事案の概要データ
| 最初の公表 | 2026年10月5日（大和証券） |
|---|---|
| 大和証券 | 約22万件（うち個人を特定できる情報 約11万件） |
| シチズン時計 | 約10万人（10月6日公表） |
| 損害保険ジャパン（SMILING ROAD） | 延べ約6万件（10月7日公表） |
| 原因 | 委託先スカラコミュニケーションズのサーバへの不正アクセス／管理サイトへの不正ログイン |
| 影響範囲 | 最大5社程度の取引先に影響の可能性が指摘されている |
図解：この事故の構造
何が起きたのか
2026年10月5日、大和証券が、問い合わせ内容の管理などを委託しているスカラコミュニケーションズが不正アクセスを受け、約22万件（うち個人を特定できる情報が約11万件）に影響が及んだ可能性があると公表しました。
翌6日にはシチズン時計が約10万人分、7日には損害保険ジャパンが運営する「SMILING ROAD」で延べ約6万件について、同じ委託先を経由した影響を公表しています。
スカラコミュニケーションズは、企業の問い合わせ管理やFAQシステムを提供する事業者です。多数の企業が同社のシステムを導入していたため、被害が業種を越えて広がりました。
「問い合わせ履歴」に何が書かれているか
この事案で流出の対象になったのは、顧客からの問い合わせ内容です。一見すると、氏名や口座情報に比べれば軽い情報に見えるかもしれません。
しかし問い合わせ文には、本人が自由に書いた内容がそのまま入っています。「夫が亡くなり相続の手続きを」「病気で入院するため」「離婚することになり名義を」——こうした、本人にとって極めて私的な事情が書かれていることが珍しくありません。
証券会社や保険会社への問い合わせであればなおさらです。資産の状況、家族の事情、健康状態といった、通常の個人情報よりも機微な内容が含まれている可能性があります。
委託先1社で業種を越えて広がる
この構図は、2026年を通じて繰り返されてきました。4月のYCC情報システム（複数自治体に約51万件）、6月のKDDIのISP向けメールシステム（6社に波及）、9月の両毛システムズ（大東ガス・伊勢崎市・名張近鉄ガス）——そして今回のスカラコミュニケーションズです。
共通するのは、「多数の企業が同じシステムを使っている」という構造です。効率は上がりますが、1社が破られたときに全社が同時に影響を受けます。
委託する側にできることは限られますが、3つあります。預けるデータを必要最小限にすること。事故時の報告期限を契約に書くこと。そして、どこに何を預けているかの一覧を持っておくことです。この一覧がないと、事故のニュースが出たときに「うちは影響を受けるのか」すら数日かけて調べることになります。
時系列で見る経過
- 2026年10月スカラコミュニケーションズのサーバ・管理サイトへの不正アクセスが発生
- 2026年10月5日大和証券が約22万件（個人特定できる情報 約11万件）への影響を公表
- 2026年10月6日シチズン時計が約10万人分への影響を公表
- 2026年10月7日損害保険ジャパンが「SMILING ROAD」で延べ約6万件への影響を公表
- 2026年10月以降他の委託元企業についても影響の有無の確認が続く
中小企業が学ぶべきポイント
- どこに何を預けているかの一覧を作る。これがないと事故時に数日動けない。
- 問い合わせ履歴には本人の私的な事情が書かれている。軽い情報だと扱わない。
- 委託先に預けるデータを必要最小限にする。問い合わせ本文を長期保存しない。
- 委託契約に事故時の報告期限（例：覚知から24時間）と報告先を明記する。
- 同じ委託先を使う企業は、自社にも影響がないか能動的に確認する。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。