大和証券の情報漏洩｜問い合わせ約11万名分と問い合わせた人がすること 2026

2026年10月20日

＠SOHO編集部

この記事のポイント

✓大和証券の情報漏洩について
✓2026年10月5日の公式発表をもとに
✓委託先スカラコミュニケーションズへの不正アクセスの経緯

大和証券株式会社は2026年10月5日、インターネット経由の問い合わせの管理に使っていた委託先、株式会社スカラコミュニケーションズのサーバーが不正アクセスを受け、約11万名のお客様の氏名、メールアドレス、口座番号等の情報が漏洩した可能性があると発表しました。個人を特定できる情報の無い問い合わせも合わせると約22万件です。大和証券は、この情報だけでは証券口座へのアクセスや取引はできないとしています。過去に大和証券へネットで問い合わせたことがある人がまずすることは、大和証券を名乗るメールやSMSのリンクを開かないこと、そして取引用のID・パスワード、暗証番号、ワンタイムパスワードを誰にも伝えないことの2つです。

この記事では、2026年10月20日時点で大和証券と委託先が公表している内容だけをもとに、公表の経緯、漏洩した可能性のある項目、原因、会社の対応、自分が対象かどうかの確かめ方、そして今日やることを順に整理します。今回は大和証券のシステムが直接狙われたのではなく、問い合わせの管理を任せていた外部の会社のサーバーで起きた事案です。この点が分かると、何に気をつければよいかがはっきりします。

大和証券の情報漏洩で何が起きたのか（2026年10月20日時点）

最初に、大和証券の発表で確定している事実を短く並べます。

発表日：2026年10月5日
委託先：株式会社スカラコミュニケーションズ（以下、スカラコミュニケーションズ）
不正アクセスの期間：2026年10月2日20時33分頃から10月3日8時1分頃まで（委託先の説明による）
大和証券が連絡を受けた日：2026年10月3日
漏洩した可能性のある情報：約11万名のお客様に係る氏名、メールアドレス、口座番号等
件数：個人を特定できる情報の無い問い合わせも合わせて約22万件
大和証券のシステムへの不正アクセス：確認されていない
不正な取引：発表の時点で、本件に起因する不正な取引は確認されていない

発表の言葉は「漏洩した可能性があります」です。漏洩が確定したという書き方ではありません。ただし、委託先からは大和証券のお客様情報へのアクセスと取得の形跡が確認されたと報告されています。

大和証券の発表は、同社の公式サイトのトップページにあるお知らせから開けます。2026年10月20日時点のトップページには、該当のお客様へは10月5日と10月14日に、お知らせBOXやメール等で個別に連絡したことも書かれています。お知らせBOXとは、大和証券のオンラインサービスにログインすると見られる、お客様あての連絡の受け箱のことです。

今回の件で漏洩した可能性があるのは、問い合わせの履歴に含まれていた情報です。ログインのためのパスワードや暗証番号が漏れたわけではありません。それでも、氏名とメールアドレスに口座番号まで結び付いた情報が外に出た可能性があるので、大和証券を名乗る偽の連絡が本物らしく見えやすくなっています。対策の中心は、偽の連絡にだまされてログインの情報を渡さないことです。

公表の経緯：委託先からの連絡と、個別の連絡

2026年10月2日から3日：委託先のサーバーへの不正アクセス

大和証券の発表によると、スカラコミュニケーションズのサーバーに対する不正アクセスは、10月2日20時33分頃から10月3日8時1分頃までの間に起きました。夜から翌朝までのおよそ半日です。

スカラコミュニケーションズ自身の発表では、10月3日の朝、データベースの監視アラートをきっかけに調査を始め、同日8時頃に不正アクセスを遮断したとしています。該当する利用企業には、同じ日のうちに第一報を伝えたとも書かれています。

2026年10月3日：大和証券が連絡を受ける

大和証券は10月3日、スカラコミュニケーションズから、同社サーバーへの不正アクセスによって大和証券のお客様情報へのアクセスと取得の形跡が確認されたという連絡を受けました。

2026年10月5日：大和証券の発表と、最初の個別の連絡

大和証券は10月5日に発表を出しました。同社のトップページによると、該当のお客様への個別の連絡もこの日に行っています。

2026年10月6日：委託先と親会社の発表

10月6日には、スカラコミュニケーションズと、その親会社の株式会社スカラが、それぞれ発表を出しました。被害を受けたのは、スカラコミュニケーションズが提供するFAQシステム「i-ask」です。FAQシステムとは、企業のサイトで利用者からの質問への回答を表示したり、問い合わせを受け付けて管理したりする仕組みのことです。

2026年10月14日：2回目の個別の連絡

大和証券のトップページには、該当のお客様へ10月5日と10月14日に、お知らせBOXやメール等で個別に連絡したと書かれています。2026年10月20日時点で、10月5日の発表の件数や項目を変える続報は出ていません。

漏洩した可能性のある項目と、取引への影響

大和証券の発表に書かれた範囲を、そのまま表にしました。

区分	内容
漏洩した可能性のある項目	氏名、メールアドレス、口座番号等
対象の人数	約11万名のお客様
件数	約22万件（個人を特定できる情報の無い問い合わせも含む）
対象になった情報	インターネット経由での問い合わせ等に係る情報（受付済みの問い合わせ履歴）
発表が示している影響	この情報では、オンライントレードも含め証券口座へのアクセスや当社での各種取引はできない

項目の最後に「等」と付いているので、氏名、メールアドレス、口座番号のほかにも、問い合わせの際に書いた内容が含まれている可能性があります。問い合わせの本文に、電話番号や住所、保有している銘柄、資産の状況などを書いた覚えがある人は、それらも対象に入りうると考えておくのが安全です。

発表は、取引への影響について次のように書いています。

漏洩した可能性のある本件情報では、オンライントレードも含め、お客様の証券口座へのアクセスや当社での各種取引はできません。実際に現時点までに本件に起因する不正な取引は確認されておりませんが、今後も継続した監視を実施し、必要な措置を講じてまいります。出典: daiwa.jp

口座番号が漏れると何が起きうるか

口座番号だけでは、証券口座にログインすることはできません。ログインには、ログインIDとパスワード、さらに追加の認証が要るからです。発表もこの点を明記しています。

注意が必要なのは、口座番号が偽の連絡の材料になることです。「お客様の口座番号○○○について、確認が必要な取引があります」と本当の口座番号を書かれると、本物の大和証券からの連絡だと信じてしまいやすくなります。そこからリンクを開いて、偽のログイン画面にIDとパスワードを入力してしまうと、口座を乗っ取られるおそれが出てきます。

件数と人数がずれている理由

約11万名と約22万件という2つの数字は、数えているものが違います。約11万名は、氏名などで個人を特定できるお客様の数です。約22万件は、それに個人を特定できる情報の無い問い合わせを加えた件数です。1人が何度も問い合わせている場合もあるので、件数のほうが多くなっています。

原因：委託先の問い合わせ管理システム「i-ask」への不正アクセス

大和証券の発表が示している原因は、委託先であるスカラコミュニケーションズのサーバーへの不正アクセスです。大和証券のシステムに対する不正アクセスは確認されていないとしています。

詳しい経緯は、スカラコミュニケーションズの発表に書かれています。

第三者が「i-ask」の管理サイトに不正にログインした
スカラコミュニケーションズが管理するサーバー上に、不正なプログラムを設置した
同じサーバー上で動いていた利用企業のシステムの環境のデータベースから、問い合わせ情報を取得した可能性がある
対象は、同じサーバー上で動いていた利用企業向けの環境（最大5社）

スカラコミュニケーションズの発表では、漏えいした可能性のある件数は全体で最大713,126件（問い合わせ単位の延べ件数）とされ、実際の人数は名寄せの作業中とされています。名寄せとは、同じ人の複数の問い合わせを1人にまとめて数え直す作業のことです。発表の本文はスカラコミュニケーションズのお知らせで読めます。

管理サイトにどうやって不正にログインされたのか、なぜ不正なプログラムを設置できたのかは、2026年10月20日時点の発表では明らかにされておらず、外部の専門機関によるフォレンジック調査が進められているとされています。フォレンジック調査とは、サーバーに残った記録を調べて、侵入の経路や盗まれた情報を突き止める調査のことです。

同じ委託先を使っていたほかの会社

スカラコミュニケーションズは利用企業の名前を公表していませんが、利用企業の側がそれぞれ発表を出しています。2026年10月20日時点で公式の発表を確認できたのは、大和証券のほか、シチズン時計（10月6日、各ブランドのサイトの問い合わせフォーム、約10万名分）、損害保険ジャパン（10月7日、ドライブレコーダーのサービスの問い合わせ、約6万件）、オリックス生命保険（10月8日、公式サイトの問い合わせ、約26,500件）です。大和証券のほかにこれらの会社にも問い合わせたことがある人は、それぞれの会社から別々に連絡が来る可能性があります。

大和証券の対応：注意喚起、個別の連絡、委託先の点検

大和証券の発表とトップページに書かれている対応は次のとおりです。発表に無いことは書いていません。

ホームページ等でお客様に注意を呼びかけ
対象となるお客様へ個別に連絡（10月5日と10月14日に、お知らせBOXやメール等で連絡したとトップページに記載）
本件に起因する不正な取引が無いか、継続して監視
既存の委託先の点検
スカラコミュニケーションズの原因調査と恒久的な対策を確認
委託先の管理のあり方を検証し、管理を強化する策と実施の時期を決める
お客さま専用の対応窓口を設置

スカラコミュニケーションズの側では、不正ログインに使われたアカウントのパスワード変更、攻撃元のIPアドレスの遮断、不正なプログラムの隔離、全環境の管理者アカウントのパスワード変更、アップロードされたファイルをプログラムとして実行できないようにする設定変更を行ったとしています。今後は、管理者の認証の強化（多要素認証の導入等）、環境の分離、監視体制の強化などを進めるとしています。個人情報保護委員会への報告と、警察への相談も行っています。

2026年10月20日時点の大和証券の発表には、補償やお詫びの品についての記載はありません。発表に無い「補償の手続き」「お詫びのポイント」などの案内が届いた場合は、まず偽物を疑ってください。

自分が対象かを確かめる方法

1. お知らせBOXを確かめる

大和証券は、該当のお客様へ10月5日と10月14日に、お知らせBOXやメール等で個別に連絡したとしています。大和証券のオンラインサービスにログインして、お知らせBOXに連絡が来ていないかを確かめてください。ログインするときは、メールやSMSのリンクからではなく、自分でブックマークしておいた正しいサイトか、公式アプリから入ります。

2. メールの受信箱を確かめる

登録しているメールアドレスの受信箱も確かめます。ただし、この連絡を装った偽のメールが届くおそれもあります。メールに書かれたリンクからログインせず、内容はお知らせBOXの側で確かめるのが安全です。

3. 分からないときは専用ダイヤルに問い合わせる

大和証券のトップページは、ご不明な場合は専用ダイヤルへ問い合わせるよう案内しています。番号は後の「問い合わせ窓口」の節にまとめました。

4. 問い合わせたかどうか覚えていないとき

対象は、インターネット経由で大和証券に問い合わせたことがある人です。口座を持っているかどうかとは別の話なので、口座が無くても、口座を開く前に問い合わせフォームから質問したことがあれば対象になりえます。受信箱を「大和証券」で検索し、問い合わせの受付の確認メールが残っていないかを見ると、思い出す手がかりになります。

自分のメールアドレスが過去にほかの漏えいに含まれていないかを確かめたいときは、海外の無料サイトでメールアドレスを照合する方法もあります。手順はHave I Been Pwnedの使い方で説明しています。ただし、今回の件がそのサイトに登録されているかどうかは分かりません。今回の件は、大和証券の連絡と専用ダイヤルで確かめてください。

問い合わせた人がすること：偽の連絡を見抜く5つのポイント

大和証券の発表は、お客様の氏名や問い合わせの内容を使って、大和証券や関係者を装った電話やメールの詐欺が行われるおそれがあると注意を呼びかけています。そのうえで、不審な連絡のリンクや添付ファイルを使わないこと、取引用のID・パスワード、暗証番号、ワンタイムパスワード等を提供しないことを求めています。ワンタイムパスワードとは、ログインや取引のたびに1回だけ使える確認用の番号のことです。

これに金融庁の注意喚起の内容も合わせて、問い合わせたことがある人が気をつけるポイントを5つに整理しました。

ポイント1：見覚えのある送信者でもリンクを開かない

金融庁は、証券会社のサイトを装った偽のサイトでログインIDやパスワードを盗み、インターネット取引で不正な取引をする被害に注意を呼びかけています。その中で、見覚えのある送信者からのメールやSMSであっても、メッセージに載っているリンクを開かないよう求めています。今回は本当の氏名、メールアドレス、口座番号を使った連絡が来るおそれがあるので、なおさらです。

ポイント2：ブックマークか公式アプリからログインする

大和証券のサイトには、あらかじめ正しいアドレスをブックマークに登録しておき、そこから開くようにします。金融庁もこの方法を勧めています。メールのリンクから開いたページは、見た目が同じでも偽物の場合があります。

ポイント3：ID・パスワード・暗証番号・ワンタイムパスワードは誰にも伝えない

大和証券は、これらを提供しないよう明記しています。電話で「本人確認のため」「不正な取引を止めるため」と言われても、伝えてはいけません。電話で聞かれたら、その時点で偽物と判断して一度切り、公式サイトで確かめた番号にかけ直します。

ポイント4：パスキーなど強い認証を設定する

金融庁は、証券会社が用意しているセキュリティを強める機能（ログイン時、取引時、出金時、出金先の銀行口座の変更時の多要素認証や、通知のサービス）を有効にするよう求めています。多要素認証とは、パスワードに加えて別の手段で本人かどうかを確かめる仕組みのことです。中でもパスキー認証は、偽のサイトにだまされても使われにくい強い認証とされ、各社で必須化が進められていると金融庁は説明しています。大和証券のサイトにも、パスキーの登録についての案内があります。まだ設定していない人は、この機会に設定しておくと安心です。仕組みはMFA（多要素認証）導入のメリットと製品比較でも説明しています。

ポイント5：こまめに口座の状況を確かめる

金融庁は、こまめに口座の状況を確かめ、不審なサイトに情報を入力したおそれや不審な取引の心配があれば、証券会社の窓口に連絡し、すぐにパスワード等を変えるよう求めています。身に覚えのないログインの通知や取引が無いかを、ときどき確かめる習慣をつけておきます。

金融庁の注意喚起はインターネット取引サービスへの不正アクセス・不正取引にご注意くださいで読めます。2026年10月9日に更新されています。

パスワードの使い回しも見直す

今回はパスワードが漏れた事案ではありません。それでも、大和証券のログインパスワードを別のサービスと同じにしている場合は、別のサービスの漏えいから大和証券の口座に入られるおそれがあります。証券口座のパスワードは、ほかのどのサービスとも違うものにしておきます。

偽のメールの典型的な文面や、受け取ったときの対応の練習方法は、フィッシングメール模擬訓練の効果でも紹介しています。

偽のサイトに入力してしまったときの対処

気をつけていても、本物そっくりのメールやSMSに引っかかってしまうことはあります。大和証券を名乗る連絡のリンクを開き、ログインIDやパスワード、暗証番号を入力してしまったかもしれないと気づいたら、次の順で動いてください。

大和証券の窓口に連絡する。金融庁も、不審なサイトに情報を入力したおそれがあるときは、証券会社の問い合わせ窓口に連絡するよう求めています
すぐにパスワードを変える。変えるときは、メールのリンクではなく、ブックマークか公式アプリから正しいサイトに入る
口座の取引の履歴と、出金先の銀行口座の設定が変わっていないかを確かめる
同じパスワードを使っている別のサービスがあれば、そちらも変える
お金をだまし取られた場合や、脅すような連絡が続く場合は、警察に相談する

金融庁の注意喚起によると、証券口座の不正な取引では、乗っ取った口座の株式などを勝手に売り、その代金で国内外の小型株などを買い付ける形が多いとされています。身に覚えのない売買が無いかは、取引の履歴を見れば確かめられます。早く気づくほど、被害を抑えやすくなります。

入力してしまったことを恥ずかしく思って誰にも言わずにいると、その間に被害が広がることがあります。少しでも心当たりがあれば、迷わず窓口に連絡してください。

漏洩した可能性のある情報ごとに、起こりやすいことと備え

漏洩した可能性のある項目ごとに、一般に起こりやすいことと備えを整理しました。ここでの「起こりやすいこと」は今回の件で実際に起きたことではなく、同じ種類の情報が漏れたときに一般に注意が呼びかけられている内容です。大和証券は発表の時点で不正な取引を確認していません。

項目	一般に起こりやすいこと	備え
氏名	名指しで本物らしく見せる連絡	名前が正しくても、求められている内容で判断する
メールアドレス	大和証券を名乗る偽のメール、偽のログイン画面への誘導	リンクを開かず、ブックマークか公式アプリから入る
口座番号	本当の口座番号を書いて信用させる連絡	口座番号が合っていても、IDやパスワードは伝えない
問い合わせの内容	過去の相談の内容に触れて信用させる電話	過去のやり取りを知っていても、一度切って公式の番号にかけ直す

特に気をつけたいのは、問い合わせの内容です。たとえば、過去に「相続した株の手続き」や「NISAの口座の移管」について問い合わせた人には、その話題に触れた電話がかかってくるおそれがあります。「先日お問い合わせいただいた件で」と言われると、本物の担当者からの折り返しだと思い込んでしまいやすくなります。過去のやり取りを知っていることは、本物である証拠になりません。大和証券からの折り返しかどうかは、一度電話を切って、公式サイトに載っている番号にかけ直して確かめてください。

電話番号は、発表の項目には明記されていません。ただし、問い合わせの本文に電話番号を書いていた場合は、その番号にも連絡が来る可能性があります。知らない番号からの電話で証券口座の話が出たら、その場で答えずに切るのが安全です。

家族や高齢の親が大和証券に口座を持っている場合

証券口座は、高齢の親や家族が持っていることも多い資産です。家族が大和証券にネットで問い合わせたことがあれば、その家族の氏名、メールアドレス、口座番号が対象になっている可能性があります。

偽の電話は、ネットに慣れていない人ほど見抜きにくいものです。「口座が不正に使われているので、確認のために暗証番号を教えてください」「取引を止めるために、今から送るSMSのリンクを開いてください」と言われると、慌てて従ってしまうことがあります。大和証券は、取引用のID・パスワード、暗証番号、ワンタイムパスワードを提供しないよう呼びかけています。この点を家族にも伝え、少しでも不安な電話があれば、自分で専用ダイヤルにかけ直せばよいことを共有しておいてください。

家族が自分でお知らせBOXを確かめるのが難しい場合は、一緒に公式アプリやブックマークからログインして確かめると確実です。そのときも、メールのリンクからは入らないようにします。

問い合わせ窓口

大和証券の発表に載っている問い合わせ先は次のとおりです。

窓口の名称：本件に関するお客さま専用対応窓口
電話番号：0120-851850（フリーダイヤル）
受付時間：午前9時から午後5時まで（土曜・日曜・祝日を除く）

この番号は大和証券の公式発表とトップページに書かれているものです。メールやSMSに別の番号が書かれていた場合は、その番号にかけず、発表の番号と同じかどうかを確かめてください。

身に覚えのないログインや取引など、自分の口座に不審な点があった場合は、まず大和証券の窓口に確かめます。大和証券のサイトの問い合わせのページには、「緊急時のお問合わせ（不正アクセスや詐欺被害）」の案内もあります。

金融庁は、証券会社の窓口のほかに、金融庁金融サービス利用者相談室（ナビダイヤル 0570-016811、IP電話からは03-5251-6811、平日10時から17時）も相談の窓口として案内しています。

在宅で仕事をする人が気をつけること

証券口座は個人の資産を扱うものですが、在宅で仕事をしている人の中には、仕事用のメールアドレスで証券会社に登録している人や、仕事のパソコンでそのまま口座を管理している人もいます。そうした場合に考えておくことを整理します。

仕事用のメールアドレスで問い合わせていた場合

仕事用のメールアドレスで大和証券に問い合わせていた場合、そのアドレスにも大和証券を名乗る偽のメールが届く可能性があります。仕事用の受信箱には、取引先からの請求書や契約書も届きます。偽のメールの添付ファイルを開いてしまうと、仕事のパソコンや、取引先から預かっている資料にまで影響が及ぶおそれがあります。添付ファイル付きの不審なメールは、仕事用の受信箱でこそ開かないことを徹底してください。

取引先に知らせる必要はあるか

個人情報保護委員会は、事業者が個人データを漏えいさせ、次の4つのどれかに当たる場合には、委員会への報告が義務になると説明しています。

要配慮個人情報（病歴など、取り扱いに特に配慮が必要な情報）が含まれる場合
不正に使われると財産的な被害が出るおそれがある場合
不正アクセスのように、不正の目的で行われたおそれがある場合
漏えいした本人の数が1,000人を超える場合

詳しくは個人情報保護委員会の漏えい等の対応のページに例とともに載っています。今回の件で対応するのは、情報を預かっていた大和証券と委託先です。自分が大和証券に問い合わせていただけであれば、自分の側に報告の義務が生じるわけではなく、取引先に知らせる必要も、一般にはありません。

一方で、自分が仕事で取引先の個人情報を預かっていて、偽のメールから仕事のパソコンがマルウェアに感染した、という事態になれば話が変わります。マルウェアとは、パソコンに入り込んで情報を盗んだり壊したりする不正なプログラムのことです。そのときは、預かっている情報が漏れていないかを確かめ、契約の内容に沿って取引先に知らせる必要が出てきます。どこまでが義務に当たるかは扱っている情報や契約で変わるので、取引先や専門家に確認してください。

委託する側に立ったときの教訓

今回の件は、問い合わせの管理を外部のサービスに任せていた会社の側から見た事案でもあります。在宅で仕事をする人も、顧客の問い合わせをフォームのサービスで受けたり、名簿をクラウドに保存したりと、外部のサービスに個人情報を預けていることがよくあります。個人情報保護委員会は「委託先管理に関する着眼点」という資料で、委託先を選ぶときに安全管理の措置を確かめること、契約に個人データの扱いを盛り込むこと、委託先での扱いの状況を定期的に把握することを求めています。資料は委託先管理に関する着眼点（PDF）で読めます。

個人で仕事をしている人が、すぐに確かめられることもあります。問い合わせフォームのサービスの管理画面に二段階認証を設定しているか、もう使っていないフォームや、終わった仕事の名簿がクラウドに残ったままになっていないか、管理画面のパスワードをほかのサービスと同じにしていないか、の3つです。今回の事案も、管理サイトへの不正なログインから始まっています。使っていない情報は削除し、管理画面の守りを固めておくことが、預かった情報を守るための第一歩になります。

運営者の視点：外部のサービスに任せた情報も、自分の情報

フリーランスや在宅ワークの仲介を長く続けてきた運営者として見てきた限りでは、情報の漏えいは、自分が直接使っているサービスよりも、その裏で動いている外部のサービスから起きることがあります。今回も、利用者が見ていたのは大和証券の問い合わせフォームで、その裏で別の会社のシステムが動いていることは、ほとんどの人が意識していなかったはずです。

利用者の側でできることは限られていますが、偽の連絡にだまされないこと、ログインの情報を渡さないこと、強い認証を設定しておくことは、どの会社の漏えいに対しても効く備えです。仕事で取引先の情報を預かる人にとっては、自分が外部のサービスに何を預けているかを把握しておくことも、取引先からの信頼を保つことにつながります。

在宅ワークの仲介サイトである@SOHOでも、発注者と受注者が直接やり取りする以上、アカウントを守ることと、偽の連絡を見抜くことは仕事の基本です。セキュリティの知識は、自分の資産と仕事を守るだけでなく、仕事の幅を広げる材料にもなります。AI・マーケティング・セキュリティのお仕事では、セキュリティの知識を生かせる在宅の仕事を紹介しています。ネットワークの基礎から学びたい人には、CCNA（シスコ技術者認定）の解説も参考になります。