NTTデータの不正アクセスで何が起きた？楽天証券との関係と利用者が確認すべきこと

NTTデータの「不正アクセス」に関するニュースを見て、自分の個人情報や証券口座は大丈夫なのかと不安になった人もいるでしょう。2026年10月31日、NTTデータは社債購入者向けの特典付与を支援する「STdirectServices」を停止していると発表しました。理由は、同サービスで利用している委託先のSaaSに第三者による不正アクセスが発生したためです。委託先が扱う個人情報について、漏えいの可能性が調査されています。

楽天証券も同日、NTTデータの委託先が提供する「デジタル証券プラットフォーム」に関し、一部の顧客情報が外部に持ち出された可能性を公表しました。ただし、楽天証券自身のシステムが不正アクセスを受けたという発表ではありません。事実と調査中の内容を区別し、自分に関係する情報だけを確認することが重要です。

以下は2026年11月1日時点で確認できる公式発表に基づく案内です。発生した日は楽天証券の公表によると2026年10月30日（金）です。日本の発表であり、日付は日本標準時（JST、UTC+09:00）で記載していますが、具体的な発生時刻は公表されていないため、時刻やUTCの発生日付への換算は断定できません。

NTTデータの不正アクセスで確認されていること

被害を受けたのは委託先のサービス

NTTデータの2026年10月31日の公式発表によると、不正アクセスの対象はSTdirectServicesが利用している委託先のSaaSです。NTTデータは同サービスを停止し、関係各社と状況を確認しています。STdirectServicesは社債購入者への特典付与を支援する仕組みで、発表時点では特典付与の対象となる社債がないため、特典付与業務への影響はないと説明しています。

ここで注意したいのは、「NTTデータのすべてのサービスが侵害された」「NTTデータの顧客全員の情報が流出した」といった解釈は、今回確認した公式発表からは導けないことです。侵入経路、実際に流出した情報の確定範囲、再開予定などは、続報を確認する必要があります。

楽天証券との関係：対象は特定のデジタル特典付き社債

楽天証券の2026年10月31日のお知らせでは、同社が販売したデジタル特典付き社債の購入者のうち、一部の顧客情報が対象となる可能性が示されています。対象として挙げられたのは次の3銘柄です。

• カゴメ株式会社 第1回無担保社債（2023年2月21日発行）：一部の購入者
• 西日本旅客鉄道株式会社 第80回無担保社債（2024年6月19日発行）：一部の購入者
• 近鉄グループホールディングス株式会社 第135回無担保社債（2026年7月24日発行）：100万円以上購入した顧客

楽天証券が示した対象規模は延べ362件です。「延べ」は重複を含む可能性がある表現であり、362人の固有人数や、362件すべての情報流出が確定したことを意味しません。対象顧客の確認や漏えいした可能性のある情報項目について、調査が進められています。影響が確認された顧客には個別に連絡する方針です。

楽天証券は、証券口座へのログインに必要なID・パスワード、取引に必要な各種情報は漏えいの可能性がある情報に含まれていないとの報告を受けているとしています。また、同社の発表時点では、今回の事案に起因すると考えられる不正アクセスや不正取引は確認されていません。これは安全性に関する発表時点の説明であり、今後の調査結果を先取りするものではありません。

SBI証券も一部の購入者への影響可能性を公表

SBI証券の2026年10月31日の公式案内でも、近鉄グループホールディングス第135回無担保社債を100万円以上購入した顧客のうち、同社経由で対象となる1,169名について説明されています。漏えいした可能性があるのは氏名と購入金額で、証券口座番号やパスワードなどは含まれないと案内されています。同社自身のシステムへの不正アクセスではないとも明記しています。

各社の件数は対象となる販売経路や数え方が異なります。単純に合算して「被害者総数」とすることは避けましょう。最新の発表は、実際に購入した証券会社の公式ページで確認してください。

自分が対象かどうかを確認する3つの手順

1．購入した社債の銘柄と購入先を確認する

楽天証券またはSBI証券を利用しているだけで、今回の対象となるわけではありません。証券会社の公式アプリや、普段から使っているブックマークから口座にアクセスし、過去の取引履歴や電子交付書面で該当する社債を購入したか確認します。購入先、銘柄名、購入金額を控えておくと、公式窓口への問い合わせで説明しやすくなります。

2．証券会社からのお知らせを確認する

公式サイトのお知らせ欄、ログイン後のメッセージ、登録済みの連絡先に届いた案内を確認してください。ただし、今回の事故に便乗した偽メールやSMSの可能性もあります。届いたメッセージに記載されたリンクをそのまま開いてログインしないことが基本です。個別連絡がまだ来ていないことだけで、影響がないと断定するのも早計です。

3．情報の種類と調査状況を見分ける

「不正アクセスが発生」「情報が持ち出された可能性」「漏えいが確定」「不正取引が発生」は、それぞれ意味が違います。発表日と更新日、影響を受けたサービス、対象者、情報項目、確認済みの被害を分けて読みましょう。

今日できるアカウント保護とフィッシング対策

今回の公式発表だけを理由に、すべての利用者が直ちにパスワードを変更しなければならないとはいえません。一方、身に覚えのないログインや、普段と異なる取引があれば、事案との関係が未確定でも速やかな対応が必要です。

1. 正規アプリ・公式サイトからアクセスする。「情報漏えいの補償」「本人確認が必要」などと急がせるメールやSMSのリンクは使わず、自分で公式サイトを開きます。
2. パスキーや多要素認証を利用する。楽天証券は公式案内でパスキー認証の設定を勧めています。利用できる認証方式や設定手順は、各社の公式ヘルプで確認します。
3. ログインと取引履歴を点検する。自分が出していない注文、見知らぬ送金・出金先、変更された登録メールアドレスなどがないか調べます。
4. パスワードの使い回しをやめる。既に別のサービスで同じパスワードを使っているなら、個別の強いパスワードに変更します。偽サイトに入力した場合は、同じ認証情報を使うサービスにも対処します。
5. 不審な連絡の記録を残す。メールやSMSのスクリーンショット、受信日時、URL、電話番号を記録し、リンク先で追加操作をしないようにします。

警察庁のフィッシング対策では、メール・SMSの送信者名は偽装され得るため、リンクに頼らず公式アプリやブックマークからアクセスする方法が示されています。IPAも個人情報漏えい時の対処法で、漏えいした情報の種類を確認し、状況に応じて対応することを推奨しています。

不審な操作をしてしまった場合は

偽サイトにIDやパスワードを入力した

正規のサービスに自分でアクセスし、可能ならすぐにパスワードを変更してください。使い回している他サービスの認証情報も見直します。登録情報が勝手に変わっていないかを確認し、不正操作が疑われる場合は証券会社の正式なサポート窓口へ連絡します。

口座に身に覚えのない取引がある

アカウントへのアクセス手段が残っている場合でも、取引履歴や画面の記録を保存し、速やかに証券会社へ連絡してください。ログインできない場合は、公式サイトのアカウント復旧・不正利用対応窓口を利用します。金銭被害や詐欺が疑われるときは、警察への相談も検討してください。

名前や連絡先が知られた可能性がある

メールアドレスや氏名を相手が知っていても、その連絡が本物である証拠にはなりません。銘柄名や購入金額に言及する連絡にも注意しましょう。今回の事案でどの情報が漏えいしたかは販売会社ごとの発表と調査結果によります。公表されていない項目まで漏えいしたと決めつけないことも大切です。

よくある質問

NTTデータを利用する企業や個人は全員影響を受けますか？

いいえ。今回確認した公式発表は、特定の委託先サービスと、そこに関係するデジタル特典付き社債の顧客情報を扱っています。NTTデータのすべての取引先や全サービスが対象であるという発表はありません。

楽天証券の口座が乗っ取られたということですか？

そのようには発表されていません。楽天証券は自社システムへの不正アクセスではないと明記し、2026年10月31日時点で今回に起因する不正取引を確認していないと説明しています。ただし、一般的なフィッシング対策や取引履歴の確認は引き続き重要です。

対象の社債を持っていたら、何をすべきですか？

購入先の証券会社の公式発表を確認し、個別連絡の有無と調査の更新を追ってください。パスワードや本人確認情報を求める不審な連絡には応じず、疑わしい場合は公式窓口から確認してください。

まとめ：発表の範囲を確認し、便乗詐欺を防ぐ

2026年10月31日時点で確認できるのは、NTTデータの委託先への不正アクセスを受けたSTdirectServicesの停止と、デジタル特典付き社債に関する一部顧客情報の漏えいの可能性です。証券会社そのものへの侵入や不正取引の発生と混同しないことが、正確な判断につながります。購入履歴と公式のお知らせを確認し、パスキーなどの認証設定を見直し、不審な連絡のリンクを開かないようにしましょう。原因や影響範囲は調査中のため、以後の公式な続報で情報を更新することが必要です。