事案の概要データ
| 初報 | 2026年10月16日（4,611名） |
|---|---|
| 第2報 | 2026年10月20日（364名を追加し 4,975名） |
| 攻撃 | 2026年10月14日 |
| 実害 | 7口座で意図しない注文、5口座で約定 |
| 対応 | 取引前の状態に戻し、顧客負担なし |
| 原因 | 委託先トレードワークスのシステムへの不正アクセス。提供元の説明では一部管理機能の設定不備を悪用された |
| 対象外 | 取引暗証番号は含まれず。顧客パスワードの取得は未確認 |
図解：この事故の構造
何が起きたのか
岩井コスモ証券は2026年10月16日に初報（4,611名）を出し、20日の第2報で364名を追加して4,975名としました。
原因は、委託先であるトレードワークスのシステムへの不正アクセスです。提供元の説明では、一部の管理機能の設定不備を悪用されたとされています。
特筆すべきは実害が出ている点です。2026年10月14日の攻撃で、7口座に意図しない注文が出され、うち5口座で約定しました。同社は取引前の状態に戻し、顧客の負担はないとしています。
取引暗証番号は含まれず、顧客パスワードの取得も確認されていません。
情報漏えいで終わらなかった
2026年10月に公表された事案の大半は、情報が漏れた、あるいは漏れた可能性がある、という段階でした。実際の金銭的な被害までは確認されていないものがほとんどです。
しかしこの事案では、7口座で意図しない注文が出され、5口座で約定しています。つまり、顧客の資産が実際に動かされました。
証券口座では、株式の売買そのものが損益を生みます。2025年の証券10社の事案（不正取引 約5,240億円）では、乗っ取られた口座で保有株を売却され、特定銘柄を買い付けられるという相場操縦が行われました。
今回は7口座と限定的で、取引前の状態に戻すことで顧客負担なしとされています。被害を速やかに確定させ、原状回復まで行った対応は評価できます。
「設定不備」が委託先で起きた
提供元の説明によれば、原因は一部管理機能の設定不備を悪用されたことです。脆弱性（プログラムの欠陥）ではなく、設定の問題とされています。
設定不備は、高度な攻撃手法を必要としません。開いている扉を見つけて入るだけです。だからこそ、定期的な点検で防げる種類の問題でもあります。
2026年10月は、設定を原因とする事案が続きました。10月12日のあっぷらぼ（管理用経路を絞っていない）、10月13日のニチイ学館（バックアップが認証なしで取得可能）、10月20日のGlobee（設定等を悪用）などです。
委託する側としては、「委託先の管理画面の設定はどうなっていますか」と踏み込んで確認する必要があります。契約書に守秘義務を書くだけでは、設定の不備は防げません。
特に金融機関の場合、委託先の管理が監督上も問われる領域です。
件数が増えた第2報
初報の4,611名から、第2報で364名が追加されて4,975名になりました。
調査が進むと件数は増えることが多く、2026年10月だけでもブックオフ（643万件→6,427,735件）、Eストアー（885万件→約2,335.6万人）が増加方向の訂正を行っています。
一方で、アルカディアのNET119（約13,000件→9,020件）のように減る訂正もあります。初報の数字は暫定であり、どちらにも動きうると理解しておく必要があります。
時系列で見る経過
- 2026年10月14日委託先トレードワークスのシステムへの不正アクセス。7口座に意図しない注文、5口座で約定
- 2026年10月16日初報を公表（4,611名）
- 2026年10月20日第2報。364名を追加し4,975名と公表。取引は取引前の状態に戻し顧客負担なし
中小企業が学ぶべきポイント
- 情報漏えいで終わらず、実際の取引まで行われることがある。資産に直結する業種は特に警戒。
- 設定不備は高度な攻撃を必要としない。定期的な点検で防げる種類の問題。
- 委託先の「管理画面の設定」まで踏み込んで確認する。契約書だけでは防げない。
- 初報の件数は暫定。増える方向にも減る方向にも動きうる。
- 実害が出たら速やかに原状回復する。顧客負担なしとした対応は評価できる。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。