八十二長野銀行の情報漏洩｜法人取引先の情報と取引先と利用者への影響 2026

2026年10月20日

＠SOHO編集部

この記事のポイント

✓八十二長野銀行の情報漏洩について
✓職員のメールアカウントへの不正アクセスで法人取引先627社や34名の個人情報などが漏えいした可能性がある件を
✓10月8日の初報と10月19日の第2報から整理

株式会社八十二長野銀行は、2026年10月19日、職員1名のメールアカウントが第三者から不正アクセスを受けた件の第2報を発表し、第三者に漏えいした可能性がある範囲を、個人情報34名、法人取引先627社（社名および海外拠点名531社、銀行との取引に関する情報96社）、その他関係機関11機関（メールアドレス数35）と特定しました。きっかけは、過去に業務上の接点があった海外企業を騙る先から届いたフィッシングメールで、職員が認証操作を行ったことでした。口座情報や暗証番号などの漏えいは確認されておらず、新たな情報漏えいの発生も確認されていないとしています。

八十二長野銀行を使っている人がまずすることは3つです。個人で口座を持っているだけの人は、口座情報や暗証番号の漏えいは確認されていないので、慌てて口座を変える必要はありません。法人で取引がある会社は、銀行から個別の連絡が来ていないかを確かめ、とくに海外の拠点や取引先を名乗るメールに注意すること。銀行や銀行の職員を名乗る心当たりのないメールのリンクや添付ファイルは開かず、気になることはお客さま相談室に電話で確かめることです。

この記事は、2026年10月20日時点で八十二長野銀行が公式に発表している内容だけをもとに、何が起きたか、どの情報が対象か、取引先と利用者がいま何をすればよいかを順に整理します。報道の数字や、過去の別の事案の数字は使っていません。

八十二長野銀行で起きたことを先に整理する

八十二長野銀行は、長野県を地盤とする銀行です。今回の件は、銀行のシステム全体や、預金の口座を管理する仕組みが攻撃されたものではありません。職員1名が使うメールアカウントに、第三者が入り込んだ、という事案です。

そのため、漏えいした可能性があるのは、その職員のメールアカウントの中にあった電子メールの情報などです。具体的には、メールのやり取りの相手として登場する取引先の会社名や海外の拠点名、メールの本文に書かれていた取引に関する情報、やり取りの相手の氏名や連絡先です。

項目	第2報（10月19日）の内容
発生日	2026年10月7日（水）
発覚日	2026年10月8日（木）（初報による）
不正アクセスを受けたもの	職員1名のメールアカウント
きっかけ	過去に業務上の接点があった海外企業を騙るフィッシングメール
個人情報	34名
法人取引先	627社（社名および海外拠点名531社、取引に関する情報96社）
その他関係機関	11機関（機関名等およびメールアドレス数35）
口座情報・暗証番号	漏えいは確認されていない
不正利用の被害	現時点までにお申し出はない

第2報は、当該職員のアカウント以外への不正アクセスは確認されていないとも書いています。つまり、銀行の他の職員のメールや、口座を管理するシステムには、入られた形跡が無いということです。

数字の読み方に注意が要ります。法人取引先の627社は、531社と96社を合わせた数です。531社は社名と海外拠点名が、96社は銀行との取引に関する情報が、漏えいした可能性がある会社です。個人情報の34名は、この法人取引先とその他関係機関に所属する人の数です。

公表の経緯と、それぞれの時点で分かったこと

時系列で並べると、次のようになります。日付はすべて八十二長野銀行の発表に書かれたものです。

2026年10月7日（水）：職員がフィッシングメールを受信し、認証操作を行ったことで、メールアカウントが不正アクセスを受けた。同日中にアクセスを遮断
2026年10月8日（木）：不正アクセスが発覚。「不正アクセスによるお客さま情報漏えいのお詫びとお知らせ」を発表
2026年10月19日：「不正アクセスによるお客さま情報漏えいのお詫びとご報告（第２報）」を発表

10月8日の初報で分かったのは、職員のメールアカウントに第三者が不正アクセスしたこと、流出した可能性のあるメールアドレスが35名分あること、それ以外に流出した可能性のある情報は「確認中」であること、の3点でした。対応として、対象となる人への個別の連絡、アカウントへのアクセスの遮断、外部の専門事業者による調査、関係当局への報告を挙げていました。

10月19日の第2報では、アクセスの記録を解析して、第三者に閲覧されたメールを確かめた結果、漏えいの可能性がある範囲を特定したとしています。初報で「確認中」だった部分が、個人情報34名、法人取引先627社という形で明らかになりました。初報の「流出した可能性のあるメールアドレス35名」は、第2報では「その他関係機関11機関、メールアドレス数35」として整理し直されています。

第2報は、第三者に閲覧されたメールを確認した結果として範囲を特定したと書いています。

当該職員のメールアカウントについて、アクセスログ等を解析し、第三者に閲覧されたメールを確認した結果、情報漏えいの可能性がある範囲を以下のとおり特定いたしました。出典: bank.82group.jp

八十二長野銀行のニュースリリースの一覧を10月20日に確かめたところ、10月8日の初報と10月19日の第2報のほかに、この件の発表は出ていませんでした。

漏えいした可能性のある情報と、漏えいが確認されていない情報

第2報で示された、第三者に漏えいした可能性のある情報を、区分ごとに整理します。銀行が「漏えいは確認されていない」と明記したものは、別に分けました。

区分	件数	漏えいした可能性のある情報	個別の連絡
個人情報	34名	法人取引先とその他関係機関に所属する人の氏名、勤務先名、電話番号、メールアドレス	完了
法人取引先	531社	社名および海外拠点名	進めている
法人取引先	96社	銀行との取引に関する情報	完了
その他関係機関	11機関	機関名等およびメールアドレス数35	完了

漏えいが確認されていないと明記された情報
口座情報
暗証番号等
新たな情報漏えいの発生

ここで大事なのは、「取引に関する情報」の中身が具体的に書かれていない点です。メールの中にあった情報なので、見積もり、融資や送金の相談、海外の取引の書類などが含まれていた可能性は考えられます。ただ、何が含まれていたかは、発表からは分かりません。96社の会社には個別の連絡が済んでいるとされているので、その連絡で中身を確かめるのが確実です。

531社の「社名および海外拠点名」は、どの会社がどの国や地域に拠点を持っているか、という情報です。これだけでは取引の中身は分かりませんが、海外に拠点がある会社だと知られると、海外の取引先を装ったメールの的にされやすくなります。

個人で口座を持っているだけの人は、この表のどこにも当てはまらない可能性が高いと考えられます。対象の34名は、法人取引先やその他関係機関に所属する人だからです。

「その他関係機関」が具体的にどこを指すのかは、発表に書かれていません。機関名等とメールアドレス数35が対象とされており、11の機関に属する35のメールアドレスが含まれていた、という整理です。初報の「流出した可能性のあるメールアドレス35名」と同じものを指すと、第2報に明記されています。初報から第2報までの間に、35という数そのものは変わっておらず、それとは別に、法人取引先と個人の範囲が新たに特定された、と読むのが正確です。

原因はフィッシングメールでの認証操作

原因について、第2報は次のように説明しています。

弊行職員（１名）が、過去に業務上の接点があった海外企業を騙る先から送信されたフィッシングメール（正規の認証機能を悪用する手口）を受信し、認証操作を行ったことにより、当該職員のメールアカウントが第三者から不正アクセスを受けました。出典: bank.82group.jp

フィッシングメールとは、実在の会社や人を装って、偽のページに誘導したり、パスワードなどを入力させたりするメールのことです。今回の特徴は2つあります。

1つ目は、送り主が「過去に業務上の接点があった海外企業」を騙っていたことです。まったく知らない相手からのメールではなく、以前にやり取りしたことのある会社の名前を使っていたので、受け取った側は疑いにくかったと考えられます。

2つ目は、「正規の認証機能を悪用する手口」だったことです。発表はこれ以上詳しく書いていませんが、一般にこの種の手口では、偽のログイン画面ではなく、本物のサービスのログインや認証の画面を使わせます。画面のアドレスが本物なので、「アドレスを見て偽物を見分ける」という従来の見分け方だけでは防ぎにくい場合があります。この記事では、具体的な方法についての推測は控えます。

過去に接点のあった相手を名乗るメールが厄介なのは、受け取った人が「この会社なら知っている」と感じた時点で、送信元のアドレスや本文の細かな違いを見なくなりやすいからです。取引の多い部署ほど、毎日たくさんのメールを受け取っており、1通ずつ疑ってかかるのは簡単ではありません。そのため、個人の注意だけに頼らず、「メールでの認証の依頼には応じない」「振込先の変更は電話で確かめる」といった決まりを、会社として先に決めておくことが大切です。決まりがあれば、迷ったときに手を止める理由になります。

利用者の側から見て覚えておきたいのは、「本物の画面だから安全」とは限らないということです。自分から始めたわけではないログインや認証の操作を、メールで求められたら、その時点で手を止めるのが確かな防ぎ方です。

八十二長野銀行の対応

八十二長野銀行が初報と第2報で発表している対応を、まとめて並べます。

10月7日の当日中に、当該アカウントへの不正アクセスを遮断
対象となる人への個別の連絡（個人情報34名、取引に関する情報96社、その他関係機関11機関は完了。社名および海外拠点名531社は進めている）
外部の専門事業者による調査
関係当局への報告
これまでのセキュリティ対策に加え、本件を踏まえた新たな対策
システム面での対策の強化と、役職員への教育・指導の継続
不正利用の監視の継続

第2報は、本件の発生後、現時点までに不正利用による被害の申し出はないとしています。補償や、利用者に何かの操作を求める案内は、発表に書かれていません。発表に書かれていないことは推測できないので、この記事でも触れません。

銀行の個人情報の扱いでは、漏えいが起きたときの報告先が、業種によって個人情報保護委員会ではなく、権限が委任された省庁になる場合があると、個人情報保護委員会は案内しています。報告が必要になる条件の1つに「不正の目的をもって行われたおそれがある行為による漏えい等」があり、不正アクセスはその例として挙げられています。詳しい条件は個人情報保護委員会の漏えい等の対応のページにまとまっています。八十二長野銀行は「関係当局への報告」を行ったとしていますが、報告先の名前は書かれていません。

自分が対象かどうかを確かめる方法

対象になりうるのは、法人取引先、その他関係機関、そしてそこに所属する人です。銀行は、531社への連絡を進めている途中で、それ以外への個別の連絡は完了したとしています。

自分や自分の会社が対象かどうかは、次の順に確かめると分かりやすいです。

会社で八十二長野銀行と取引がある場合、銀行の担当者から電話や書面などで連絡が来ていないかを、経理や財務の担当に確かめる
自分が銀行の担当者とメールでやり取りしていた場合、銀行からの連絡が自分宛てに届いていないかを確かめる
連絡が見当たらないが不安な場合は、お客さま相談室に電話で確かめる

個別の連絡の方法は、発表に書かれていません。そのため、「八十二長野銀行からの通知です」と名乗るメールが届いたら、送信元のアドレスを確かめ、本文でパスワードや口座の情報の入力を求めていないかを見てください。不安なら、メールのリンクは使わず、ふだん使っている担当者の電話番号か、お客さま相談室の電話番号で確かめます。

個人で口座を持っていて、銀行の職員とメールでやり取りしたことがない人は、対象である可能性は低いと考えられます。ただし、対象かどうかを最終的に判断できるのは銀行です。気になる場合は、お客さま相談室で確かめてください。

取引先の会社がすること

法人で八十二長野銀行と取引がある会社は、とくに海外に拠点があったり、海外の取引があったりする会社ほど、今回の件の影響を考えておく必要があります。

漏えいした可能性がある情報が使われると、次のような偽の連絡が考えられます。

銀行の担当者を名乗り、「海外送金の手続きに不備があります」と、書類の再提出や認証の操作を求めるメール
海外の拠点や取引先を名乗り、「振込先の口座が変わりました」と、送金先を変えさせるメール
取引の内容を知っているかのように装い、「先日の件の続きです」と、添付ファイルを開かせるメール

2つ目の「振込先の変更」は、ビジネスメール詐欺と呼ばれる手口の典型です。取引先や自社の役員になりすまして、送金先を偽の口座に変えさせるものです。今回の件のきっかけ自体が、海外企業を騙るメールでした。海外とのやり取りが多い会社は、しばらく次の決まりを社内で徹底しておくと安心です。

メールで振込先の変更を知らされたら、メールに返信するのではなく、前から知っている電話番号で相手に確かめる
銀行を名乗るメールで、ログインや認証の操作を求められたら、メールのリンクは使わず、自分で銀行の公式の入り口から開く
自分から始めたわけではない認証の操作（コードの入力や承認のボタン）は行わない
不審なメールを受け取ったら、開かずに情報システムの担当や経理の責任者に知らせる

社員に偽のメールの見分け方を身につけてもらう方法として、模擬訓練があります。考え方は社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで紹介しています。

個人の利用者がすること

個人で口座を持っているだけの人にとって、今回の件の直接の影響は小さいと考えられます。銀行は、口座情報や暗証番号等の漏えいは確認されていないとしており、職員のアカウント以外への不正アクセスも確認されていないとしています。

それでも、漏えいのニュースが出た直後は、銀行を名乗る偽のメールやSMSが増えやすい時期です。初報で銀行は、銀行や銀行の職員を装った電子メールなど、不審な連絡が行われる可能性があるので注意するよう呼びかけています。

心当たりのないメールに記載されたリンクへのアクセスや添付ファイルの開封はお控えいただき、不審な点がございましたら、下記お問い合わせ窓口までご連絡くださいますようお願い申し上げます。出典: bank.82group.jp

見分けるときに見るポイントは次のとおりです。

送信元の表示名だけでなく、メールアドレスのドメインを見る。表示名は誰でも自由に変えられる
「口座が凍結されます」「本人確認が必要です」など、急がせる言葉があったら一度手を止める
暗証番号、ワンタイムパスワード、キャッシュカードの番号の入力を求められたら、偽物を疑う
インターネットバンキングには、メールのリンクからではなく、ブックマークや公式アプリから入る

警察庁は、銀行をかたる「重要なお知らせ」という件名のメールから偽のサイトに誘導され、口座番号や暗証番号を入力した結果、知らない口座に送金された相談例を紹介しています。手口の例は警察庁のフィッシング対策のページで確かめられます。

インターネットバンキングを使っている人は、銀行のアプリやサイトで、ログインの通知や二段階認証の設定ができるかを確かめておくと安心です。二段階認証とは、パスワードに加えて、スマホに届く番号などを入れないとログインできない仕組みのことです。種類ごとの違いはMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で比べています。

偽のメールに反応してしまったときの対処

注意していても、本物らしいメールに反応してしまうことはあります。とくに、銀行から個別の連絡を待っている取引先の担当者は、銀行を名乗るメールを本物と思い込みやすくなります。反応してしまったと気づいたら、次の順に動いてください。

メールの案内でログインや認証の操作をした場合は、すぐにそのサービスの正規の入り口から入り直し、パスワードを変える。ログイン中の端末の一覧を見られるサービスなら、心当たりのない端末を締め出す
インターネットバンキングの情報を入れてしまった場合は、すぐにお客さま相談室か、ふだんの取引の窓口に電話し、利用の停止を相談する
振込先の変更に応じて送金してしまった場合は、送金した銀行にすぐ連絡し、あわせて警察に相談する
添付ファイルを開いてしまった場合は、端末をネットワークから外し、会社であれば情報システムの担当にすぐ知らせる

送金してしまった場合は、時間との勝負になります。銀行に早く連絡するほど、送金先の口座を止めてもらえる可能性が高まると一般に言われています。夜間や休日で窓口が閉まっていても、まずは連絡先を探して、つながるところから連絡してください。

個人の端末で、ウイルスに感染したかもしれない、不正アクセスされたかもしれないと不安なときは、IPA（情報処理推進機構）の情報セキュリティ安心相談窓口に技術的な相談ができます。電話番号は03-5978-7509、受付時間は10時から17時（土日祝日と年末年始を除く）です。会社や組織の場合は、IPAの企業・組織向けの相談窓口を使うよう案内されています。詳しくはIPAの情報セキュリティ安心相談窓口のページで確かめられます。

続報が出たときに確かめたい点

第2報は、範囲を特定したという内容で、銀行は監視を続けるとしています。新たな被害が分かった場合や、531社への連絡が終わった場合などに、改めて発表が出る可能性があります。続報が出たら、次の点を確かめると、自分の会社にとっての意味が分かりやすくなります。

個人34名、法人627社、関係機関11機関という範囲に変更があるか
531社への個別の連絡が完了したか
不正利用による被害の申し出があったか
取引先や利用者に、何かの操作や注意を新たに求めているか
新たな対策の中身が示されるか

とくに4は、偽の連絡を見分けるときの手がかりになります。銀行が何も求めていないのに「八十二長野銀行の情報漏えいに伴い、本人確認が必要です」というメールが届いたら、偽物を疑う根拠になります。続報の中身と、届いた連絡の中身が一致しているかを見るのが、いちばん確かな見分け方です。

続報は、八十二長野銀行の公式サイトのニュースリリースの欄に出ると考えられます。確かめるときは、検索結果やSNSの投稿から飛ぶのではなく、ブラウザのブックマークや、自分で入力したアドレスから公式サイトを開いてください。

銀行とのメールのやり取りで決めておきたいこと

今回の件は、銀行の職員のメールアカウントの中に、取引先とのやり取りが多く残っていたことで範囲が広がりました。取引先の側でも、銀行とのメールのやり取りの仕方を見直しておくと、次に同じようなことが起きたときの影響を小さくできます。

口座番号や暗証番号、インターネットバンキングのパスワードは、メールに書かない
決算書や登記の書類など、機密性の高い書類をメールに添付するときは、銀行の担当者と送り方を相談する
銀行からのメールで振込先や手続きの変更を知らされたら、電話で確かめてから動く
担当者が変わったときは、新しい担当者の名前と連絡先を、メールではなく対面や電話で確かめる

ビジネスの文面では、相手を気づかうあまり、必要な確認を省いてしまいがちです。「念のため、お電話で確認させていただけますか」という一文を、失礼なく添えられるようにしておくと、偽のメールへの備えにもなります。文面の基本はビジネス文書検定の資格ガイドで紹介しています。

問い合わせ窓口

初報と第2報には、同じ問い合わせ窓口が載っています。

窓口の名前	電話番号	受付時間
八十二長野銀行お客さま相談室	0120-82-8682（フリーダイヤル）、音声ガイダンスで「5」の後に「9」	9時から17時（土・日・祝日を除く）

電話をかけるときは、メールやSMSに書かれた番号ではなく、銀行の公式の発表や、通帳、キャッシュカードに書かれた番号を確かめて使ってください。偽の連絡には、偽の電話番号が書かれていることがあります。

個人情報の扱いについての苦情や質問は、個人情報保護委員会の個人情報保護法相談ダイヤルにも相談できます。電話番号は03-6457-9849、受付時間は9時30分から17時30分（土日祝日と年末年始を除く）です。会社のやり方が違法かどうかの判断はしないと明記されていますが、ガイドラインに沿った助言を受けられます。窓口の内容は個人情報保護法相談ダイヤルのページにあります。

偽のメールからお金を振り込んでしまった、身に覚えのない請求が来た、という場合は、まず銀行に連絡し、あわせて消費者ホットライン188に相談できます。近くの消費生活センターにつないでくれる番号で、相談は無料です（通話料はかかります）。詳しくは消費者ホットラインのページで確かめられます。

職員のメールが入り口になる事案から学べること

今回の件は、1人の職員のメールアカウントが入り口になり、そのアカウントの中にあった多くの取引先の情報に影響が出た事案です。会社の規模にかかわらず、同じことはどこでも起こりえます。

メールの受信箱には、長年のやり取りが残っています。取引先の名前、担当者の連絡先、見積もりや契約の書類、送金の相談。1つのアカウントに入られると、そこにある情報がまとめて見られてしまいます。第2報の範囲が、個人34名、法人627社、関係機関11機関に及んだのも、1人の職員のメールにそれだけのやり取りが残っていたからだと考えられます。

利用者の側でも、自分のメールアカウントを守ることは、自分の取引先を守ることにつながります。次のような習慣は、規模の小さな事業者でもすぐに始められます。

仕事のメールアカウントに二段階認証を設定する
自分から始めたわけではないログインや認証の操作を、メールで求められても行わない
古いやり取りのうち、もう要らない添付ファイルは、受信箱から削除するか、別の安全な場所に移す
取引先の情報が入ったメールを受信箱に残し続けない

中小の事業者がこうした対策を進めるための考え方と、使える支援制度は、中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法で取り上げています。

在宅で取引先の経理や海外の窓口を受け持つ人が気をつけること

在宅で仕事をする人の中には、取引先の会社から経理の代行、海外とのメールのやり取り、輸出入の事務などを任されている人がいます。八十二長野銀行と取引がある会社の仕事を受けている場合、銀行とのメールのやり取りを、自分が代わりに担当していたこともあるでしょう。

その場合、銀行の職員とやり取りしていたメールの中に、自分の氏名やメールアドレスが含まれていた可能性があります。第2報の個人情報34名は、法人取引先とその他関係機関に所属する人の氏名、勤務先名、電話番号、メールアドレスです。業務委託で取引先の窓口を受け持っていた人が、そこに含まれるかどうかは、発表からは分かりません。

考え方の目安は次のとおりです。

取引先の会社に、銀行から個別の連絡が来ていないかを確かめてもらう
自分が銀行とのやり取りを担当していた場合は、その事実を取引先に伝え、偽のメールへの注意を一緒に確かめる
銀行や海外の取引先を名乗るメールで、送金先の変更や認証の操作を求められたら、自分だけで判断せず、取引先の責任者に確かめる

個人情報保護法の上で、本人への通知などの義務を負うのは、情報を保有していた八十二長野銀行です。その上で、取引先との間で、預かった情報の扱いについて契約で決めごとがある場合は、その決めごとに従います。どこまで知らせる必要があるかは、契約や事情で変わるので、迷ったら取引先と、必要に応じて個人情報保護法相談ダイヤルで確かめてください。