かるのは、対象が防災メールにとどまらないことです。影響の可能性があるのは、災害等メール配信システム「119RAIDEN」と、「NET119緊急通報システム」の2つです。

NET119とは

NET119は、聴覚や発話に障害があって音声での119番通報が難しい人が、スマートフォンなどの画面から消防に通報できる仕組みです。いざというときにすぐ居場所や身元を伝えられるよう、利用者はあらかじめ登録しておきます。

函館市によると、漏えいの可能性があるのは、119RAIDENでは氏名、メールアドレス、FAX番号、NET119では氏名、メールアドレス、生年月日、性別、住所、FAX番号、電話番号です。緊急時に迷わず届くよう、あらかじめ詳しく登録してもらう仕組みだからこそ、登録情報の項目も多くなります。影響の範囲は、アルカディアが調べている最中です。

函館市は、市や実在する企業を名乗るなりすましメールに注意するよう呼びかけています。NET119は、音声での119番通報が難しい人を対象にした仕組みです。メールやFAXで届く不審な連絡への注意喚起も、利用者の特性に配慮し、確実に届く形で行われることが求められます。

委託先という入口

5件を並べると、Astemoの業務委託会社、岩井コスモ証券のトレードワークス、三井住友DSの取引委託業者、函館市のアルカディアと、4件が委託先に関わる不正アクセスでした。Astemoの事案では、後の調査で、委託会社のシステムに9月2日ごろのログイン異常と本人の操作によらない認証の通知があったことが分かりました。委託先の側で起きた異常を、委託元がどれだけ早く知ることができるかが問われています。

一方で、委託元の打てる手も見えてきました。委託先のアカウントをまとめて止めたAstemo、不正アクセスの検知を受けて予防的にシステムを止めた三井住友DS、公表までに対象者全員へ個別の報告を行った岩井コスモ証券。委託先と、異常をどれだけ早く共有し、どこで止めるかを決めておく。10月に続いた事案は、その取り決めを見直す材料を、具体的な日付とともに残しています。