野村證券の情報漏えいの可能性｜i-Portのメール配信委託先への不正アクセスの範囲と確かめること 2026

野村證券は2026年10月23日、金融機関等向けのポートフォリオ管理ツール「i-Port」の加入者向けメール配信業務を委託しているユミルリンク株式会社のシステムが不正アクセスを受け、同システムに保存されていた顧客のメールアドレス等が外部に漏えいした可能性があると発表しました。 件数は公表されていません。「i-Port」に登録されているポートフォリオの情報と、証券取引口座の情報は、漏えいの可能性がある情報に含まれていないと明記されています。 i-Portの案内メールを受け取っていた人がまずすることは、野村グループや関係者を名乗るメールが届いても本文のリンクや添付ファイルを開かず、情報の提供を求められても応じないことです。

この記事では、2026年10月25日時点で公開されている野村證券の発表と、委託先であるユミルリンク株式会社の公式の報告だけをもとに、何が起きて、何が分かっていて、何がまだ分かっていないのかを順番に整理します。報道では件数が伝えられていますが、野村證券の発表に件数の記載はないため、この記事では件数を書きません。「野村證券 情報漏洩」と調べている人の多くは、野村證券に口座を持つ個人の人か、金融機関で働いていてi-Portの案内メールを受け取っていた人のどちらかです。それぞれの立場で、今回の件が自分に関係するのか、関係するなら何をすればよいのかを分けて書きます。

2026年10月25日時点で分かっていること

まず、公式に書かれていることだけを並べます。

• 発表したのは野村證券株式会社で、日付は2026年10月23日。野村ホールディングスのサイトの「お知らせ」に「金融機関等向けポートフォリオ管理ツール『i-Port』に関するメール配信業務の外部委託先における情報漏えいの可能性について」として掲載され、野村證券のサイトのトップからもリンクされている
• 対象は、金融機関等向けのポートフォリオ管理ツール「i-Port」の加入者向けメール配信業務。この業務はユミルリンク株式会社に委託されていた
• 委託先のシステムへの不正アクセスにより、同システムに保存されていた顧客のメールアドレス等が外部に漏えいした可能性があるという報告を、野村證券は2026年10月22日に委託先から受けた
• 「i-Port」に登録されているポートフォリオに関する情報と、証券取引口座に関する情報は、漏えいの可能性がある情報に含まれていない
• 発表の時点で、この件に起因する情報の不正利用と、この件に関連する野村證券のシステムへの不正アクセスは、いずれも確認されていない
• 件数は公表されていない
• 対象となる金融機関等の顧客には、野村證券が個別に案内する
• 利用者に求めていることは、便乗した不審なメールへの注意。リンクや添付ファイルを開かず、情報の提供を求められても応じない。身に覚えのない連絡は公式サイトの窓口へ問い合わせる

発表の見出しは「情報漏えいの可能性について」です。「漏えいした」という言い切りではなく、「漏えいした可能性がある」という段階です。この記事でも、その表現のまま書きます。

もう1つ、はっきりさせておきたいことがあります。今回の対象は「i-Port」という金融機関等向けのツールのメール配信です。野村證券に口座を持つ個人が使うオンラインサービスや、資産運用アプリ「NOMURA」のシステムが不正アクセスを受けたという発表ではありません。野村證券の発表にも、同社のシステムへの不正アクセスは確認されていないと書かれています。個人の口座の情報が漏れたのかと不安になって調べている人は、まずこの点を押さえてください。

公表の経緯：10月16日の不正アクセスから10月23日の発表まで

野村證券の発表に書かれている日付を、順番に並べます。

• 2026年10月16日。委託先が運営するメール配信サービスの一部システムへの不正アクセスが、委託先によって確認された
• 2026年10月22日。委託先の調査により、データベースから情報が外部に持ち出されたことが確認された。同じ日に、野村證券は委託先から、メール配信に関連して保存されていた顧客のメールアドレス等が外部に漏えいした可能性があるという報告を受けた
• 2026年10月23日。野村證券が発表を公開した

野村證券の発表はこの1本で、2026年10月25日時点で続報は出ていません。野村ホールディングスのサイトの「お知らせ」と「ニュース」の一覧、野村證券のサイトの「ニュース・お知らせ一覧」をいずれも確かめましたが、10月24日と10月25日の新しい公表はありません。発表には「新たな事実が判明した場合には、当社の公式サイト等を通じて速やかにお知らせします」と書かれているので、続報が出るとすれば同じ場所です。

一方、委託先のユミルリンク株式会社は、野村證券の発表より前の2026年10月19日に、自社のサイトで「当社システムへの不正なアクセスに関するご報告（第一報）」を公開しています。同日19時05分に補足を追記した版が最新で、2026年10月25日時点でも第二報は出ていません。こちらの中身は、原因の節で扱います。

時系列で見ると、委託先が不正アクセスに気づいてから野村證券の発表まで1週間、委託先が「情報の持ち出し」を確認してから野村證券の発表までは1日です。野村證券は委託先からの報告を受けた翌日に公表しています。

漏えいした可能性のある情報と、含まれないと明記された情報

野村證券の発表が挙げている情報を、「漏えいした可能性がある」と書かれたものと、「含まれていない」と明記されたものに分けます。

区分	情報	発表の表現
漏えいした可能性がある	i-Portの加入者向けメール配信に関連して保存されていた顧客のメールアドレス等	「外部に漏えいした可能性があるとの報告を受けています」
含まれていない	i-Portに登録されている顧客のポートフォリオに関する情報	「今回の漏えいの可能性がある情報には含まれていません」
含まれていない	顧客の証券取引口座に関する情報	「今回の漏えいの可能性がある情報には含まれていません」
確認されていない	この件に起因する情報の不正利用	「いずれも確認されていません」
確認されていない	この件に関連する野村證券のシステムへの不正アクセス	「いずれも確認されていません」

注意したいのは「メールアドレス等」の「等」です。発表はメールアドレス以外に何が含まれるかを具体的に書いていません。メール配信サービスには、宛先のメールアドレスのほかに、差し込み用の氏名や会社名、配信の区分などを登録する作りのものが多くあります。ただ、i-Portの配信でどの項目が保存されていたかは、野村證券の発表にも委託先の報告にも書かれていません。この記事では、公式に書かれていない項目を「漏れた」とも「漏れていない」とも書きません。対象の人には個別に案内が届くので、自分の場合に何が含まれるかは、その案内で確かめることになります。

パスワードとクレジットカード情報は、発表のどこにも出てきません。i-Portの加入者向けメール配信は、メールを受け取るための登録であって、ログイン用のパスワードや決済の情報を預ける性質のものではないと考えられますが、これも発表には書かれていないため、推測で断定はしません。少なくとも、野村證券の発表が「含まれていない」と明記しているのは、ポートフォリオの情報と証券取引口座の情報の2つです。

発表の原文で確かめる

今回の件は、公式の発表の言葉がそのまま判断の土台になります。野村證券の発表の中心の部分を引用します。

野村證券株式会社（代表取締役社長：奥田健太郎、以下「当社」）は、2026年10月22日、当社が、金融機関等向けのポートフォリオ管理ツール「i-Port」の加入者向けメール配信業務を委託しているユミルリンク株式会社（以下「委託先」）から、委託先のシステムへの不正アクセスにより、同システムに保存されていたお客様のメールアドレス等が外部に漏えいした可能性があるとの報告を受けましたので、お知らせいたします。対象となる金融機関等のお客様には、個別にご案内いたします。なお、「i-Port」に登録されているお客様のポートフォリオに関する情報やお客様の証券取引口座に関する情報は、今回の漏えいの可能性がある情報には含まれていません。また、現時点で、本件に起因する情報の不正利用や、本件に関連する当社のシステムへの不正アクセスは、いずれも確認されていません。 出典: nomuraholdings.com

この1段落に、誰が、いつ、誰から、何の報告を受けたか、何が含まれ、何が含まれないか、何が確認されていないかのすべてが入っています。見出しや要約だけを読むと「野村證券で情報漏えい」という印象になりますが、原文は「委託先のシステムへの不正アクセス」で「漏えいした可能性がある」と書いています。不安なときほど、原文を一度読むことをおすすめします。

利用者への依頼の部分も、発表の言葉のまま押さえておきます。「本件に便乗した当社グループや関係者を装う不審なメールにご注意ください。不審なメールに記載されたリンクや添付ファイルは開かず、情報の提供を求められても応じないようお願いします。身に覚えのない連絡については、当社の公式サイトに掲載している窓口へお問い合わせください」とあります。利用者に求めている行動はこの3つで、パスワードの変更や口座の手続きは求められていません。

原因：委託先のメール配信サービスへの不正アクセス

野村證券の発表は、原因について「委託先によると、10月16日、委託先が運営するメール配信サービスの一部システムへの不正アクセスが確認され、その後の調査により、10月22日にデータベースから情報が外部に持ち出されたことが確認されました」と書いています。野村證券自身のシステムが攻撃されたのではなく、メール配信を任せていた外部の会社のシステムが入口です。

委託先のユミルリンク株式会社は、2026年10月19日に公開した当社システムへの不正なアクセスに関するご報告（第一報）で、自社が運営するメール配信サービス「Cuenote FC」の一部のサーバーシステムが外部からの不正アクセスを受け、個人情報が外部に持ち出されたことを確認したと公表しています。経緯として書かれているのは次のとおりです。

• 2026年10月16日の未明に、担当者が一部のシステムで不正アクセスが生じていることを確認した
• アクセス記録を確かめたところ、プログラムの脆弱性（ソフトウェアの弱点のこと）を突かれ、サポート・品質管理担当者のサービスへの認証情報（ログインに使う情報）が取得されていた
• 不正なプログラムが設置され、データベースからデータが出力されていた
• 取得された認証情報を使って、ほかのシステムへのログインも試みられていた
• 不正アクセスを確認したサーバーをただちにネットワークから切り離し、脆弱性を直すプログラムの作成と適用、ほかのシステムからの担当者情報の削除を行った

影響のあるシステムは「Cuenote FC 専用ASPプランのうち、合計5システム」で、出力されたデータの詳細は調査中としつつ、5つのシステムについてメールアドレスを含む情報が延べ約900万件出力されたと試算しています。この数字はユミルリンクが自社の5システム全体について出した試算であって、野村證券のi-Portに関する件数ではありません。i-Portの配信がこの5システムに含まれるのかどうかも、野村證券とユミルリンクのどちらの公表にも書かれていません。両社の公表に共通しているのは、2026年10月16日に不正アクセスが確認されたという日付と、データベースから情報が持ち出されたという経緯です。この記事では、その一致を書くにとどめ、i-Portの配信がどのシステムで行われていたかは断定しません。

ユミルリンクの第一報は、対応として、脆弱性のあるプログラムの修正、担当者の認証情報の削除、不正プログラムの検知体制の整備といった再発防止策を講じ、捜査機関への届出を行ったと書いています。今後は外部の専門家の協力のもとで詳細な調査を進めるとしており、新たな事実が判明した時点で改めて報告するとあります。2026年10月25日時点で、同社のサイトの新着情報には第二報は載っていません。侵入された脆弱性が何だったか、どの程度の期間アクセスされていたかは、公表されていないため「調査中と発表」という扱いです。

野村證券の対応

野村證券の発表に書かれている対応は、次の4つです。

• 対象となる金融機関等の顧客に、個別に案内する
• 委託先に事実関係の確認を求める
• 原因と、野村グループへの影響範囲の把握を進める
• 新たな事実が判明した場合には、公式サイト等を通じて速やかに知らせる

発表に書かれていないことも、はっきりさせておきます。パスワードの初期化は書かれていません。これは、漏えいした可能性がある情報がメール配信に関する情報で、ログインの情報が対象になっていないことと整合します。補償やお見舞いについての記載もありません。発表に無いことは、この記事でも「ある」とも「ない」とも書きません。

また、野村證券のサイトには、今回の件とは別に「野村證券の安心セキュリティ対策」という案内のページがあり、個人向けのオンラインサービスについて、パスキー認証の導入、不正アクセスを検知するモニタリング、正規のメールにロゴを表示するBIMIという仕組み、審査済みの番号から送られるSMSの共通番号などが説明されています。今回の発表と直接つながる記述ではありませんが、偽のメールやSMSを見分けるときの材料になるため、後の節で使います。

自分が対象かを確かめる方法

今回の件で「自分は対象か」を気にする人は、立場によって答えが変わります。

野村證券に口座を持つ個人の人

i-Portは「金融機関等向け」のツールです。野村證券に口座を持つ個人が、i-Portの加入者向けメール配信の宛先に入っていることは、ツールの性質上考えにくいものです。ただ、野村證券の発表は対象者の属性を「対象となる金融機関等のお客様」と書くだけで、個人の顧客が含まれないと明記しているわけではありません。確実なのは、野村證券から個別の案内が届くかどうかです。案内が届いていなければ、現時点で自分が対象であると考える根拠はありません。

不安が残る場合は、野村證券の総合ダイヤルかお客様相談室に、「10月23日に発表されたi-Portの件で、自分の情報が対象かを確かめたい」と伝えて聞くのが確実です。番号と受付時間は、問い合わせ窓口の節に載せています。メールやSMSで届いた「確認はこちら」のリンクから確かめようとするのは、今回の件に便乗した偽のメールを開くことになりかねないため、避けてください。

金融機関等で働いていて、i-Portの案内メールを受け取っていた人

対象になる可能性があるのは、この立場の人です。野村證券は「対象となる金融機関等のお客様には、個別にご案内いたします」としているので、案内は所属している金融機関等の、i-Portの契約の窓口になっている部署や担当者に届くと考えるのが自然です。自分が宛先になっていたかどうかは、所属先のその窓口に確かめます。個別の案内の形（メールか、文書か、担当者経由か）は発表に書かれていません。

案内を待つ間にできることは、i-Portの配信に登録していたメールアドレスがどれかを特定しておくことです。業務用のアドレスか、個人のアドレスか、共有のアドレスかによって、後の対応が変わります。

野村證券と取引がない人

今回の野村證券の発表の対象ではありません。ただし、委託先のユミルリンクのメール配信サービスは、多くの会社が使っています。別の会社から「メール配信の委託先で不正アクセスがあった」という案内が届いた場合は、その会社の発表を確かめます。同じ委託先の件での広がりは、後の節で扱います。

利用者がすること

漏えいした可能性がある情報が「メールアドレス等」であることを前提に、要るものと要らないものを分けます。

偽のメールへの備えを最優先にする

メールアドレスが外部に出た場合に、まず起きるのは、そのアドレス宛に偽のメールが届くことです。個人情報保護委員会のQ&Aでも、漏えいの「二次被害」の例として「漏えいしたメールアドレス宛てに第三者が不審なメール・詐欺メールを送信すること」が挙げられています。野村證券の発表が利用者に求めていることも、この備えに集中しています。

具体的には、野村グループ、野村證券、i-Port、ユミルリンクを名乗るメールが届いたら、本文のリンクを押さない、添付ファイルを開かない、返信で情報を送らない、の3つを守ります。「お知らせ」「ご確認のお願い」「情報漏えいのお詫びと手続きのご案内」のような件名で、手続きのために画面でログインや入力を求めるものは、今回の件に便乗した偽のメールの典型です。確かめたいときは、メールのリンクではなく、自分でブックマークしておいた公式サイトか、公式サイトに載っている電話番号から確かめます。

パスワードの変更は必須ではないが、使い回しがあれば見直す

今回の発表では、ログインの情報は漏えいの可能性がある情報に入っていません。そのため、この件を理由に急いでパスワードを変える必要はありません。ただ、同じメールアドレスとパスワードの組み合わせをほかのサービスでも使っている人は、過去の別の漏えいと組み合わされてログインを試される可能性が常にあります。この機会に、メールアドレスを使い回している範囲で、同じパスワードを使っているサービスがないかを見直すのは、今回の件とは別に意味があります。

証券口座の守りは「ログイン時の二段階認証と通知」で固める

野村證券に口座を持つ人が、この件をきっかけに自分の口座の守りを見直すなら、見るべきところはメールアドレスではなく口座のログインの仕組みです。金融庁は2026年10月9日に更新した注意喚起「インターネット取引サービスへの不正アクセス・不正取引にご注意ください」で、証券会社のインターネット取引サービスを使うすべての人に向けて、見覚えのある送信者からでもメールやSMSのリンクを開かないこと、公式サイトはブックマークから開くこと、ログイン時や出金時の多要素認証と通知サービスを有効にすること、パスワードを使い回さないこと、口座の状況をこまめに確かめることを挙げています。野村證券のオンラインサービスでは、パスキー認証、ワンタイムパスワード、ログインや出金を知らせるメール通知サービスが用意されていると「野村證券の安心セキュリティ対策」のページに書かれています。多要素認証の仕組みそのものを知りたい人は、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で、何を2つ目の要素にするかの選び方まで整理しています。

カードの明細を見張る必要は、この件ではない

クレジットカードの情報は、野村證券の発表に出てきません。今回の件を理由にカードの利用明細を見張る必要は、発表の内容からはありません。もちろん、日常の習慣として明細を見ることは別の話です。

偽のメール・SMS・電話の見分け方

今回の件で届く可能性がある偽の連絡を、野村證券と金融庁の公式の記載から見分けます。

• 野村證券は、自社から送るメールで取引パスワードを求めることはないと明記している。メールで取引パスワードやログインパスワードの入力を求められたら、それだけで偽物と判断できる
• 野村證券の正規のメールは、「@nomura.co.jp」と「@nomura.com」のドメインから順次、BIMIに対応したメールソフトでNOMURAのロゴが表示される。ロゴが出ないことだけで偽物とは言えない（メールソフトが対応していない場合がある）が、ロゴが出ていても送信元のドメインを目で確かめる習慣は持っておく
• 野村證券の正規のSMSは、審査済みの共通番号「0005-860400」または「0005-008604」から届くと案内されている。それ以外の番号から届いた、野村證券を名乗るSMSのリンクは開かない
• 金融庁は、見覚えのある送信者からのメールやSMSであっても、メッセージに載ったリンクを開かないことを求めている。確かめるときは、事前にブックマークした正しいURLから開く
• 電話で「情報漏えいの件で、本人確認のためにパスワードや暗証番号を教えてほしい」と言われたら、答えずに切る。野村證券は、社員が顧客の暗証番号を聞くことはないと「お取引等に不審な点がございましたらお申し出ください」のページに書いている

ユミルリンクも2026年10月20日に、同社のドメイン「cuenote.jp」を使って第三者を名乗る迷惑メールが複数確認されていると注意喚起を出しています。例として、カード会社を名乗る「ご利用確認のお願い」「利用内容確認のご依頼」といった件名のメールが挙げられています。メール配信サービスの事業者のドメインから届くメールは、本来はその事業者の顧客企業が送るものなので、送信元のドメインだけでは本物か偽物かを判断できません。件名や本文で「確認」「手続き」を急がせ、リンク先でログインや入力を求めるものは、送信元がどこであっても開かないのが安全です。

会社の中で、社員やメンバーが偽のメールを開かないようにする仕組みに関心がある人は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで、訓練の設計と効果の測り方を解説しています。

問い合わせ窓口

公式に載っている窓口を、立場別に載せます。いずれも2026年10月25日時点で各公式ページに掲載されている内容です。

野村證券（口座を持つ人の問い合わせ、注文や手続き）

• 総合ダイヤル 0570-077-000（利用できない場合 042-303-8100）
• 受付時間 平日8時40分から17時10分、土日9時00分から17時00分（祝日・年末年始を除く）
• ナビダイヤルは通話料がかかる

野村證券（不審なメールや電話の相談、取引に不審な点があるとき）

• お客様相談室 0120-56-8604
• 受付時間 平日9時00分から17時00分（土日祝日・年末年始を除く）
• 「野村證券の安心セキュリティ対策」のページでは、この番号が「フィッシング詐欺 相談窓口」としても案内されている。土日の9時00分から17時00分は総合ダイヤル

野村證券の発表は、i-Portの件の専用窓口を設けていません。「当社の公式サイトに掲載している窓口へお問い合わせください」とあるので、上のいずれかの番号に、10月23日発表の件であることを伝えて問い合わせます。問い合わせの前に、野村證券の「お問い合わせ」のページで最新の番号と受付時間を確かめてください。

ユミルリンク株式会社（委託先。契約している会社向けの窓口）

• 不正アクセス専用お問い合わせ窓口 03-6820-0088
• 受付時間 平日9時00分から20時00分
• メール [email protected]（返信は平日9時00分から19時00分の間で順次）

この窓口は、ユミルリンクのメール配信サービスを契約している会社に向けたものです。i-Portの案内を受け取っていた個人が、自分の情報が対象かを聞く先は、野村證券か所属先の窓口になります。

公的な相談先

• 金融庁 金融サービス利用者相談室 0570-016811（IP電話からは03-5251-6811）、平日10時00分から17時00分。証券口座に身に覚えのないログインや取引があった場合は、まず証券会社の窓口に確かめたうえで相談できる
• IPA（情報処理推進機構）情報セキュリティ安心相談窓口 03-5978-7509、平日10時00分から17時00分。偽のメールを開いてしまった、入力してしまったあとの技術的な相談ができる
• 個人情報保護委員会 個人情報保護法相談ダイヤル 03-6457-9849、平日9時30分から17時30分。事業者の個人情報の扱いについての苦情や、個人情報保護法の質問を受け付けている

同じ委託先で影響が広がった範囲

ユミルリンクのメール配信サービスは、多くの会社や団体が顧客向けのメール配信に使っています。同社の第一報は「Cuenote FC 専用ASPプランのうち、合計5システム」に不正アクセスとデータの出力があったとしているため、野村證券のほかにも、同じ委託先を使っていた会社から「メール配信の委託先での不正アクセスにより、メールアドレス等が漏えいした可能性がある」という案内が出ています。

この記事は野村證券の件だけを扱うため、ほかの会社の件の中身には触れません。ただ、読者として知っておきたいのは、同じ時期に「メール配信の委託先で不正アクセスがあった」という案内が複数の会社から届いても、それは1つの事案が委託先を通じて広がったものである可能性があるということです。どの会社の件かを混ぜずに、それぞれの会社の発表で、何が漏えいした可能性があるのか、何が含まれないと書かれているのかを確かめます。

また、2026年10月には、メール配信やフォームのサービスへの不正アクセスが相次いで公表されています。別のメール配信サービスの事業者を経由した件では、国の機関や鉄道会社がそれぞれ発表を出しています。委託先が違えば原因も範囲も別ですので、「メール配信サービスの不正アクセス」とひとまとめにせず、自分が登録していた会社の発表を見ることが大切です。

漏えいのおそれが出たときの決まり（個人情報保護委員会）

今回のように「漏えいした可能性がある」という段階で会社が発表するのは、個人情報保護法の決まりが「おそれ」の段階から動くからです。個人情報保護委員会の「漏えい等の対応とお役立ち資料」のページには、漏えい等の報告が義務になる場合が4つ挙げられています。

• 要配慮個人情報（病歴や犯罪の経歴など）が含まれる個人データの漏えい等、またはそのおそれ
• 不正に利用されることで財産的な被害が生じるおそれがある個人データの漏えい等、またはそのおそれ
• 不正の目的をもって行われたおそれがある行為による個人データの漏えい等、またはそのおそれ。不正アクセスによる漏えいはここに当たる
• 本人の数が1,000人を超える漏えい等、またはそのおそれ

今回の件は、外部からの不正アクセスという「不正の目的をもって行われたおそれがある行為」によるものです。この場合、件数にかかわらず報告の対象になり、報告の期限は発覚した日から60日以内と定められています。同じQ&Aでは、住所、電話番号、メールアドレスだけの漏えいは「財産的被害が生じるおそれがある」の要件には直ちに該当しないとされていますが、不正アクセスによるものである以上、別の要件で報告の対象になります。

野村證券の発表には、個人情報保護委員会への報告についての記載はないため、この記事では野村證券が報告したか否かを書きません。委託先であるユミルリンクの第一報には、捜査機関への届出を行ったと書かれています。決まりの上では、今回のような「漏えいの可能性」の段階も報告の対象に含まれる作りになっていることは、「可能性と言っているだけで何もしないのでは」と不安になったときの判断の材料になります。

在宅で仕事をする人が気をつけること

i-Portは金融機関等向けのツールなので、案内メールの宛先は、金融機関等でその仕事を担当している人です。在宅勤務や業務委託でその仕事をしている人、また、ほかの会社のメール配信を請け負っている在宅ワーカーにとって、今回の件には2つの関わり方があります。

業務用のメールアドレスが対象になった場合

勤め先や契約先の金融機関等から、i-Portの件で自分のメールアドレスが対象になったと知らされた場合、漏えいした可能性がある情報は、自分の個人情報であると同時に、所属先との関係を示す情報でもあります。「野村證券のi-Portの件でご連絡です」「貴社でご担当の○○様へ」といった、業務の文脈に合わせた偽のメールの材料になります。

このとき、自分の取引先に知らせる義務があるかというと、自分のメールアドレスが漏えいした可能性があるだけでは、法律上の通知の義務が生じる場面ではありません。個人情報保護委員会のQ&Aも、メールアドレスだけの漏えいは、直ちに財産的な被害のおそれには当たらないとしています。それでも、取引先とのやりとりに使っているアドレスが外に出た可能性があるなら、「自分の名前で普段と違う依頼や添付ファイルが届いたら、開く前に電話で確かめてほしい」と一言伝えておくと、取引先が偽のメールに気づきやすくなります。知らせること自体が信用を落とすのではなく、知らせずに取引先が偽のメールを開いてしまうことのほうが、関係に響きます。

取引先のメール配信を自分の名義で請け負っていた場合

在宅で仕事をする人の中には、取引先の会社のメールマガジンや顧客向けの案内の配信作業を請け負い、自分の名義でメール配信サービスを契約している人もいます。この場合、今回の野村證券の件そのものには関係しなくても、同じ委託先のサービスを使っていれば、委託先から直接連絡を受ける契約者の立場になります。

このとき、預かっていた配信先リストは取引先の顧客の個人データで、自分は「委託を受けて個人データを扱っている事業者」です。個人情報保護委員会のQ&Aは、委託元の個人情報データベースを加工や分析をせずにそのまま使う場合でも、委託された業務のために使うのであれば、委託先も個人情報取扱事業者に当たると明記しています。扱う人数が少なくても同じで、人数の多寡にかかわらず個人情報取扱事業者に当たるとも書かれています。つまり、個人で請け負っていても、個人情報保護法の報告や通知の決まりの外にはいません。

同じQ&Aには、クラウドサービスの事業者が個人データを取り扱わないことになっている場合、報告の義務を負うのはクラウドサービスを利用する事業者であり、クラウド事業者に報告を代行させることができる、という整理もあります。メール配信サービスを使って取引先の名簿を配信していた人は、この「利用する事業者」の側に立つ可能性があります。報告の要否や本人への通知の方法は、漏えいした情報の種類や人数、サービスとの契約の内容で変わるため、個別の判断は取引先と相談し、必要なら個人情報保護法相談ダイヤルで確かめます。

取引先への伝え方

取引先に知らせるときは、分かっている事実と、分かっていないことを分けて書きます。

• 何が起きたか。登録していた、または配信に使っていた外部のサービスで、不正アクセスによる漏えいの可能性が公表された
• 何が関係するか。自分のメールアドレスが含まれる可能性がある。預かっている情報が含まれるかは、サービス提供元や委託元の調査の結果を待っている
• 何をしてほしいか。自分の名前で、普段と違う依頼や添付ファイルが届いたら、開く前に電話で確かめてほしい
• 次にいつ連絡するか。公表元の続報が出たら、改めて知らせる

分かっていないことを分かっているように書かないことが、信頼を保つうえで大切です。野村證券の発表そのものが「可能性がある」「確認されていない」と言葉を選んでいるのは、その手本です。業務の文書で事実と見込みを書き分ける型を学びたい人は、ビジネス文書検定の出題範囲が参考になります。

登録先の一覧を作っておく

仕事のメールアドレスで登録している外部のサービスは、取引先の業務ツール、メールマガジン、研修サイト、発注システムなど、思っているより多いものです。登録先の一覧を作り、サービス名、登録したメールアドレス、登録した項目を控えておくと、今回のような発表があったときに、自分が関係するかどうかをすぐに判断できます。使わなくなった配信は解除しておくと、漏えいのときに巻き込まれる範囲を小さくできます。ただし、解除したあとに配信先の情報が残っているかどうかは、サービスごとに扱いが違います。

自分のメールアドレスが過去の漏えいに含まれていないかを調べる

今回の件で対象になったかどうかは、野村證券か所属先からの個別の案内で確かめるのが確実ですが、自分のメールアドレスが過去のほかの漏えいに含まれていないかは、自分で調べられます。Have I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法と、大手クラウドの過去の漏洩では、メールアドレスを入れるだけで過去の漏えいデータに含まれているかを無料で確かめる手順と、結果の読み方を解説しています。使い回しているパスワードがあるかを洗い出す起点にもなります。

また、今回は対象ではありませんが、住所や電話番号まで漏えいした別の件に巻き込まれた人は、個人情報が流出して住所が漏れたときの対応｜起きることと防ぎ方の順番で、何をすべきで何をしなくてよいかを分けて整理しています。

運営者の視点：預かった情報の扱いが、仕事の信用になる

在宅ワークとフリーランスの仲介を2004年から続けてきた運営者として見てきた限りでは、個人で仕事を受ける人が取引先から最初に測られるのは、技術よりも「預けたものをどう扱うか」です。顧客の名簿、問い合わせの履歴、配信先のリストは、取引先にとっては自社の顧客との関係そのものです。今回の件のように、漏えいの原因が自分ではなく、使っていたサービスの側にあったとしても、取引先への第一報を誰がどう出すかで、その後の関係は変わります。

長く続いている人に共通するのは、何かが起きたときに、分かっていることと分かっていないことを分けて、短く、早く知らせることです。発表の原文を読み、自分の言葉で言い換えず、公式が「可能性」と言っているものを「漏れた」と言い切らない。この姿勢は、今回の野村證券の発表の書き方そのものにも表れています。情報の扱いを仕事の軸にしたい人には、セキュリティの知識を在宅の仕事に結びつける道があり、AI・マーケティング・セキュリティのお仕事でその種類と求められる知識を整理しています。

よくある質問

Q. 野村證券の情報漏洩は、何が漏れたと発表されたのですか？

2026年10月23日の発表では、金融機関等向けツール「i-Port」の加入者向けメール配信を委託していたユミルリンクのシステムへの不正アクセスにより、メールアドレス等が外部に漏えいした可能性があるとされています。「漏えいした」ではなく「可能性がある」の段階で、件数は公表されていません。i-Portに登録されたポートフォリオの情報と証券取引口座の情報は含まれないと明記されています。

Q. 野村證券に口座を持っていますが、自分の口座の情報は漏れていますか？

発表の対象は金融機関等向けのi-Portのメール配信で、個人向けのオンラインサービスや口座のシステムへの不正アクセスは確認されていないと書かれています。対象の顧客には野村證券が個別に案内するとしているので、案内が届いていなければ対象と考える根拠はありません。不安なら、総合ダイヤルかお客様相談室に10月23日発表の件として問い合わせます。

Q. パスワードを変えたほうがよいですか？

今回の発表では、ログインの情報は漏えいの可能性がある情報に入っておらず、野村證券もパスワードの変更を求めていません。この件を理由に急いで変える必要はありません。ただし、同じメールアドレスとパスワードの組み合わせをほかのサービスでも使っている場合は、別の漏えいと組み合わされるおそれがあるため、使い回しを見直す機会にはなります。

Q. 野村證券やi-Portを名乗るメールが届いたら、どうすればよいですか？

本文のリンクを開かず、添付ファイルも開かず、返信で情報を送らないでください。野村證券は、メールで取引パスワードを求めることはないと明記しています。確かめたいときは、メールのリンクではなく、ブックマークした公式サイトか、公式サイトに載っている電話番号（お客様相談室 0120-56-8604、平日9時00分から17時00分）から確かめます。