三井住友DS投信直販ネット、委託先での不正アクセス検知で予防的にシステム停止 約10時間で復旧

事案の概要データ

図解：この事故の構造

何が起きたのか

三井住友DSアセットマネジメントは2026年10月16日、「三井住友DS投信直販ネット」のマイページにログインできない状況が発生したことを公表しました。

公表文によれば、2026年10月15日19時50分頃から10月16日6時00分頃までの間、マイページにログインできませんでした。原因は、「同サービスの取引委託業者のシステムにおいて第三者による不正アクセスを検知し、一時的な予防的措置としてシステムを停止した」ためです。

「現時点でお客さまの口座情報やお取引への影響は確認されておりません」としています。漏えいの有無や件数については、公表文に記載がありません。

その後、同社は安全性の確認・確保のため自社ホームページも一時停止し、2026年10月23日に再開しています。

「予防的措置として止めた」という判断

件数も漏えいもない事案を、なぜ記録するのか。止める判断の速さが参考になるからです。

公表文の言葉は「一時的な予防的措置としてシステムを停止した」です。つまり、被害が確定したから止めたのではなく、検知した段階で止めたということです。

この判断は簡単ではありません。投資信託の直販サービスを止めるということは、顧客が注文できず、残高も確認できなくなるということです。金融商品なので、価格が動いている間に取引できない不利益も発生します。

それでも止めたのは、「入られているかもしれない状態で動かし続けるほうが危ない」と判断したからです。

2026年10月の事案を見ていくと、この判断が明暗を分けています。GMOインターネットは10月21日4時に全プランのサーバーを停止しました。ちはやふる（charilot）は不審なログを見つけた時点でアプリを止めました。一方、調査を優先して動かし続けた結果、被害が広がった事案もあります。

「止めると困る」と「止めないともっと困る」を、その場で比べる。 そのために平時から決めておくことは1つです。誰が止める判断をするか。 社長か、店長か、システム担当か。これが決まっていないと、夜中に誰も決められません。本件は19時50分に止まっています。営業時間外です。

委託先の事故で、自社のサービスが止まる

もう1つの論点は、止まった原因が自社ではなく取引委託業者にあることです。

三井住友DSアセットマネジメント自身のシステムが攻撃されたわけではありません。投信の売買を処理する委託先で不正アクセスが検知され、その影響で自社の顧客向けサービスを止めました。

2026年10月の金融分野では、同じ構造が続きました。岩井コスモ証券（委託先への不正アクセスで4,975名、意図しない注文も）、マネックス、八十二銀行。そして本件です。

顧客から見れば、「三井住友DSのサイトにログインできない」という事実だけがあります。委託先の事故も、顧客にとっては自社の事故です。

中小企業に置き換えると、こうなります。予約システム、決済代行、受発注システム、クラウド会計。どれかが止まれば、顧客や取引先は自社に問い合わせてきます。「うちのせいではありません」は通りません。

やっておくことは2つ。①委託先に障害が起きたとき、何分以内に自社へ連絡が来る契約になっているかを確認する。 契約書に書かれていないことが多いです。②顧客への案内を自社で出せるようにしておく。 委託先の復旧を待ってから案内するのでは遅すぎます。

10時間で復旧し、その日のうちに公表した

本件の時間の使い方を整理します。

19時50分頃にシステムを停止し、翌朝6時00分頃に復旧。約10時間です。そして同じ10月16日のうちに公表しています。

公表の内容は短く、「ログインできない状況が発生していた」「原因は委託先での不正アクセス検知と予防的停止」「現在は復旧済み」「口座情報や取引への影響は確認されていない」。これで十分です。

小さな障害を公表しない会社は多いです。「もう直ったから」「大した影響はなかったから」。しかし、ログインできなかった顧客は不安を抱えたままです。そして、公表しないまま後で別の経路から知られると、隠していたことになります。

復旧したら、短くてよいので公表する。 起きたこと、原因、今の状態、影響の有無。4つ書けば足ります。本件はその見本です。

時系列で見る経過

• 2026年10月15日 19時50分頃取引委託業者のシステムで第三者による不正アクセスを検知。予防的措置としてシステムを停止。マイページにログインできない状態となる
• 2026年10月16日 6時00分頃復旧。通常どおり利用可能に
• 2026年10月16日経緯を公表。口座情報や取引への影響は確認されていないと説明
• （その後）安全性の確認・確保のため、自社ホームページを一時停止
• 2026年10月23日ホームページの公開を再開。投信直販ネットも通常どおり利用可能と公表

中小企業が学ぶべきポイント

1. 被害の確定を待たずに止める判断が、結果として被害を小さくする。
2. 「誰が止める判断をするか」を平時に決めておく。夜中や休日に起きたとき、決められる人がいないと止まらない。
3. 委託先の事故も、顧客にとっては自社の事故。「うちのせいではありません」は通らない。
4. 委託先に障害が起きたとき、何分以内に自社へ連絡が来る契約かを確認する。書かれていないことが多い。
5. 顧客への案内は自社で出せるようにしておく。委託先の復旧を待ってからでは遅い。
6. 小さな障害でも、復旧したら短く公表する。起きたこと・原因・現状・影響の有無の4点でよい。

出典・参考

• 三井住友DS投信直販ネットのマイページ一時利用停止のお詫びと復旧のお知らせ（三井住友DSアセットマネジメント）
• ホームページ再開のお知らせ（三井住友DSアセットマネジメント）
• 三井住友DS投信直販ネットのマイページにログインできない状況に（ScanNetSecurity）