ニュージーランドの投資アプリの会社で、米国の提携証券会社に外部の者が入り、利用者の連絡先と資産額の情報に漏洩のおそれ

何が起きたか

この事故で流出した、または流出したおそれがある情報は、氏名、住所、電話番号、メールアドレス、収入の幅と資産の幅、現金残高、運用資産額。解約済みの利用者も含まれうる。パスワードは含まれない。件数は公表されていないです。その後の対応と影響は、利用者にメールで知らせ、警察と国家サイバーセキュリティセンター（NCSC）に報告した。パスワードの変更は不要と案内した。不正な取引は確認されていないと説明し、会社や投資に関する思いがけない連絡に注意するよう呼びかけた。同じ提携証券会社を使う豪州の投資アプリも前日に利用者へ知らせたです。

原因になったのは「米国の提携証券会社がソーシャルエンジニアリングで侵入された」です。公表された内容では、生成AIは事故に関わっていません。

なぜ起きたか

報道によると、提携証券会社は9月4日と5日にソーシャルエンジニアリングで侵入され、5日に封じ込めたと説明した。米国の規則で、提携証券会社は解約後も一定期間、記録を保管する必要があり、解約した利用者の情報も対象になりうる。

原因の種類は「委託先での事故」です。業務を任せていた会社のシステムで起きた事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は40件あります。

事故が起きてから公表されるまで

1. 2026年9月4日〜5日米国の提携証券会社のシステムに外部の者が入る
2. 2026年9月5日提携証券会社が侵入を封じ込める
3. 2026年9月21日同じ提携先を使う豪州の投資アプリが利用者へ知らせる
4. 2026年9月22日ニュージーランドの投資アプリの会社が利用者へメールで知らせる

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）

利用者の情報を預ける海外の提携先について、なりすましへの対策と事故の連絡の手順を契約で確かめ、渡す情報を必要な項目に絞っていれば、見られる情報を減らせた可能性がある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

1. 利用者の情報を渡している海外の提携先と、渡している項目を一覧にする
2. 提携先が解約後も情報を保管する期間と、その法的な理由を確かめる
3. 提携先で事故が起きた時に、利用者へ知らせる文面と窓口を前もって用意する

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• Hatch investors warned personal data may be exposed in US cyber breach（1News）2026.09.22
• DriveWealth Security Incident Exposes Revolut, Stake and Hatch Customer Data（Finance Magnates）2026.09.24