マネックス証券、委託先への「アクセス試行の形跡」で新規口座開設を予防的に停止

事案の概要データ

図解：この事故の構造

何が起きたのか

マネックス証券は2026年10月20日、外部委託先の口座開設システムへのアクセス試行の形跡を受け、予防的措置として同日15時30分から新規口座開設の受付を一時停止したことを公表しました。

侵入の成功や情報の取得は確認されていないとされています。情報漏えいについての公表はなく、対象情報・人数・件数も非公表です。再開時期と侵入手口も公表されていません。

「試行の形跡」の段階で止めた

この事案が他と異なるのは、被害が確認されていない段階での対応だという点です。

「アクセス試行の形跡」とは、侵入しようとした痕跡はあるが、成功したとは確認されていない状態を指します。攻撃者がドアノブを回した跡はあるが、中に入られたかは分からない——そういう段階です。

多くの企業は、この段階では止めません。業務への影響が大きく、「成功していないなら様子を見よう」という判断になりがちです。

しかし同社は止めました。2026年10月の事案を振り返れば、この判断の価値は明らかです。10月16日のスカイチケットは第1報の「カード番号の流出なし」を第2報で訂正しました。10月20日のトラストバンクは「疑い」の翌日に445万件の流出確認へ進んでいます。「成功していない」という初期の判断は、覆ることがあります。

止めたのは「新規口座開設」だけ

停止の範囲も注目に値します。サービス全体ではなく、関連部分である新規口座開設の受付だけを止めています。

既存顧客の取引は継続できるため、影響は限定的です。リスクのある箇所を特定し、そこだけを止める——これができるのは、システムがどう分かれているかを把握できている場合だけです。

2026年10月17日のゲオやカーセンサーは、全サービスを止めました。どこまで広がっているか分からない段階では、全部止めるのが安全な判断です。一方で、範囲を特定できれば部分停止で済みます。

中小企業でも、「どの機能が、どのシステムとつながっているか」を把握しておけば、いざというときに止める範囲を最小化できます。全部止めるか、何もしないかの二択にならずに済みます。

委託先の口座開設システム

対象は、外部委託先が提供する口座開設システムでした。証券口座の開設には、本人確認書類の提出が伴います。

2026年9月のタイムズカー（運転免許証画像 約160万件）、10月7日のエイチ・アイ・エス（旅券 最大627人分）と、本人確認書類の流出が続いています。これらは変更できない情報であり、流出のリスクは長期にわたります。

本件では情報取得が確認されていませんが、口座開設システムが扱う情報の重さを考えれば、予防的に止めた判断は妥当です。

時系列で見る経過

• 2026年10月外部委託先の口座開設システムへのアクセス試行の形跡を確認
• 2026年10月20日 15時30分予防的措置として新規口座開設の受付を一時停止
• 2026年10月20日事案を公表。侵入の成功や情報取得は確認されていないと説明

中小企業が学ぶべきポイント

1. 「試行の形跡」の段階で止める判断もある。成功していないという初期判断は覆ることがある。
2. 止める範囲を特定できれば、業務への影響を最小化できる。全部か無かの二択にしない。
3. そのためには「どの機能がどのシステムとつながっているか」を平時に把握しておく。
4. 本人確認書類を扱うシステムは、疑わしい段階で止める価値が高い。

出典・参考

• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope