事案の概要データ
| 公表日 | 2026年11月5日 |
|---|---|
| 検知日 | 2026年11月2日（同日中に対象システムへのアクセスを遮断） |
| 侵害対象 | SMBCコンシューマーファイナンスの保証業務システム（提携銀行自身のシステムではない） |
| 件数 | 最大320,118人 |
| 漏えいした情報 | 氏名、生年月日、住所、携帯・自宅電話番号、メールアドレス、運転免許証番号、勤務先・年収、金融機関コード、顧客番号、保証額、保証開始日など |
| 対象外の情報 | 本人確認書類の画像 |
| 注記 | 全対象者にすべての項目が含まれるとは限らない |
| 波及先 | 少なくとも14銀行（2026年11月6日朝時点。公式発表と報道を含む） |
| 銀行別の公表値（例） | ドコモSMTBネット銀行 最大122,635人／第四北越銀行 最大1,307人／あいち銀行 1名 |
| 件数の扱い | 各行の人数は最大320,118人の内数。加算してはならず、14行を独立した14件の攻撃として数えることもできない |
| 業務への影響 | 北洋銀行・筑波銀行・中国銀行などでカードローンの新規申込や増額受付を停止。福岡銀行・熊本銀行・十八親和銀行は受付継続だが審査に時間がかかる可能性 |
| 2020年終了商品も対象 | 第四北越銀行の対象は2020年9月30日以前に申込・審査をした旧ローン「べんリーナ365」の顧客 |
| 顧客への通知 | 対象者を特定した後、保証会社が提携先と連携しメール・SMS等で個別案内する予定 |
| 二次被害 | 2026年11月5日の公表時点で確認されていない |
| 提携行の公表（りそな3行） | 2026年11月6日。りそな銀行・関西みらい銀行・みなと銀行が、過去に保証業務で提携していた分について、解約済みのカードローン・フリーローンの顧客 計5,935件の氏名・住所・運転免許証番号などが含まれていたと公表 |
| 「過去に提携していた」分も対象 | 現在の提携先だけでなく、提携を終えた銀行の解約済み顧客の情報も外部送信データに含まれていた |
図解：この事故の構造
何が起きたのか
SMBCコンシューマーファイナンス株式会社は2026年11月5日、カードローンなどの保証業務に利用するシステムが第三者による不正アクセスを受け、最大320,118人の個人情報が外部へ送信されたと公表しました。
同社は地方銀行、信用金庫、インターネット銀行などと提携し、銀行が貸すカードローンの審査と保証を引き受けています。つまり、複数の銀行の申込者情報が、この1社に集まっている構造です。
11月2日に不正アクセスを検知し、同日中にアクセスを遮断。11月5日に公表しました。
漏えいした情報が重いです。氏名・生年月日・住所・電話番号・メールアドレスに加えて、運転免許証番号、勤務先と年収、保証額、保証開始日などが含まれます。本人確認書類の画像は含まれていないと説明されています。
11月6日朝の時点で、影響を公表・報道された提携銀行は少なくとも14行。ドコモSMTBネット銀行（旧・住信SBIネット銀行）が最大122,635人、第四北越銀行が最大1,307人、あいち銀行が1名と、確認できた銀行から順に件数が出ています。
運転免許証番号と年収が漏れると、何が起きるか
この事案を他の情報漏えいと分けて考えるべき理由が、漏えいした項目の組み合わせです。
①運転免許証番号。 本人確認の番号です。画像は流出していませんが、番号を知っているだけで「本人確認済みの相手」を装いやすくなります。
②勤務先と年収。 これは、普通の顧客名簿には入っていません。借入の審査でしか集めない情報です。
③保証額と保証開始日。 「いくら借りられる状態か」「いつから使っているか」が分かります。
この3つがそろうと、詐欺の精度が上がります。たとえば、こういう電話です。「○○銀行のカードローンをご利用の××様ですね。保証額○○万円の件で、保証会社からご連絡しています。ご勤務先は○○でお間違いないでしょうか」。
本人しか知らないはずの情報を相手が持っているため、信じてしまいます。そのうえで「システム切り替えのため、口座の再登録が必要です」と誘導されます。
対象となる可能性がある方への呼びかけは、はっきり1つです。銀行・保証会社を名乗る電話やSMSで、暗証番号・パスワード・ワンタイムパスワード・口座番号を伝えない。 いったん切って、キャッシュカードや契約書類に書かれた番号にかけ直してください。
そして、借入の覚えがないのに「ご利用明細」が届いたら、すぐ銀行に連絡してください。
「2020年に終了した商品」の情報まで残っていた
第四北越銀行の公表に、見逃せない記述があります。対象は、2020年9月30日以前に申込・審査をした旧ローン「べんリーナ365」の顧客でした。この商品の新規受付は2020年に終了しています。
つまり、6年以上前に終わった商品の、審査のときの情報が残っていたということです。
本サイトでは11月だけで、同じ形を何度も扱っています。@cosme（退会済みの人も対象）、ネットマイル（退会会員を含む最大約549万人）、ApplyNow（契約終了後もデータが残存）、ノジマ（退会者を除く約700万件と明示）。
終わったのに消していない。 これが、件数を押し上げる最大の要因です。
ただし、金融機関には事情があります。与信の記録は、法令や監督上の理由で一定期間の保存が求められることがあります。「全部すぐ消す」とはいきません。
だからこそ、中小企業がやるべきことははっきりします。「法令で残すもの」と「なんとなく残しているもの」を分けることです。
1. 保存が義務づけられている書類をリストにする。 帳簿7年、労働者名簿3年など、業種ごとに決まっています。
2. それ以外に、何を・なぜ残しているかを書き出す。 「再度の問い合わせに備えて」なら、何年分必要かを数字で決める。
3. 決めた期間を過ぎたものを、実際に消す担当と時期を決める。
そして、残すものは、使う場所から切り離して保管する。オンラインのシステムに置いたままにせず、取り出しに手間のかかる場所へ移すだけでも、事故のときの流出範囲は変わります。
1社が止まると、14行の融資が止まる
この事案のもう一つの側面が、業務への影響です。
北洋銀行はカードローン「スーパーアルカ」の新規受付と限度額増額受付を停止。筑波銀行、中国銀行もWeb申込を停止しました。福岡銀行・熊本銀行・十八親和銀行は受付を続けていますが、審査に通常より時間がかかる可能性を案内しています。
情報が漏れた話と、お金が借りられなくなる話は別です。後者は、利用者の生活に直接響きます。
なぜこうなるのか。審査と保証を1社に任せているからです。その1社が止まると、提携するすべての銀行の審査が止まります。コストと専門性の面では合理的な仕組みですが、止まるときは一斉です。
本サイトでは11月の事案で、同じ構造を繰り返し見ています。TKC（自治体の電子申請）、アララ（メール配信）、プレステージ・コアソリューション（ロードサービス）。業界の共通基盤が1か所にあるという形です。
中小企業に当てはめると、こうです。自社の業務のうち、1社に依存しているものはどれか。 決済代行、受発注システム、配送、予約。その1社が3日間止まったとき、何ができなくなるか。
紙1枚に書き出してみてください。書き出すだけで、代わりの手段を用意すべきところが見えます。
時系列で見る経過
- 2026年11月2日SMBCコンシューマーファイナンスが保証業務システムへの不正アクセスを検知。同日中にアクセスを遮断
- 2026年11月5日最大320,118人の個人情報が外部へ送信されたと公表。提携銀行も相次いで影響を公表
- 2026年11月5日ドコモSMTBネット銀行が最大122,635人、第四北越銀行が最大1,307人、あいち銀行が1名と公表。十八親和銀行・福岡銀行・熊本銀行なども公表
- 2026年11月5日以降北洋銀行・筑波銀行・中国銀行などがカードローンの新規申込・増額受付を停止
- 2026年11月6日朝時点影響が確認された提携銀行は少なくとも14行
- （今後）対象者を特定後、保証会社が提携先と連携してメール・SMS等で個別案内する予定
- 2026年11月6日りそな銀行・関西みらい銀行・みなと銀行が、解約済みのカードローン・フリーローン顧客 計5,935件について公表
中小企業が学ぶべきポイント
- 運転免許証番号・勤務先・年収・保証額がそろうと、詐欺の精度が大きく上がる。
- 本人しか知らないはずの情報を相手が持っていても、信じない。いったん切って、契約書類の番号にかけ直す。
- 借入の覚えがないのに「ご利用明細」が届いたら、すぐ銀行に連絡する。
- 2020年に受付を終了した商品の審査情報まで残っていた。終わったものを消していないと件数が膨らむ。
- 「法令で残すもの」と「なんとなく残しているもの」を分ける。後者は年数を決めて実際に消す。
- 残すものは、使う場所から切り離して保管する。それだけで事故時の流出範囲が変わる。
- 各行の人数は最大320,118人の内数。加算してはいけないし、14行を14件の攻撃として数えることもできない。
- 情報漏えいと同時に、カードローンの新規申込が止まった。業務の継続も被害のうち。
- 自社が1社に依存している業務を書き出す。その1社が3日止まったとき何ができなくなるか。
- 現在の提携先だけでなく、提携を終えた銀行の解約済み顧客の情報まで残っていた。
出典・参考
- SMBCコンシューマーファイナンスへの不正アクセスによるサイバー攻撃のまとめ-提携14銀行に波及（セキュリティ対策Lab・2026年11月6日）
- 2026年11月の不正アクセス・情報漏えい（不正アクセス・情報漏えい事案一覧）
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。