> JapanHacked_
[収束][深刻度：大][設定不備]

SMBC信託銀行・SMBC日興証券：口座開設のクラウドシステムの権限設定の誤りで、両社合わせて最大11万8,764人分の情報が外部から見られる状態に

口座開設の申込み情報を外部から見られる状態で、2社で計151人分が実際に閲覧されたが、閲覧された人は特定できなかった。

公表日

2021-03-08

関連組織数

2

漏洩件数（恐れを含む）

11.9万

118,764

停止期間

不明

何が起きたか

  1. SMBC信託銀行のシステムで、外部の第三者が情報を見た。 [1]

  2. SMBC信託銀行のシステムで、外部の第三者が再び情報を見た。 [1]

  3. SMBC日興証券のシステムで、外部の第三者が情報を見た。 [2]

  4. SMBC信託銀行が、深夜に外部のセキュリティ専門家から設定の不備の可能性を知らされた。翌日に調べると、不備があると分かった。 [5]

  5. SMBC日興証券が不備を見つけ、すぐにアクセス権の設定を変えた。 [2] [4]

  6. SMBC信託銀行が設定を変え、第三者がアクセスできない状態にした。 [1] [4]

  7. 2社が公表した。 [1] [2] [3]

影響

両社とも、ウェブサイトから口座開設を申し込んだ人が入力した情報を、Salesforceのクラウドサービスに預けていた。2020年12月の金融庁の注意喚起を受けて点検したときは権限を適切と確認したが、2021年2月に外部の専門家に指摘されて見直すと、2020年7月に製品が更新される前に手続きをした人の情報が、外部から見られる状態だったと分かった。 [3] [4]

項目
SMBC信託銀行
SMBC日興証券
見られる状態だった人数
3万7,176人
延べ8万1,588人
実際に閲覧された人数
最大101人（2回）
最大50人（1回）
閲覧された情報
氏名、性別、生年月日、電話番号、メールアドレス、住所、勤務先、暗号化されたデビット用暗証番号
氏名、メールアドレス
[1] [2]

どちらも、アクセスログの解析上の技術的な問題で、閲覧された人を特定できなかった。SMBC信託銀行は、2017年7月24日から2018年1月31日の分はログの保存期間が過ぎていて調べられなかった。両社とも、被害の申し出や情報の悪用は確認されていないとした。 [1] [2] [6]

経緯

  1. 検知 2021-02-08
  2. 公表 2021-03-08
  3. 28日

攻撃・原因の概要

攻撃手法
[設定不備]
被害の種類
[情報漏洩]
侵入経路
不明・調査中

漏洩した（恐れのある）情報

[氏名][性別][生年月日][電話番号][メールアドレス][住所][勤務先・職歴][ID・パスワード]

関連組織

組織検索で表示

出典

  1. [1][公式発表]クラウド型口座開設システムへの第三者のアクセスについてSMBC信託銀行 · 2021-03-08
  2. [2][公式発表]クラウド型口座開設システムへの第三者のアクセスについてSMBC日興証券 · 2021-03-08
  3. [3][報道]三井住友FG傘下2社が顧客情報流出、システム設定不備で日本経済新聞 · 2021-03-08
  4. [4][報道]SMBC信託銀行と日興証券で不正アクセス、セールスフォース製品設定不備で日経クロステック · 2021-03-08
  5. [5][報道]SMBCグループ2社、クラウド設定不備で顧客情報に外部アクセス - バグで対象者特定できずSecurity NEXT · 2021-03-11
  6. [6][報道]クラウド型口座開設サービスの設定不備、第三者から不正アクセスScanNetSecurity · 2021-03-11 08:05