- 重要度
- 重要度：5段階中5 業務やサービスの停止・最大320,118名
- 公表日
- 2026.11.05
- 原因の分類
- サプライチェーン、侵入口未公表
- 対策可能性
- 判定保留
この記事の3行まとめ
- 提携先の保証システムに不正アクセスがあり、顧客の個人情報が外部へ送られた。
- 侵入口は未公表で、最大320,118名分の個人情報が漏えいした。
- 不審な連絡のURLは開かず、個人情報を入力せず窓口に相談する。
保証業務で使うSMBCコンシューマーファイナンスのシステムに第三者が不正アクセスし、外部へ送信されたデータに顧客の個人情報が含まれていた。最大320,118名の個人情報が対象とされる。スルガ銀行とトマト銀行は、同社に保証業務を委託する自行の顧客情報も対象だと公表している。
確認された経路・公表元の推定
- 2026年11月2日、SMBCコンシューマーファイナンスが保証業務で使うシステムへの不正アクセスを検知し、同日中にアクセスを遮断した。
- 調査の過程で、システムから外部へ送信されたデータに個人情報が含まれていたことを確認し、2026年11月5日に両社が公表した。
- スルガ銀行は11月5日に同社から報告を受け、2026年11月6日に自行の顧客情報も含まれると公表した。
- トマト銀行は提携先からの報告に基づき、自行のお客さまの情報も対象となっていると確認し、2026年11月5日に公表した。
根拠の要点
SMBCコンシューマーファイナンスは、11月2日に不正アクセスを検知し、同日中に保証業務システムへのアクセスを遮断したと説明している。調査の過程で、外部へ送信されたデータに個人情報が含まれていたことを確認したとしている。スルガ銀行とトマト銀行は、同社からの報告に基づき自行の顧客情報も対象だと公表している。侵入口と原因は調査中で、資料に記載がない。
資料の基準時点：2026年11月6日時点（スルガ銀行の公表）
当時、対策できたのか
判定保留
資料は侵入口、攻撃時点の防御条件、既知の脆弱性への対応状況を示していない。対策の欠落も、発覚時の未発見も説明されていないため、判定を保留する。
公表された対策
- 11月2日に不正アクセスを検知し、保証業務で使うシステムへのアクセスを遮断した。
- お客さまの安全確保を最優先として保証システムを一時停止し、安全性の確認と必要なメンテナンスを引き続き実施する。
- 原因と影響範囲の詳細な調査を進め、再発防止と情報管理態勢の一層の強化に取り組むとしている。
- 対象となるお客さまには、範囲の特定後に保証提携先と相談のうえ、メールやSMS等で個別に案内する。
- スルガ銀行は、同社を保証会社とするローン商品の新規申込受付を停止している。
- トマト銀行は、該当するローン商品の申込手続等を停止している。
- 電話・メール・SMS等で暗証番号やパスワードを尋ねることはないと案内し、不審な連絡のURLを開かず個人情報を入力しないよう呼びかけている。
まだ分からないこと
- 不正アクセスの侵入口と攻撃の手口は資料に記載がない。
- 侵入の発生時期は資料に記載がなく、確認できたのは2026年11月2日の検知である。
- 対象となるお客さまの範囲と、各提携先の対象人数は確定していない。
- 漏えい先は未公表で、二次被害は現時点で確認されていないが、悪用の有無は未確認である。
- 攻撃の時点で既知の脆弱性などがあったかどうかは未公表である。
- 保証システムの再開時期と、該当するローン商品の申込停止の期間は未公表である。