- 重要度
- 重要度：5段階中5 業務やサービスの停止
- 公表日
- 2026.10.31
- 原因の分類
- サプライチェーン、侵入口未公表
- 対策可能性
- 判定保留
この記事の3行まとめ
- 社債購入者への特典付与を支援するSTdirectServicesを停止した
- 委託先のSaaSへの不正アクセスで個人情報が漏えいした可能性がある
- 侵入経路と漏えいの範囲は未公表で、調査が続いている
NTTデータが提供する社債購入者向けの特典付与支援サービスSTdirectServicesで、委託先のSaaSサービスへの第三者による不正アクセスが発生したため、サービスを停止した。委託先のサービスで扱う個人情報が漏えいした可能性があり、同社が調査を進めている。現時点では特典付与の対象となる社債がないため、特典付与業務への影響はないとしている。11月9日の続報は別サービスの件を扱っており、本件との関係は資料からは確認できない。
確認された経路・公表元の推定
- 委託先のSaaSサービスへの第三者による不正アクセスが発生
- NTTデータがSTdirectServicesのサービスを停止
- 委託先が、取り扱う個人情報の漏えいの可能性を調査中
根拠の要点
資料は、委託先のSaaSサービスへの第三者による不正アクセスの発生と、個人情報漏えいの可能性を述べている。侵入経路や攻撃手法は書かれていない。続報（2026年11月9日発表）は住友生命のVitality関連サービスの不正アクセスを扱い、STdirectServicesには触れていないため、同一事件かは資料から確認できない。続報は、NTTデータが住友生命からシステム構築・運用を受託していると書いており、事業内容の判断にはこれも使った。
資料の基準時点：2026年10月31日発表時点（続報：2026年11月9日発表、2026年11月13日取得）
当時、対策できたのか
判定保留
侵入口、攻撃時点の防御条件、修正の時期などが資料に書かれていないため、判定保留とした。続報も、本件の侵入口や欠落していた対策には触れていない。
公表された対策
- STdirectServicesのサービスを停止している
- 関係各社と連携し、状況の確認を進める
まだ分からないこと
- 侵入の経路と攻撃手法
- 不正アクセスの発生日時
- 漏えいした個人情報の範囲と件数
- 委託先の名称
- 二次被害の有無
- 続報の件が本件と同じ事件かどうか。続報は別サービス（住友生命Vitality関連）を扱い、STdirectServicesに触れていない
- 侵害された対象の位置づけ。初報は「当社委託先のSaaSサービス」、続報は「当社受託システム」と書いており、資料どうしで食い違う
- 続報の約8万名と約1000名の件数が本件に当てはまるかどうか。続報はこれを別サービスの件数として書いているため、本件の影響規模としては使わない