りそな銀行、旧羽村支店の顧客情報約9,000人分を記録したコムフィッシュを紛失　誤廃棄の可能性

りそな銀行は2026年9月28日、旧協和埼玉銀行および旧あさひ銀行羽村支店で過去に口座を解約した顧客約9,000人分の情報を記録した「コムフィッシュ」の紛失が判明したと公表しました。

紛失したのは「預金口座解約索引簿」で、氏名、口座番号、解約金額、解約理由、最終取引日が記録されていました。対象は1992年7月から2001年3月までの間に、現在のりそな銀行福生支店にあたる対象店舗で口座を解約した顧客です。

りそな銀行は調査の結果、資料は誤って廃棄された可能性が高いと判断しています。不正に持ち出された形跡は確認されておらず、外部へ流出した可能性は「極めて低い」としています。

9月28日時点で、本件に起因するとみられる顧客情報の不正利用や不審な照会などの二次被害は確認されていません。

りそな銀行の顧客情報記録媒体紛失のサマリー

確認できている内容：

• りそな銀行は2026年9月28日、顧客情報を記録したコムフィッシュの紛失を公表しました。
• 紛失した資料は「預金口座解約索引簿」です。
• 対象店舗は旧協和埼玉銀行および旧あさひ銀行羽村支店で、現在のりそな銀行福生支店にあたります。
• 対象者は1992年7月から2001年3月までに対象店舗の口座を解約した顧客です。
• 対象者数は約9,000人です。
• 記録されていた情報は氏名、口座番号、解約金額、解約理由、最終取引日です。
• ID・パスワード情報は含まれていません。
• 記録媒体は薄いフィルム状のコムフィッシュで、肉眼では内容を確認できず、通常は専用機器が必要です。
• 調査の結果、誤って廃棄された可能性が高いと判断されています。
• 不正に持ち出された形跡は確認されていません。
• りそな銀行は外部流出の可能性を極めて低いとしています。
• 本件に起因するとみられる不正利用や不審な照会などの二次被害は確認されていません。

約9,000人分、1992年から2001年に口座を解約した顧客が対象

紛失した資料には、旧協和埼玉銀行および旧あさひ銀行羽村支店で口座を解約した顧客の情報が記録されていました。

対象期間は1992年7月から2001年3月までです。

公表時点の2026年から見ると、約25～34年前の取引に関する記録が対象になります。

記録されていた項目は、

• 氏名
• 口座番号
• 預金の解約金額
• 解約理由
• 最終取引日

です。

インターネットバンキングなどのID・パスワード情報は含まれていません。

また、リリースではクレジットカード情報や暗証番号が含まれるとの記載もありません。

コムフィッシュは肉眼で内容を確認できないフィルム状の記録媒体

今回紛失した「コムフィッシュ」について、りそな銀行は「薄く小さなフィルム状のシートに微細な文字を焼き付けた記録媒体」と説明しています。

肉眼では内容を確認できず、通常、閲覧には専用の機械が必要です。

紙の帳票をそのまま保管するより小さな媒体へ大量の記録を保存できるため、過去には金融機関を含む組織で長期保存用に利用されてきた形式です。

ただし、肉眼で読めないことと、情報が保護されていることは同じではありません。

専用機器などで読み取れる媒体であるため、所在管理、保管、廃棄まで含めた物理的な管理が必要です。

調査では「誤って廃棄された可能性が高い」と判断

りそな銀行は、紛失したコムフィッシュについて調査した結果、誤って廃棄された可能性が高いと判断しています。

一方、実際に廃棄されたことまで確認したとは記載していません。

公表内容を整理すると、

• コムフィッシュの所在が確認できない
• 調査では誤廃棄の可能性が高い
• 不正に持ち出された形跡はない
• 外部流出の可能性は極めて低いと判断

という状態です。

そのため、「廃棄済みで情報流出はない」と断定することはできません。

「紛失」が確認され、調査結果から誤廃棄の可能性が高いと銀行が判断している事案です。

不正利用や不審な照会などの二次被害は確認されず

9月28日時点で、りそな銀行は本件に起因するとみられる顧客情報の不正利用や不審な照会などの二次被害を確認していません。

今回の記録には口座番号や解約金額などが含まれているため、仮に第三者が内容を取得した場合には、本人しか知らない情報を把握しているように見せたなりすまし連絡などに使われる可能性は考えられます。

ただし、今回のコムフィッシュが第三者に渡った事実や、収録情報が不正利用された事実は確認されていません。

対象となる可能性がある顧客に不審な銀行照会や連絡があった場合は、連絡元をそのまま信用せず、りそな銀行の公式窓口から確認する方法があります。

サイバー攻撃ではなく物理媒体の管理に関するインシデント

今回の事案は、システムへの不正アクセスやランサムウェア、マルウェア感染などによるものではありません。

所在が確認できなくなったのは、過去の顧客情報を保存した物理的な記録媒体です。

情報漏えい対策ではサイバー攻撃に焦点が当たりやすい一方、企業内には、

• 紙文書
• マイクロフィルム
• 光学メディア
• 磁気テープ
• USBメモリ
• 外付けディスク
• バックアップ媒体

など、現行システムから外れた古い媒体が残っている場合があります。

こうした媒体は通常業務で利用されなくなると、現行IT資産ほど頻繁に棚卸しされず、長期間保管されることがあります。

25年以上前のデータも事故時には対象になる

今回対象となったデータは、1992年から2001年までに行われた口座解約に関する記録です。

現在利用中の顧客データだけを管理していても、過去システムから移行した媒体や法令・業務上の理由で長期保存している記録が残っていれば、紛失時の調査対象になります。

企業ではデータ管理を考える際、

「現在のシステムに何が入っているか」

だけではなく、

「過去のシステムや媒体に何が残っているか」

まで確認する必要があります。

特に組織再編、合併、支店統廃合、システム更改を繰り返している企業では、旧組織名や旧システム名のまま残る資料も管理対象です。

廃棄時は「誰が・何を・いつ処分したか」を追跡できる状態にする

りそな銀行は今回、資料が誤って廃棄された可能性が高いとしています。

機密情報を記録した媒体を廃棄する際は、廃棄そのものだけでなく、

• 対象媒体を特定する
• 承認者を定める
• 廃棄前に台帳と照合する
• 復元できない方法で処分する
• 廃棄日・担当者を記録する
• 委託廃棄では引き渡しと処理完了を確認する

といった手順が必要です。

適切に廃棄されていても記録が残っていなければ、後から所在が分からなくなった際に「廃棄済み」なのか「紛失」なのかを確認できません。

情報システム・情報管理部門への示唆

今回の事案はデジタルシステムへの侵害ではありませんが、企業の情報資産管理では同じ台帳・ライフサイクル管理の問題として扱えます。

確認したい項目は次のとおりです。

• 現行システム以外の旧媒体を含めて情報資産台帳へ登録しているか
• 合併・組織再編前の会社や部門が保有していた媒体を把握しているか
• 媒体ごとに保存期間と廃棄期限を設定しているか
• 保存期間を過ぎた情報を定期的に廃棄しているか
• 廃棄時に複数人で対象媒体と台帳を照合しているか
• 外部業者へ廃棄を委託する場合、引き渡し記録や廃棄証明を取得しているか
• 保管庫への入退室や媒体の持ち出しを記録しているか
• 長期保存データに現在も必要な情報だけが残っているか
• 事故発生時に対象者と収録項目を特定できる索引があるか
• デジタル化後も旧媒体が重複して残っていないか

情報漏えい対策では、不正アクセスだけでなく、媒体の紛失・誤廃棄も管理対象になります。

情報漏洩対策とは？企業が実施すべき原因別の予防策と発生時の対応では、物理的な紛失を含む原因別の確認事項を整理しています。

専用問い合わせ窓口を10月23日まで設置

りそな銀行は本件専用の問い合わせ窓口を設置しています。

受付期間は2026年9月28日から10月23日まで、受付時間は祝日を除く月曜日から金曜日の9時から17時です。

対象となる可能性があるのは、1992年7月から2001年3月までの間に、旧協和埼玉銀行または旧あさひ銀行羽村支店で口座を解約した顧客です。

出典

• 旧協和埼玉銀行および旧あさひ銀行羽村支店のお客さま情報の紛失について – 株式会社りそな銀行