大和証券、シチズン、損保ジャパン、東武鉄道、オリックス生命――5社に影響した「同じ委託先」への不正アクセス 各社はどう動いた？：問い合わせ情報を預けた委託先のシステムが侵害（3/3 ページ）

[＠IT]

委託先の対策と、被害を受けた各社の動き

　スカラコミュニケーションズは、今回の不正アクセスについて外部の専門調査機関によるフォレンジック（不正行為の証拠収集・分析）調査を進め、個人情報保護委員会に報告し、警察に相談している。今後は調査結果を踏まえて、多要素認証の導入などによる管理者認証の強化、ユーザー企業ごとのシステムの分離、監視体制の強化、第三者による定期的な脆弱（ぜいじゃく）性診断を進める計画だ。

　大和証券と損害保険ジャパンは、不正アクセスの影響を受ける顧客への個別連絡を進めるとともに、委託先の管理体制を見直し、管理強化策とその実施時期を決める方針だ。大和証券はスカラコミュニケーションズの原因調査と恒久対策を確認し、損害保険ジャパンはスカラコミュニケーションズに原因究明と再発防止策の徹底を求める。

　オリックス生命保険は、情報が漏えいした可能性のある顧客に対して、個別に案内する方針だ。スカラコミュニケーションズによる原因調査と再発防止策の内容を確認するとともに、自社の委託先管理についても検証し、必要な取り組みを進めると説明する。

　シチズン時計は問い合わせ受け付けシステムを移行中で、利用しているスカラコミュニケーションズのシステムの利用を2026年10月中旬に終了する計画だ。発表時点では、継続中の問い合わせ対応に限って現行システムを利用している。移行完了後、同システムに保管している顧客の個人情報を全て削除する。

　スカラコミュニケーションズは、不審なメールに記載されたリンクや添付ファイルなどを開かないよう求めるとともに、身に覚えのない連絡を受けた場合は、問い合わせをした企業の公式窓口に確認するよう呼び掛けている。スカラコミュニケーションズは、内部統制・情報セキュリティ推進本部に特設窓口（電話：[phone]、平日9時〜17時）を設けている。

---

　顧客情報など重要な情報を外部委託先に預ける企業は、あらためて委託先のセキュリティ対策を確認するとよい。当然ながら、不正アクセスを受けるのは委託先だけではなく、標的も手口もさまざまだ。個別の脅威への対策にとどまらず、管理者アカウントへの多要素認証の導入や脆弱性の定期的な診断といった、基本的なセキュリティ対策を着実に実施することが重要になる。