TL;DR
阿波銀行(徳島市)は2026年6月3日、4月に公表した不正アクセスによる顧客・株主情報のべ2万7,745件の漏えいについて、原因調査の結果を公表した。流出元は、行内の情報共有システムの開発・テスト用に構築され、目的完了後も廃止されずAIを活用したシステム高度化作業などに使われ続けていた環境だった。発覚は同行自身の検出網ではなく、外部のセキュリティ事業者からの通報による。効かなかったのは、開発・テストという目的を終えた環境が、別の目的での利用に切り替わった時点で、その環境が引き続き顧客データを保持し外部アクセスを許容してよい状態かどうかを独立に確かめ直す層である。
何が起きたか
- 阿波銀行は2026年3月24日、外部のセキュリティ事業者から同行に関する情報漏えいの可能性について連絡を受けた。
- 翌25日夜、漏えいしていたデータが同行の関連情報であることを確認し、不正アクセス経路の遮断など被害拡大防止策を実施した。
- 流出元は、行内の情報共有システム(OAシステム)の開発・テストを目的として構築されたテスト環境だった。
- 2026年4月3日の第一報で、のべ27,745件の顧客・株主情報の漏えいを確認したと公表。内訳は、2024年10月時点の法人向けインターネットバンキング契約先情報10,872件(氏名または会社名、登録メールアドレス)、2021年3月31日時点の株主情報11,122件(氏名または会社名、住所、株主番号、保有株式数。うち5,271件は配当金受取預貯金口座番号を含む)、その他の顧客・関係先情報5,751件(主に2021年4月時点の氏名または会社名。うち127件は氏名または会社名・住所に加え、預金・貸出金等の取引情報を含む)。暗証番号・パスワードは含まれないとしている。
- 2026年6月3日の続報で、原因調査の結果を公表。直接の原因は「何者かがID・パスワード等を不正に利用し、外部からテスト環境にアクセスしたこと」とした上で、自社の管理態勢にも問題があったと認めた。
漏えいに至った経緯は、次の連鎖として説明されている。
- 行内の情報共有システム(OAシステム)の開発・テストを目的として、テスト環境が構築される。
- 開発・テストの目的が完了した後も環境は廃止されず、AIを活用したシステムの高度化作業などに転用され続けた。
- 環境内に保管されていた顧客データは、開発完了後に消去すべきだったが、消去されないまま残っていた。
- 環境における不正アクセスを防ぐ仕組みが十分に機能しないまま、何者かがID・パスワード等を不正に利用して外部からアクセスした。
- 阿波銀行自身はこの状態を検知できず、2026年3月24日の外部セキュリティ事業者からの通報で発覚した。
時系列 — 公表と対応
- 2021-03-31: 漏えいが確認された株主情報の基準日。
- 2024-10: 漏えいが確認された法人向けインターネットバンキング契約先情報の基準日。
- (時期不明): 何者かがID・パスワード等を不正に利用し、外部からテスト環境にアクセス。侵入自体の日時、および ID・パスワードがどのように入手されたかは、本稿執筆時点で公表されていない。
- 2026-03-24: 外部のセキュリティ事業者から阿波銀行に、情報漏えいの可能性について連絡。
- 2026-03-25: 漏えいデータが同行の関連情報であることを確認。不正アクセス経路の遮断等、被害拡大防止策を実施。
- 2026-04-03: 第一報公表。のべ27,745件の顧客・株主情報の漏えいを確認したと発表。
- 2026-06-03: 続報公表。原因調査の結果(後述の3点の管理態勢不備)と役員処分を公表。
本 Brief の数値は、阿波銀行自身が公表した第一報(2026-04-03)・続報(2026-06-03)の2本を一次とする。侵入が実際にいつ発生したか、ID・パスワードがどの経路で第三者の手に渡ったかは、続報でも明らかにされていない。「何者か」の身元・侵入時期はいずれも未特定・非公表であり、本稿はこれを事実として扱わず、公表された範囲(発覚経緯・漏えい件数・原因の3点・処分内容)に限定する。
公表後の対応は次のとおり。
- 福永丈久頭取と山下真弘専務がそれぞれ報酬月額の30%(1か月分)を自主返納。三河広明常務は報酬月額の30%を1か月減額。関係した職員も行内規定に基づき処分された。
- テスト環境は警察の捜査終了後に廃止する方針。行内の全情報システムを見直すとしている。
- 本稿執筆時点で、二次被害は確認されていない。
なぜ止まらなかったか
この事案の失敗は、外部からの侵入手口が高度だったことでも、ID・パスワード管理の仕組み自体が特殊な欠陥を持っていたことでもない。開発・テストという目的を終えた環境が、AIを活用したシステム高度化という別の目的での利用に切り替わった時点で、その環境が引き続き顧客データを保持し外部からのアクセスを許容してよい状態にあるかどうかを、誰も独立に確かめ直さなかったことにある。
検出は効いていた。ただしそれは阿波銀行自身の検出網ではなく、外部のセキュリティ事業者からの通報だった。効かなかったのはその手前——環境の用途が変わるたびに、権限とデータの保持をその都度証明し直す層である。
「本件テスト環境は、システム開発やテスト等の目的が完了した時点で廃止するべきであったが、その後も、AI活用のシステム高度化作業等のために利用されていた。」「本件テスト環境に保管していたお客さまのデータ等については、システム開発等が完了した後、速やかに消去すべきであったが、完了後も消去できていなかった。」「本件テスト環境において、不正なアクセスを防止する仕組みが十分機能していなかった。」——同行が公表した3点の管理態勢不備より。
3つの不備は、実は1つの構造に還元できる。テスト環境という位置づけは、構築された時点では正しかった。だが目的が完了した後もその位置づけのまま使われ続け、しかも用途自体はAI活用のシステム高度化という別のものに変わっていた。位置づけと実態がずれても、それを検知して権限やデータ保持を洗い直す仕組みがなければ、ID・パスワードという「有効な鍵を持っていること」だけが、外部からのアクセスを許すかどうかの唯一の根拠になる。
同種の構図は、KYC 検証事業者が長期間放置していたデータベースが外部の研究者に発見されるまで気づかれなかった Brief 077 や、認証情報の失効が本来あるべき速度で行われなかった Brief 006 にも見られる。
証明があれば、何が変わるか
事前証明は、環境へのアクセスを認める根拠を「有効なID・パスワードを持っているから」ではなく、「その環境の現在の用途と保持データが、いま許可されている範囲と一致していると確かめられたから」に置き換える。開発・テスト環境が別目的に転用されること自体を止めるのではない。転用が起きても、それが証明されないまま外部アクセスを許す状態を放置しないようにする。
Lemma がこの落差に対して提示する設計は次の通りである。
- 用途の証明: 環境の用途(開発・テスト目的か、それとも本番相当データを扱う継続利用か)が、実際の使われ方の変化に応じて独立に確かめ直されるようにする。
- データ保持の証明: 環境内に保持されているデータが、その環境の現在の用途に照らして保持してよいものかどうかを、保持され続ける限り継続的に証明する。
- アクセスの来歴: 「有効なID・パスワードを持っていること」と「そのアクセスが今の用途に照らして正当であること」を分離し、行動の来歴として記録する。
担わないものも、あわせて書いておく。
- 不正アクセスを実行した経路そのものの技術的対策(パッチ適用やネットワーク遮断等)を代替しない。
- ID・パスワードがどのように第三者の手に渡ったかは証明できない。本稿執筆時点でこの経路自体が非公表である。
- 役員処分や監督官庁対応など、発生後のガバナンス上の是正措置を代替しない。
事後の管理態勢レビューとの違いはここにある。レビューは問題が発覚した後に行われるが、環境の用途がいつの間にか変わっていたことを、変わった時点で確かめる材料にはならない。
検出の層と、この層は代替ではなく補完の関係にある。前者は外部からの通報という形で漏えいを可視化し、後者は「用途が変わった環境は、変わった時点で権限とデータ保持を証明し直す」ことを、次の転用が起きる前に確かめられるようにする。
Sources
- 阿波銀行(一次・公式発表・第一報): 「不正アクセスによるお客さま情報等の漏えい発生について」(2026-04-03) — https://www.awabank.co.jp/kojin/news/2026/news20260403a/
- 阿波銀行(一次・公式発表・続報): 「不正アクセスによるお客さま情報等の漏えい発生について（続報）」(2026-06-03) — https://www.awabank.co.jp/kojin/news/2026/news20260603a/
数値・経緯は阿波銀行自身が公表した第一報・続報の2本に基づく。侵入の実際の日時、ID・パスワードが第三者の手に渡った経路については、本稿執筆時点で同行から公表されていない。