Securitize Japanがサイバー攻撃を受け、ソニー銀行、NTTデータ、丸井グループが保有する顧客データが流出しました。

3社は情報漏えいを認め、調査が続いています。韓国と日本の金融企業で相次ぐセキュリティ侵害のさなかに起きた事件です。Securitize Japanは、米国のトークン化企業Securitizeの日本法人です。

ソニー銀行で氏名617件と詳細なプロフィール4件が流出

10月30日、ソニー銀行は、デジタル証券を取り扱う外部委託先へのハッキングに気づき、事件を把握しました。2026年11月4日水曜日、ソニー銀行は委託先がSecuritize Japanであることを明らかにしました。

重大な被害はありませんでしたが、617人の氏名が流出し、4人の顧客はプロフィール情報をすべて盗まれました。

ソニー銀行は、適切な安全対策が整うまで、デジタル証券の取引サービスを停止することを決定しました。現時点で不正取引は確認されておらず、盗まれたデータも公開されていません。この情報漏えいは、ソニー銀行が提供する他のサービスには影響しませんでした。

ソニー銀行は2023年にSecuritize Japanでデジタル証券の提供を開始し、2026年には音楽著作権への投資を裏付けとして資金を調達する際にも、Securitize Japanを利用しました。デジタル証券とは、ブロックチェーン上で所有権や権利の記録を管理する金融商品です。

Securitizeは10月29日に情報漏えいを発見

Securitize Japanは2026年10月29日、自社システム内で異常な動きを検知しました。同社は直ちに、その動きが外部からの侵入者によるものだと突き止めました。その後、ソニー銀行に通知し、Securitize Japanはアクセスログの調査を行いました。その結果、顧客記録がシステムから盗まれていたことが判明しました。

ソニー銀行は、影響を受けた顧客一人ひとりに連絡するとともに、問い合わせに対応するための窓口を設置することを決定しました。

NTTデータと丸井グループも被害に

NTTデータと丸井グループも、情報漏えいの影響を受けたSecuritize Japanの顧客です。NTTデータは2026年11月2日、社債の購入者の個人データがSecuritize Japanのサービスを通じて流出したと発表しました。

ハッカーはプラットフォームの認証上の脆弱性を悪用して管理者権限を掌握し、データを盗みました。

一方、丸井グループでは別の被害が発生しました。デジタル社債の申し込みのみを目的に口座を開設した最大9,086人について、氏名、住所、電話番号、メールアドレス、生年月日、性別、購入した投資口数などの個人情報が流出しました。

約54人の申込者については、銀行口座情報も流出しました。

東アジアの金融業界に相次ぐ不運

今回の事件は、東アジアの金融業界にとって厳しい時期に追い打ちをかけるものです。つい最近、日本の保険会社、金融会社、物流会社など約80社が攻撃を受け、その攻撃にARTEXが使われたことが判明しました。ARTEXは中国で開発されたオープンソースの侵入テスト用AIツールです。調査員は、9月18日から10月18日にかけて日本の標的への攻撃に使われた海外のサーバー6台を特定しました。

韓国でも、別の銀行への侵入事件がARTEXに関連していることが判明しました。これらの攻撃では、ARTEXがClaude Codeなどの大規模言語モデルと組み合わせて使われました。新韓銀行やKB国民銀行を含む16の金融機関から、約10万件の記録が流出しました。

Cryptopolitanによると、その後、韓国警察は暗号資産取引所Bithumb、大信証券、Mirae Asset Global Investmentsの情報漏えいについて予備捜査を開始し、大信証券の顧客38,490人の情報が流出しました。

これまでの公表情報では、Securitize Japanの事件とARTEXとの関連は指摘されていません。NTTデータは、特定の攻撃者やツールの名前を挙げず、認証上の脆弱性が情報漏えいの原因だと説明しました。

最先端の暗号資産情報を追う人たちは、すでに私たちのニュースレターを読んでいます。あなたも参加しませんか？