サイバー攻撃によるサーバーへの不正アクセスを表現したイメージ画像。金融庁は2026年10月9日、金融機関等に対し、外部委託先の管理を含むサイバーセキュリティ対策の再点検を要請した。本人確認書類の画像情報などが漏えいする事案を踏まえ、ICチップ情報の読み取りによる本人確認への早期対応も求めている。（画像はイメージ）
今回のニュースのポイント
金融庁は2026年10月9日、顧客向けサービスや業務システムに対するサイバー攻撃が相次いでいることを受け、各金融機関に対してセキュリティ対策の再点検と非対面取引における本人確認の厳格化を求める注意喚起を公表しました。近年、本人確認書類の画像を含む個人情報の漏えい事案が発生しており、流出した画像が他の金融サービスの不正申込などに悪用されるリスクが懸念されています。第一生命保険や損保ジャパンの外部委託先で不正アクセスによる情報漏えいの可能性が相次ぎ発表される中、金融庁はサードパーティリスク管理の徹底に加え、2027年4月に予定される非対面本人確認でのICチップ読み取り方式への一本化に先立ち、可及的速やかな対応を図るよう要請しています。
本文
金融庁は10月9日、インターネット上で展開される顧客向けサービスや内部業務システムへの不正アクセスが相次いでいる現状を踏まえ、全国の金融機関等に対してサイバーセキュリティ対策の強化を要請する注意喚起を発出しました。昨今、オンライン上で完結する金融サービスが増加する一方で、運転免許証などの本人確認書類の画像情報を含む顧客情報がサイバーインシデントにより漏えいする事案が発生しています。金融庁は、流出した本人確認書類の画像が第三者に悪用され、不正な口座開設や各種取引の不当な申し込みに利用されることで金融サービスへの信頼が損なわれる事態を警戒しており、各金融機関等に対し、経営陣のリーダーシップのもとでサイバーセキュリティ対策を点検し、不十分な点があれば速やかに必要な措置を講じるよう求めています。
今回の注意喚起において金融庁は、サードパーティリスク管理やインシデントが発生した場合の対応態勢を含めたサイバーセキュリティ対策の再点検と、不備が認められた場合の速やかな措置を指示しました。また、非対面で顧客等の本人確認を行う取引に関しては、本人確認書類の画像や顧客本人の容貌写真に不自然な点がないか改めて確認を徹底するよう求めています。金融庁によると、犯罪収益移転防止法施行規則の改正に伴い、2027年4月1日からは非対面の本人確認において本人確認書類の画像送信を受ける方法が廃止され、不正対策として効果の高いICチップ情報の読み取りに原則一本化されます。金融庁は今回の通知を通じ、制度の施行日を待つことなく、可及的速やかにICチップ方式への対応を図るよう金融機関等に強く要請しました。
金融業界では、今回の金融庁の注意喚起に先立ち、保険大手などが不正アクセスの被害を相次いで公表しています。大手生保の第一生命保険および第一ライフグループは10月2日、両社が利用する従業員向け人事システムが第三者による不正アクセスを受けたと発表しました。9月24日に異常を検知したもので、グループの従業員および退職者計約12万人の氏名、住所、電話番号、所属などの個人情報が外部へ流出した可能性が示されています。ただし、両社の10月2日付発表によると、顧客情報への不正アクセスは確認されておらず、退職者に関する本件に起因する二次被害も確認されていません。
また、損害保険ジャパンも10月7日、事業者向けドライブレコーダーサービス「SMILING ROAD」の問合せ対応で利用している外部委託先システムのサーバーが不正アクセスを受け、顧客情報が漏えいした可能性を公表しました。侵入を受けたのは委託先であるスカラコミュニケーションズのサーバーであり、損保ジャパン自身のシステムへの侵入は確認されていません。漏えいした可能性のある情報は問合せ単位の延べ約6万件で、氏名、住所、電話番号、勤務先情報、問合せ内容などが含まれます。金融機関の口座情報、クレジットカード情報、マイナンバーカード情報は含まれず、公表時点で情報の不正利用も確認されていません。
損保ジャパンの委託先であるスカラコミュニケーションズの公式発表によると、攻撃を受けたのは同社が提供するFAQシステム「i-ask」のサーバーです。10月2日夜から3日朝にかけて管理サイトへの不正ログインや不審なプログラムの設置が確認され、同社は直ちに接続遮断などの緊急措置を実施しました。同システムを利用する複数の企業に及ぶ影響として、問合せ情報が最大で71万3,126件流出した可能性があると公表されています。単一の外部システムが攻撃を受けることで、そこに業務を依存する複数の企業の顧客データに波及的なリスクが及ぶ構造が顕著となっています。
サイバーセキュリティ専門機関であるJPCERT/CCも10月8日、Webシステム全般に対する不正アクセスに関する注意喚起を行い、既知の脆弱性を突いた攻撃や、管理用APIへの不正操作、サーバー上にWebシェルと呼ばれる悪意あるプログラムを設置されて内部侵入を許す手口などを警告しています。同機関は報告されている攻撃手法や影響について情報を整理しつつも、すべての事案が同一の攻撃者や特定の手法によるものと限定できるわけではないとして慎重な対応を呼びかけています。金融機関においては自社サーバーの防御にとどまらず、サービス基盤を支えるサプライチェーン全体のセキュリティレベルを底上げすることが急務となっています。
金融庁が今回行った要請は、単に個別のネットワーク防御を高めることにとどまらず、万一情報が漏えいした場合であっても、それが別の不当な金融取引に悪用されないための「入口対策」としての本人確認厳格化を強く促している点が特徴的です。本人確認書類の画像偽造技術が高度化する中、目視や画像チェックだけに頼る従来の防犯体制から、ICチップの真偽検証など高度な技術的裏付けを伴う確認手段への切り替えが、金融インフラ全体の信頼維持において不可欠となりつつあります。
金融サービスのデジタル化と利便性向上に伴い、オンライン上の取引チャネルは拡大を続けていますが、それに比例して攻撃者側の標的となる表面積も広がっています。金融機関各社には、サードパーティを含めた包括的なセキュリティ態勢の再点検を進めると同時に、犯罪収益移転防止法改正を見据えたICチップ読み取り等の厳格な本人確認技術の早期導入に向け、システム改修や運用の見直しを加速させることが求められています。（編集担当：エコノミックニュース編集部／Editorial Desk: Economic News Japan）
