TL;DR
- 01何が起きたか
阿波銀行（徳島市）は 2026 年 4 月 3 日、行内の情報共有システム（OA システム）のテスト環境が不正アクセスを受け、顧客・株主情報のべ 2 万 7,745 件が漏えいしたと公表した。3 月 24 日に外部のセキュリティ会社から連絡を受けて分かった。6 月 3 日の続報では、何者かが ID・パスワードなどを不正に使って外から入ったことが直接の原因だとし、自行の管理の不備も認めた。
- 02なぜ見分けられないか
その環境は、開発・テストの目的を終えた後も廃止されず、AI を活用したシステムの高度化作業などに使われ続けていた。消すはずの顧客データも残っていた。取引を扱う環境とは切り離されていたが、ID とパスワードがあれば外から入れた。
- 03欠けていた層
漏えいに気づいたのは同行ではなく外部のセキュリティ会社で、気づいたのは漏えいの後だった。効かなかったのは、環境の用途が変わったときに、残っている顧客データと外からの入口を確かめ直す層である。
何が起きたか
- 当事者
- 阿波銀行（徳島市）。
- 入られた環境
- OA システム（行内の情報共有を行うシステム）の開発・テストのために設けたテスト環境。顧客との取引を扱う環境とは切り離されていた。
- 漏えい
- のべ 27,745 件。2024 年 10 月時点の法人インターネットバンキング契約先 10,872 件（氏名・会社名、登録メールアドレス）。2021 年 3 月 31 日時点の株主 11,122 件（氏名・会社名、住所、株主番号、保有株式数。うち 5,271 件は配当金の受取口座番号を含む）。その他の顧客・関係先 5,751 件（主に 2021 年 4 月時点の氏名・会社名。うち 127 件は住所と預金・貸出金などの取引情報を含む）。暗証番号・パスワードは含まない。
- 原因
- 何者かが ID・パスワードなどを不正に使い、外からテスト環境に入った。ID・パスワードがどう渡ったか、いつ入られたかは公表されていない。
- 同行が認めた不備
- (1) 目的を終えた時点で廃止すべき環境を、AI 活用のシステム高度化作業などに使い続けた。(2) 開発の完了後に消すべき顧客データを消していなかった。(3) 不正なアクセスを防ぐ仕組みが十分に機能していなかった。
- 発覚
- 外部のセキュリティ会社からの連絡。
- 二次被害
- 6 月 3 日の時点で確認されていない。
用語メモ
テスト環境 — システムの開発や試験のために、本番とは別に用意する環境。試験のために本番のデータを写して使うことがある。
OA システム — 行内の情報共有を行うシステム。今回は、その開発・テスト用の環境が入られた。
止めどころは ②。用途が変わった時点で、残っている顧客データと外からの入口を確かめ直していれば、データを消し、入口を閉じる機会があった。
取引の環境とは切り離す。
顧客データは消されないまま。
時期と入手経路は非公表。
2026-03-24。
時系列 — 公表と対応
- 外部のセキュリティ会社から、同行の情報が漏えいしている可能性があると連絡を受ける。
- 夜、漏えいした情報が同行のものと確認し、環境へのアクセスを遮断。
- 第一報。のべ 27,745 件の漏えいを公表。監督官庁などへの報告と、警察への相談も行ったとした。
- 続報。直接の原因と 3 点の管理の不備、再発防止策、役員の処分を公表。
事実は阿波銀行の第一報と続報（一次）に拠る。侵入の時期と、ID・パスワードの入手経路は公表されていない。同行は警察などと連携して調査を続けており、2026 年 10 月の時点で 3 本目の公表は無い。
公表後の対応
- 阿波銀行: テスト環境は警察の捜査が終わり次第廃止し、行内の全ての情報システムを見直すとした。
- 処分: 頭取と専務が報酬月額の 30%（1 か月）を自主返納し、常務を同じく減額した。関係した職員も行内規程に基づいて処分した。
なぜ止まらなかったか
この事案の失敗は、侵入の手口の高度さではない。目的を終えたテスト環境が別の用途で使われ続け、消すはずの顧客データを抱えたまま、ID とパスワードがあれば外から入れる状態にあった。
目的を終えたテスト環境が別の用途で使われ続け、消すはずの顧客データを抱えたまま、ID とパスワードがあれば外から入れる状態にあった。
証明は環境の用途が変わる時点で働き、検出は漏えいが表に出た後に働く。その間、環境は「テスト環境」の名前のまま、顧客データと外からの入口を持ち続ける。
入口は開いたまま
検出は働いたが、気づいたのは同行ではなく外部のセキュリティ会社で、漏えいの後だった。「テスト環境である」と「顧客データを持たず、外からの入口も閉じている」は別々の事実なのに、環境の名前が変わらないまま、後者が確かめ直されなかった。この隔たりが検出と証明の落差であり、構造的な欠落である。
同じ構造は、Sumsub（本人確認の中心の外にあるサポート環境に、利用者の連絡先が残っていた）にも現れている。
対策するには
環境の用途が変わったら、そこにあるデータと外からの入口を確かめ直す。開発やテストの環境には本番の顧客データを置かないのが原則で、置くなら消す日を決める。目的を終えた環境は廃止し、使い続けるなら新しい用途として、置いてよいデータと入れる人を一から決め直す。
注意したい業界・業務
- 業界金融・FinTech
- 銀行など、多くの顧客情報を持つ金融機関。業務の効率化や AI の活用のために、試しの環境を作る機会が増えている。
- 業務照会・参照
- 開発・テストや分析のために、顧客データを本番の外へ写して使う業務。写したデータは、本番より守りの薄い所に置かれやすい。
いまの対策で防げるか
| 対策 | 今回 | 理由 |
|---|---|---|
| ID・パスワードによるログイン | 効かない | 何者かが ID・パスワードなどを不正に使って入った。 |
| 取引の環境との切り離し | 一部 | 取引は守られたが、写した顧客データはテスト環境に残っていた。 |
| 開発の完了後にデータを消すこと | 効かない | 消すべきデータが、完了後も消されていなかった（同行）。 |
| 侵入の監視 | 一部 | 気づいたのは外部のセキュリティ会社で、漏えいの後だった。 |
- 環境ごとに、何のための環境で、どのデータを置いてよいかを決めて記録する。本番の顧客データを使うなら、消す日も決める。
- 用途が変わったら、データと入口を確かめ直すまで使わせない。目的を終えた環境は廃止する。別の作業に使うなら、新しい用途として権限とデータを決め直す。
- 何を確かめたかを残す。環境ごとの用途、置いたデータ、消した日、外から入れる人を、後から第三者に示せる形、つまり証明として残す。
開発・テスト・試行の環境について、組織で確かめる 3 項目
- 開発やテストの環境のうち、本番の顧客データを持つものを一覧で言えるか。
- 目的を終えた環境が廃止されたことを、誰が確かめているか。
- それらの環境に外から入れるのは誰で、ID・パスワードのほかに何で確かめているか。
注：用途とデータを確かめ直しても、決めた用途の中で使う ID・パスワードが盗まれれば、その範囲のデータは読まれうる。また、確かめ直す手間は、AI の試行のような素早い作業を遅くする。
Sources
- 一次・当事者の公表、第一報阿波銀行「不正アクセスによるお客さま情報等の漏えい発生について」
- 一次・当事者の公表、続報阿波銀行「不正アクセスによるお客さま情報等の漏えい発生について（続報）」