みずほ銀行、再々委託先で専用端末の記録媒体を紛失し情報流出の恐れ-最大約4.3万社に影響も|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年02月27日更新日時: 2026年02月27日

みずほ銀行は2026年2月26日、海外業務にかかるシステム開発等を委託している業務委託先（特定の再々委託先1社）において、当行業務に使用していた専用端末の記録媒体が紛失したと発表しました。無断持ち出しの可能性も含めて調査中で、現時点では発見に至っていないとしています。

当該専用端末は開発工程での動作確認等に用いる開発環境に接続可能で、テストの過程で海外拠点が保有する一部顧客情報を使用することがある端末でした。

1 概要
2 影響を受ける可能性がある情報
- 2.1 対象となり得る海外拠点
3 最大想定の対象人数・社数
4 原因
5 情シスが押さえるべき実務ポイント
6 まとめ

概要

発表によると、紛失判明後にアクセスログ等の調査を実施しているものの、記録媒体に情報が保存されていたか、保存されていた場合の具体的な内容は現時点で特定できていません。

一方で、保存されていた可能性があるデータは「項目名等が判別できない文字列データ」で構成され、内容の解読にはデータベース構造等の高度な専門知識と専用環境が必要であり、第三者が可読・視認することは極めて困難だと説明しています。また、現時点の調査では第三者による不正利用の事実は確認されていないとしています。

影響を受ける可能性がある情報

記録媒体に保存されていた可能性がある情報として、みずほ銀行は以下を挙げています。

海外拠点の顧客情報：氏名・法人名、住所、電話番号、口座番号、口座残高、送金等の取引情報
みずほ銀行の従業員情報：氏名等（退職者を含む）
重要な補足：当行が提供するサービスのIDやパスワードは含まれない

対象となり得る海外拠点

対象となり得る海外拠点は、

1か国/地域の18拠点（15支店・現地法人3社、うち現地法人1社は閉鎖済）として、香港、ソウル、シンガポール、バンコック、シドニー、マニラ、ムンバイ、ニューデリー、バンガロール、チェンナイ、アーメダバード、ギフトシティ、ハノイ、ホーチミン、ヤンゴン、中国現地法人、メキシコ現地法人、オーストラリア現地法人（閉鎖済）が挙げられています。

最大想定の対象人数・社数

みずほ銀行の発表では、最大想定として次の規模が示されています。

個人のお客さま：5,483名
法人のお客さま：43,054社
従業員：9,601名

なお「漏えいが確定した人数」ではなく、当該媒体に保存されていた可能性がある範囲としての最大想定である点は注意が必要です。

原因

現時点の説明では、原因は「紛失」とされ、無断持ち出しの可能性も含めて調査中です。侵入やマルウェア感染といった“外部攻撃”の断定はされておらず、まずは委託先における媒体管理・持ち出し統制の問題として捉えるのが適切です。

加えて本件は、委託先のさらに下位である再々委託先で発生しています。金融機関のシステム開発では多重委託自体は珍しくありませんが、階層が深くなるほど統制が薄まりやすく、今回のように「末端での物理媒体・端末運用」が弱点になり得ます。

関連：2025年に発生した個人情報機密情報持ち出し事例と対策資料

情シスが押さえるべき実務ポイント

今回の発表は銀行の事故ですが、一般企業にもそのまま当てはまる論点が多いです。特に重要なのは次の4点です。

再委託・再々委託を前提にした統制設計

契約で「守れ」と書くだけでは不十分です。現場運用で崩れるのは、端末・媒体・アカウント・ログのような“地味な部分”です。
再々委託があり得る業務では、少なくとも以下を契約と監査で実装しておくべきです。

端末・記録媒体の持ち出し禁止または例外申請（理由、期間、返却確認）
端末のフルディスク暗号化、記録媒体の暗号化と鍵管理
媒体利用の棚卸し（いつ・誰が・何の媒体を使うか）と廃棄証跡
監査ログの保全と、インシデント時の提出義務

開発・テストデータの最小化

発表では「テストの過程で海外拠点の顧客情報を使用することがある」とされています。金融に限らず、開発・テスト環境で本番相当データが使われると、事故時の影響範囲が一気に広がります。
実務上は、匿名化・仮名化・トークナイズ、あるいは合成データへの置換を進め、どうしても実データが必要なら、期間・範囲・端末を厳格に限定する設計が必要です。

「読めないデータ」でも事故として扱う

「項目名等が判別できない文字列で、解読が困難」という説明は、リスク評価の一要素にはなりますが、事故の重みが消えるわけではありません。
攻撃者が環境情報やDB構造を別経路で入手できる可能性、内部者が関与する可能性、媒体が長期間所在不明であること自体のリスクを踏まえ、**漏えい“可能性”段階での初動（証跡保全・関係者調査・アクセス監査）**が重要になります。