【2026年最新】岩井コスモ証券で約5,000人の個人情報流出、勝手に株取引も成立――委託先へのサイバー攻撃が示す「取引先リスク」の怖さ

30秒でわかる概要

2026年10月20日、岩井コスモ証券は、外部委託先へのサイバー攻撃に関連して、顧客4,975人分の個人情報が流出し、7口座で本人の意図しない売買注文が発注されたと発表しました。うち5口座では実際に取引が成立しています。

今回の事件から、企業経営者が認識すべきポイントは次の4つです。

• 委託先のリスクが自社のリスクになる： 自社が直接攻撃されなくても、外部委託先のシステムを経由して顧客情報や業務に被害が及ぶ可能性があります。
• 大手企業との取引でも安全とは限らない： 取引先の知名度や実績だけでは、情報管理体制の安全性を判断できません。
• 損害は情報漏えいだけではない： 今回は顧客の意図しない売買注文まで発生しました。情報流出と不正注文は別の被害として確認されています。
• 取引開始前と契約後の調査が重要： 取引先の企業実態、経営状況、過去のトラブル、情報管理体制などを継続的に確認する必要があります。

自社の情報セキュリティを強化するだけでは、企業を守りきれない時代です。取引先や委託先の実態をどこまで把握しているかが、経営リスクを左右します。

1. 岩井コスモ証券で何が起きたのか？ 約5,000人の情報流出と不正売買

2026年10月20日、読売新聞は、岩井コスモ証券の売買管理システムがサイバー攻撃を受け、顧客の意図しない売買注文が実際に成立していたと報じました。

事件の発端は、同社がインターネット取引システムの運用・保守を委託していた株式会社トレードワークスへの不正アクセスです。

10月14日に不正アクセスが検知され、16日には顧客4,611人分の個人情報流出が公表されました。その後の調査で新たに364人分の流出が判明し、被害対象は合計4,975人に拡大しています。

流出した情報には、氏名やメールアドレスなどが含まれていました。

さらに深刻なのは、個人情報の流出だけでは終わらなかった点です。

同社の10月20日の発表によると、売買管理システムも攻撃を受け、7口座で顧客本人が意図していない売買注文が発注されていました。そのうち5口座では、実際に売買が成立する「約定」に至っています。

対象となった取引はすでに取引前の状態に戻され、顧客に金銭的な負担は生じていないと説明されています。

なお、同社は不正売買について、流出した個人情報が利用されたものではないと明らかにしています。

今回の事件は、情報流出と売買管理システムへの攻撃という二つの被害が確認された事例です。

企業経営の観点で特に注目したいのは、自社が顧客に提供する重要なサービスの安全性が、外部委託先のシステム管理にも依存していたという構造です。

参照：読売新聞（2026年10月20日）、岩井コスモ証券「外部委託先への不正アクセスに伴うお客様情報の漏洩について（第2報）」

https://www.iwaicosmo.co.jp/info/2026/10201710.html

2. 攻撃の原因は委託先システムの管理機能にあった

今回、不正アクセスを受けたトレードワークスは、金融機関向けの取引システムなどを手がける企業です。

同社の説明によると、システムの一部管理機能に設定上の不備があり、第三者に悪用されたことが不正アクセスの原因とされています。

通常のログイン経路には多要素認証などの対策が設けられていましたが、管理機能側の設定不備が攻撃の入り口となりました。

この事実は、企業のセキュリティ対策を考えるうえで重要な示唆を与えています。

いくら自社で厳格な情報管理を実施していても、業務を委託する企業のシステムに脆弱性があれば、そこから重大な被害につながる可能性があるためです。

岩井コスモ証券は、不正アクセスの原因となった箇所の修正を完了し、委託先と連携してアクセス制限や監視体制の強化を進めたと発表しています。

しかし、経営者が考えるべき問題は、被害が発生した後の対応だけではありません。

そもそも、委託先の管理体制について、契約前や契約継続中にどのような確認を行うべきだったのでしょうか。

今回の事件について、事前の調査や管理に具体的な不備があったと断定できる情報はありません。それでも、外部委託先の安全性を評価することの重要性を示す事例といえるでしょう。

3. なぜ取引先の問題が自社の経営リスクになるのか

企業は日々、さまざまな業務を外部に委託しています。

システム開発、サーバー管理、顧客情報の管理、給与計算、コールセンター、物流、決済処理など、その範囲は多岐にわたります。

業務の外部委託は、専門性の確保やコスト削減、業務効率化に役立ちます。一方で、委託先の管理体制に依存する部分が増えるという側面もあります。

特に、顧客情報や機密情報を扱う委託先で問題が発生した場合、影響は委託先だけにとどまりません。

顧客から見れば、サービスを提供しているのは契約先の企業です。

「システムを管理していたのは外部の会社だった」という説明だけで、顧客の不安が解消されるとは限らないでしょう。

今回も、顧客情報の流出や意図しない売買注文について説明し、対応する立場にあったのは岩井コスモ証券でした。

同社は対象顧客への連絡や取引の復旧、再発防止策の実施などを進めています。

こうした対応には、調査費用やシステム改修費用だけでなく、顧客対応、社内業務の負担、企業の信用への影響など、さまざまな経営上のコストが伴う可能性があります。

つまり、取引先の問題は、取引先だけの問題では終わらないということです。

4. 取引先の「信用」と「安全性」は同じではない

取引先を選定する際、多くの企業が重視するのは、企業規模、知名度、取引実績、財務状況、価格、技術力などです。

もちろん、これらは重要な判断材料です。

しかし、財務状況が良好で、豊富な実績を持つ企業であっても、情報管理体制に問題を抱えている可能性はあります。

また、システム上の脆弱性だけでなく、経営者や役員の不祥事、内部不正、法令違反、反社会的勢力との関係など、企業にはさまざまなリスクが存在します。

取引先の信用を評価するには、財務情報だけでなく、企業の実態やコンプライアンス状況を含めた多角的な確認が必要です。

例えば、過去に重大な情報漏えいを起こした企業が、十分な再発防止策を講じないまま事業を継続していた場合、その事実は取引判断に影響するでしょう。

経営者が過去に不正行為に関与していた場合も、確認すべき事項となり得ます。

一方、過去のトラブルがあるからといって、必ずしも取引を避けるべきとは限りません。問題の内容や発生時期、その後の改善状況を客観的に評価することが重要です。

取引先調査の目的は、問題のある企業を機械的に排除することではなく、取引に伴うリスクを把握し、適切な経営判断を行うことにあります。

5. 新規取引時だけの調査では不十分

取引先のリスクは、契約時点で固定されるものではありません。

企業の経営状況や役員構成、事業内容、情報管理体制は、時間の経過とともに変化します。

契約時には問題が見当たらなかった企業でも、その後に経営悪化や不祥事が発生する可能性があります。

今回のようなサイバー攻撃についても、過去に問題がなかったことだけで、将来の安全性を保証することはできません。

そのため、企業には新規取引時の審査に加え、既存取引先の定期的な見直しが求められます。

特に重要なのは、次のような企業です。

• 顧客の個人情報や機密情報を預けている委託先
• 自社の基幹システムや業務インフラを支える企業
• 取引金額が大きく、代替先の確保が難しい企業
• 重要な経営情報を共有する業務提携先
• 経営者や株主、事業内容に大きな変更があった企業

こうした取引先については、企業信用調査やコンプライアンス調査に加え、必要に応じて情報セキュリティ監査、管理体制の確認、契約上の安全管理措置の見直しなどを組み合わせることが効果的です。

また、公開情報や報道だけでは確認できない事項については、相手企業への質問や資料提出の依頼、専門家による評価なども検討する必要があります。

企業信用調査だけですべてのサイバー攻撃を予測したり、技術的な脆弱性を発見したりできるわけではありません。

だからこそ、複数の調査・管理手法を組み合わせた継続的なリスク管理が重要になります。

6. 問題が起きてから調べるのでは遅い

企業が取引先の調査を検討するきっかけは、問題が表面化してからというケースも少なくありません。

支払いの遅延、不審な取引、突然の経営者交代、重大な不祥事報道などが発生し、初めて相手企業の実態を詳しく調べるという流れです。

しかし、問題が発覚した段階では、すでに多額の売掛金が発生していたり、重要な情報を共有していたりする可能性があります。

取引関係が深くなるほど、契約解除や代替先への切り替えも難しくなります。

そのため、リスク調査は問題が発生してから行うだけでなく、取引開始前や契約更新時など、経営判断の重要なタイミングで実施することが望ましいでしょう。

調査結果を基に取引条件を見直したり、追加の安全管理措置を求めたりすることで、リスクの軽減につなげられます。

7. 企業防衛リスクサービスの「企業信用・取引先リスク調査」

今回の岩井コスモ証券の事件は、外部委託先の問題が、委託元企業の顧客情報や重要業務にまで影響を及ぼし得ることを示しました。

企業経営者に求められるのは、自社の管理体制を整えるだけでなく、取引先や委託先についても客観的な情報に基づいてリスクを把握することです。

企業防衛リスクサービス株式会社では、取引先の信用状況や企業実態、経営者・関係者に関する情報などを確認する「企業信用・取引先リスク調査」を提供しています。

新規取引先の選定、既存取引先の見直し、重要な業務委託や企業間提携など、さまざまな経営判断におけるリスクの把握を支援します。

財務情報や表面的な企業概要だけでは見えない問題についても、調査目的に応じた確認を行うことで、取引先をより多角的に評価できます。

なお、システムの脆弱性診断やサイバー攻撃への技術的な対策は、専門的なセキュリティ評価と組み合わせることが必要です。

企業を守るために重要なのは、問題が起きた後の対応だけではありません。

「この会社と取引して本当に大丈夫か」を、契約前から継続的に確認すること。

取引先への信頼を、経験や印象だけに頼らず、客観的な調査によって裏付ける姿勢が求められています。

企業の信用や事業継続を守るためにも、取引先の実態調査を経営管理の一環として取り入れてみてはいかがでしょうか。

企業防衛リスクサービス株式会社｜企業信用・取引先リスク調査について

参照元

1. 読売新聞オンライン（2026年10月20日）

「サイバー攻撃受け意図しない売買注文『成立』、岩井コスモ証券…５０００人弱の個人情報が流出」

https://www.yomiuri.co.jp/national/20261020-GYT1T00455

2. 岩井コスモ証券（2026年10月20日）

「外部委託先への不正アクセスに伴うお客様情報の漏洩について（第2報）」

https://www.iwaicosmo.co.jp/info/2026/10201710.html

3. 岩井コスモ証券（2026年10月16日）

「外部委託先への不正アクセスに伴うお客様情報の漏洩について」

https://www.iwaicosmo.co.jp/news/2026/10161410.html

※事件の事実関係は2026年10月21日時点で確認できた公表内容に基づいています。