NTTデータの委託先SaaSに不正アクセス｜社債特典サービスを停止、中小企業にとっての意味
NTTデータは2026年10月31日、社債を買った人に特典を届ける仕組み「STdirectServices」で使っている委託先のSaaSに第三者の不正アクセスがあり、サービスを停止したと公表しました。このサービスを使っていた楽天証券は、同じ日に、顧客情報が外部に持ち出された可能性があるのは延べ362件と公表しています。
⏱ 3行まとめ
- 事実：NTTデータが2026年10月31日、委託先のSaaSへの不正アクセスを受けて「STdirectServices」を停止。楽天証券は対象を延べ362件と公表（ログインID・パスワードは含まれないとの報告）
- 意味：自社が直接契約していない「委託先の、さらに先のサービス」でも、自社の顧客情報が漏れる可能性がある
- アクション：顧客情報を預けている外部サービスと、その先の委託先を一覧にし、事故のときの連絡ルートを確かめる
NTTデータの委託先SaaSへの不正アクセスの発表内容
NTTデータの委託先SaaSへの不正アクセスは、社債の特典付与に使うサービスの、さらに委託先が提供するSaaSで起きたものです。NTTデータと楽天証券がそれぞれ公表した内容は次のとおりです（出典：NTTデータ「STdirectServicesのサービス停止についてのお知らせ」、楽天証券「外部サービス提供元への不正アクセスによるお客様情報漏えいの可能性について」、いずれも2026年11月2日確認）。
| 項目 | 内容 |
|---|---|
| 公表 | 2026年10月31日（NTTデータ・楽天証券とも） |
| 対象のサービス | NTTデータの「STdirectServices」（社債購入者への特典付与を支援するサービス）。このサービスで使っている委託先のSaaSに、第三者による不正アクセスが発生 |
| NTTデータの対応 | サービスを停止。委託先で扱う個人情報が漏えいした可能性があり、委託先が調査中。現時点で特典付与の対象となる社債はなく、特典付与への影響はないとしている |
| 楽天証券の公表 | 発生は2026年10月30日。委託先が提供する「デジタル証券プラットフォーム」内の情報が外部に持ち出された可能性があると、NTTデータから報告を受けた。対象は3銘柄の社債を買った一部の顧客で延べ362件。楽天証券自身のシステムへの不正アクセスではないとしている |
| 含まれない情報 | 楽天証券のログインID・パスワードや取引に必要な情報は含まれないと報告を受けた（楽天証券）。本件による不正取引は確認されていない |
委託先の会社名、侵入の経路、漏えいの可能性がある情報の全体の件数は、11月2日時点では公表されていません。利用企業の一部も個別にお知らせを出していると報じられており、影響の範囲は今後の続報で変わる可能性があります。
NTTデータの委託先SaaSへの不正アクセスは中小企業にどう関係するか
NTTデータの委託先SaaSへの不正アクセスは、大企業どうしの話に見えますが、外部のサービスに顧客情報を預けている会社全般にとって参考になる出来事です。ここからは、公表内容をもとにしたAI導入参謀の解釈です。
今回の流れを並べると、社債を発行した会社と証券会社 → NTTデータのサービス → その委託先のSaaS、という3段階になっています。顧客から見ると「証券会社に預けた情報」ですが、実際に不正アクセスを受けたのは、証券会社が直接契約していない先のサービスでした。
自社
顧客の情報を預ける
契約先のサービス
予約・決済・顧客管理など
その先の委託先
自社からは見えにくい
中小企業でも、予約システム、ネットの受付フォーム、顧客管理、メール配信、ポイントやキャンペーンの運営代行など、顧客の名前や連絡先を外部のサービスに預ける場面は増えています。生成AIを業務に取り入れる中で、外部のAIサービスに顧客の情報を渡す機会も増えやすくなっています。こうしたサービスの多くは、裏側でさらに別の会社のクラウドや仕組みを使っており、事故が起きると「自社は何もしていないのに、顧客へのお詫びと説明が必要になる」ことがあります。
もう一つは、事故が起きたあとの連絡です。今回、楽天証券はNTTデータからの報告を受けて、発生の翌日に顧客向けのお知らせを出しています。自社が契約しているサービス会社から「漏えいの可能性」の連絡が来たとき、誰が受けて、顧客にどう知らせるかが決まっていないと、対応が遅れやすくなります。
公表した会社を責めるより、自社の預け先を見直す材料に
委託先や、その先の委託先での事故は、どの会社にも起こりうるものです。早めにサービスを止めて、対象の範囲と含まれない情報を公表するのは、被害を広げないための対応の一つです。自社にとっては「どこに何を預けているか」を確かめるきっかけになります。
NTTデータの委託先SaaSへの不正アクセスを受けて今やるべきこと
今やることは、顧客情報を預けている外部サービスを一覧にし、事故の連絡を受けたときの流れを決めておくことです。
- 予約・受付フォーム・顧客管理・メール配信・キャンペーン運営など、顧客の名前や連絡先を預けている外部サービスを書き出す（担当者・契約窓口・預けている情報の種類）
- 主なサービスについて、利用規約やセキュリティの説明ページで、再委託（さらに別の会社に任せること）があるか、事故のときに利用企業へどう連絡するかを確認する
- 使い終わったキャンペーンや古いサービスに、顧客の情報が残ったままになっていないかを確認し、不要なものは削除や解約を検討する
- サービス会社から「漏えいの可能性」の連絡が来たときに、誰が受けて、誰が顧客へのお知らせを判断するかを決めておく
楽天証券は顧客に向けて、同社や関係会社を装った不審なメール・SMS・電話に注意するよう呼びかけています。社員が個人で対象の社債を買っている場合もあるため、社内で「心当たりのない連絡のリンクは開かない」とあらためて共有しておくのも一つの方法です。
自社で不正アクセスの疑いがあるときは、中小企業庁が設置した「サイバーセキュリティ特別相談窓口」（設置の速報）など、公的な相談窓口に無料で相談できます。何から手をつけるか迷う場合は、中小企業のセキュリティ対策ガイド｜まずやる5つと費用で、最初にやる対策を整理しています。監視や駆けつけを外部に任せたい場合は、セキュリティ対策の補助金で費用を軽くできる場合があります。補助金の対象・上限・締切は公募回で変わるため、最新は事務局の公式サイトで確認してください。公表された事例の一覧は不正アクセス・情報漏えいの公表事例台帳にまとめています。
出典
- NTTデータ「STdirectServicesのサービス停止についてのお知らせ」（2026年10月31日）
- 楽天証券「外部サービス提供元への不正アクセスによるお客様情報漏えいの可能性について」（2026年10月31日）
※本記事は2026年11月2日時点の公開情報にもとづきます。原因や影響の範囲は今後の続報で変わる可能性があります。最新は各社の公式ページで確認してください。