りそな・埼玉りそな・関西みらい、委託先不正アクセスで顧客情報漏えいの可能性
りそな銀行、埼玉りそな銀行、関西みらい銀行は2026年10月27日、メール配信を委託するユミルリンクへの不正アクセスにより、顧客のメールアドレスなどが外部に漏えいした可能性があると発表した。口座番号や暗証番号などの金融取引情報は含まれないとしている。
何が起きたか
りそな銀行、埼玉りそな銀行、関西みらい銀行の3行は、電子メール配信業務の外部委託先であるユミルリンクが第三者による不正アクセスを受け、3行が保有する顧客情報が外部に漏えいした可能性があると2026年10月27日に発表した。対象はユミルリンクが提供するメール配信サービス「Cuenote FC」のシステムで、持ち出された可能性があるのは顧客のメールアドレスと、メール配信用に割り振られた管理番号などの識別子とされる。3行によれば、これだけで個人を特定することはできず、口座番号や暗証番号、パスワードなどの金融取引に関する情報は含まれていない。現時点で不正利用は確認されていないという。
委託先からの報告が変わった経緯
3行が受けた委託先からの報告は次のように推移した。2026年10月19日にユミルリンクから、一部システムが不正アクセスを受け情報が外部に持ち出されたとの報告を受けた。21日には顧客情報は含まれていないとの報告があったが、その後の調査で26日、顧客情報が含まれるシステムからも情報が外部に持ち出された可能性が高いと判明した。持ち出された情報の件数や対象となる顧客の範囲は調査中で公表されていない。
利用者への注意喚起と問い合わせ窓口
3行は、銀行を装った不審なメールに記載されたリンクへのアクセスや個人情報の入力をしないよう注意を呼びかけている。3行が電子メールなどでパスワードや暗証番号を尋ねることはないため、それらの入力を促すメールは偽物と判断できるとされる。各行は本件専用の問い合わせ窓口を設けており、受付期間は2026年10月27日から11月20日まで、平日9時から17時まで（祝日を除く）とされている。
企業・産業への影響
今回の事案は3行のシステムが直接侵入されたものではなく、メール配信という間接業務の委託先が攻撃された点に特徴がある。金融機関では、パスワード管理や取引システムなど直接の金融情報の防御に加え、顧客接点としてのメール配信のような外部サービス経由の情報管理も問われる可能性がある。漏えいした可能性があるのがメールアドレス中心であっても、それを起点としたフィッシング詐欺が銀行ブランドの信用に影響し得る点は留意が必要だ。持ち出された件数や対象範囲が公表されていないため、影響の広がりは今後の調査結果に左右される。