最終更新：10 月 24 日 02:09（日本時間）
続報が出たら追記します。
すぐ見る：よくある疑問 ／ ネット取引を使っている人 ／ 技術的な詳細 ／ システムを外部に任せる会社 ／ 経緯
ひとことで言うと
証券会社のネット取引の裏側の仕組みが破られ、名前とメールアドレスが漏れた。勝手な注文も出たが、その日のうちに元に戻された（10 月 23 日の発表まで）
- 岩井コスモ証券がネット取引の運用を任せているトレードワークスのシステムに、10 月 14 日、外から何者かが入り込んだ。管理用の機能が、外からも使える設定になっていたのが原因
- ネット取引の利用者 4,975 名の名前・メールアドレスなどが漏れた。取引に使う暗証番号は含まれず、この情報だけではログインも取引もできない
- 同じ日に 7 つの口座で、本人が出していない売買の注文が出された（うち 5 口座で成立）。その日のうちに取引前の状態に戻され、利用者の負担はない
どうすればいい？
よくある疑問と答え
-
自分は対象？
対象の人には、岩井コスモ証券から個別に連絡が届いています。あとから対象になった人には、ログイン後のお知らせ画面とメールで連絡したとしています。
→ 使っている人がやること -
自分のお金や株は大丈夫？
勝手な注文が出た 7 口座は、その日のうちに取引前の状態に戻され、利用者の負担は出ていません。お金が不正に引き出されたことも確認されていません。
→ 起きたことと影響 - 暗証番号やパスワードは漏れた？ 取引に使う暗証番号は、漏れた情報に含まれていません。パスワードが取られたことも確認されていないとしています。
- 気をつけることは？ 岩井コスモ証券を名乗る電話やメールが来ても、その場で暗証番号やパスワードを伝えたり入れたりしないでください。名前を呼ばれても、本物とは限りません。
- ネット取引は使える？ 通常どおり使えます。原因の場所はすでに見つけて直したとしています。
-
どうして入り込まれた？
利用者のログインは多要素認証などで守られていました。入り口になったのは、限られた場所からだけ使うはずの管理用の機能です。システム担当者向けに、発表の内容を下にまとめています。
→ 技術的な詳細 -
システムの運用を外部に任せている会社は？
委託先が使う管理画面が、どこからでも開ける状態になっていないかを確かめてもらいます。
→ 見直すこと
詳しくは：ネット取引を使っている人 ／ システムを外部に任せる会社
この記事では、岩井コスモ証券の情報漏洩と意図しない注文（ネット取引の委託先への不正アクセス）について、岩井コスモ証券の 10 月 16 日と 10 月 20 日（第 2 報）のお知らせ、委託先のトレードワークスの 10 月 16 日と 10 月 23 日の開示だけをもとに、何が起きたのかと、ネット取引を使っている人・システムの運用を外部に任せている会社がやることを整理します。
何が起きたか
10 月 23 日の発表までに分かっていることです。トレードワークスは、岩井コスモ証券にネット取引のシステムを提供し、その運用・保守を担っている会社です。
10 月 14 日、岩井コスモ証券が外からの不正なアクセスに気づきました。すぐにトレードワークスに知らせ、アクセスを制限するなどの急ぎの手を打ちました。
| こと | 発表の内容 |
|---|---|
| 漏れた情報 | ネット取引の一部の利用者 4,975 名の氏名・メールアドレスなど。最初は 4,611 名と発表し、通信の記録を調べ直して 364 名が加わった。あとから新しく漏れたものではない |
| 本人が出していない売買の注文 | 10 月 14 日、売買を管理するシステムへの攻撃で、7 口座で本人が意図しない注文が出され、うち 5 口座で成立（約定）した。その日のうちに取引前の状態に戻され、利用者の負担は出ていない。漏れた個人情報が使われたものではない |
| 含まれないもの | 取引暗証番号。漏れた情報だけでは、証券口座へのログインや取引はできない。お金が不正に引き出されたことも確認されていない |
| 今の状態 | ネット取引は安定して動いていて、通常どおり取引できる。原因の場所の特定と修正は終わっている |
勝手な注文のことは、10 月 20 日の第 2 報で初めて発表されました。岩井コスモ証券は、10 月 16 日の時点では同じ被害を防ぐ対策を順に進めている途中だったため、手口につながる情報の公表を控えていたと説明しています。
岩井コスモ証券のネット取引を使っている人がやること
岩井コスモ証券の案内です。情報が漏れた人には個別に知らせていて、第 2 報で新しく対象になった人には、ログイン後のお知らせ画面とメールで連絡しています。岩井コスモ証券を装った電話やメールが新たに出てくるおそれがあるとして、注意を呼びかけています。
- 岩井コスモ証券を名乗る電話・メールには、慎重に応じる。漏れたのは氏名やメールアドレスなどなので、名前を呼ばれても本物とは限らない（この記事での整理）
- 身に覚えのない連絡や取引があれば、お客様相談室（電話 0120-405-546・受付は平日 9 時〜17 時）に問い合わせる。番号は、届いたメールではなく、岩井コスモ証券の公式サイトで確かめる
- ネット取引に入るときは、メールのリンクからではなく、ブックマークや公式アプリから入る（この記事での整理）
- ときどき取引の履歴を見て、覚えのない注文がないかを確かめる（この記事での整理）
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 23 日 | トレードワークスが経過を開示。原因を、限られた場所からだけ使うはずの機能が外から使える状態だったことと説明し、損失の見込みを公表 |
| 10 月 20 日 | 岩井コスモ証券の第 2 報。漏れた人を 4,975 名に改め、7 口座での意図しない売買の注文を公表。新しく対象になった人に個別に連絡 |
| 10 月 16 日 | 岩井コスモ証券とトレードワークスがそれぞれ公表。4,611 名の情報が漏れたと発表し、対象の人には個別に知らせ済みとした |
| 10 月 14 日 | 不正アクセスに気づき、アクセスの制限などの急ぎの手を打った。同じ日に意図しない売買の注文が出され、取引前の状態に戻した。対象の口座の人には同じ日に個別に連絡 |
技術的な詳細（システム担当者向け）
ここからは、業務のシステムを運用している担当者・エンジニア向けです。トレードワークスの 10 月 16 日・10 月 23 日の開示と、岩井コスモ証券の第 2 報から読み取れる技術的な点を、発表の言葉に沿って並べます。
最初に、利用者側の認証の状態です。トレードワークスによると、利用者のログインには多要素認証やパスキーなどの多重化された認証が設けられていて、通常の経路からの不正ログインは防がれていました。
| 観点 | 発表の内容 |
|---|---|
| 原因 | システムの一部の管理機能の設定の不備。本来は限定された環境からのみ利用されるべき機能が、外部から利用できる状態にあり、第三者に悪用された |
| 利用者の認証 | 多要素認証・パスキーなどで守られていた。悪用された管理機能を通じて、利用者のパスワードが取得されたことは確認されていない |
| 起きたこと | 一部の利用者の氏名・メールアドレスなどの外部への漏洩。売買管理システムへの攻撃による、7 口座での意図しない売買注文の発注（うち 5 口座で約定）。不正取引は漏洩した個人情報を使ったものではない |
| 対象の確定 | 通信の記録を調べ直して、対象を 4,611 名から 4,975 名に修正。その後に新たな不正アクセスや漏洩が起きたものではない |
| 初動と是正 | 10 月 14 日の検知のあと、アクセス制限などの緊急措置。約定した取引は同日中に取引前の状態に復元。原因の箇所の特定と修正は完了 |
| ほかの金融機関 | トレードワークスがほかの金融機関に提供しているシステムで、同様の事象は確認されていない |
| 損失と負担 | 損失は現時点で約 50 百万円の見込み。損失と対応の費用はトレードワークスが全額を負担する方針。サイバー保険の適用を見込む |
| 発表に無いこと | 管理機能の名前・攻撃の手口の細部（手口につながる情報として公表を控えていた） |
この記事での整理です。利用者のログインをいくら強くしても、管理の側に別の入り口があり、それが外から開いていれば守れません。管理機能は、接続元の IP アドレスの制限や VPN・閉じたネットワークの内側に置き、公開の範囲が設定の変更で広がっていないかを定期的に確かめる必要があります。
システムを外部に任せる会社が見直すこと
発表から読み取れることを、業務のシステムやホームページの運用・保守を外部の会社に任せている中小企業向けにまとめます（この記事での整理）。今回は、利用者のログインは守られていたのに、管理の側の機能が外から使える状態だったことで、情報の漏洩と注文まで起きました。
- 管理の入り口を一覧にする ホームページの管理画面、予約や会員の仕組みの管理機能、サーバーの管理パネルなど、管理の入り口がいくつあり、どこから開けるかを委託先と一緒に書き出す。社内や委託先の決まった場所からしか開けないようにできるかを相談する。
- 設定の確認を定期的に頼む 設定の不備は、作った直後より、あとの変更で生まれることもある。管理機能の公開の範囲やアクセスの制限を、定期的に見直してもらう約束をしておく。
- 事故のときの連絡と負担を決めておく 今回はトレードワークスが損失と対応の費用を負担する方針を示し、サイバー保険の適用も見込んでいる。自社の委託先とも、連絡の期限、費用の負担、保険の有無を確かめておく。
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、ホームページの安全対策の基本は 「ホームページのセキュリティ対策」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、管理画面の守り方や委託先の事故の情報を、公開後もずっと自分で追い続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
