---
url: 'https://www.corbado.com/ja/blog/data-breaches-finance'
title: '金融業界における10大データ漏洩インシデント [2026年]'
description: '金融業界で発生した最大規模のデータ漏洩について解説します。なぜ金融分野がサイバー攻撃の標的になりやすいのか、そしてどのように攻撃を防ぐことができたのかを学びます。'
lang: 'ja'
author: 'Alex'
date: '2026-05-22T14:37:12.143Z'
lastModified: '2026-05-22T14:39:54.077Z'
keywords: 'データ漏洩 金融, 銀行 最大のデータ漏洩 2025, サイバー攻撃 金融, ユーザーデータ流出 銀行, データハッキング 銀行, 金融 最大のデータ漏洩 2025, ハッキング被害企業 金融'
category: 'Authentication'
---

# 金融業界における10大データ漏洩インシデント [2026年]

## Key Facts

- 金融業界のデータ漏洩の多くは、高度なハッキング技術ではなく、**パッチが適用されていないシステム**、インサイダーの脅威、不十分な監視、そしてインシデント対応の遅れに起因しています。
- 2023年、金融機関は世界の全データ漏洩の**27%**を占め、ヘルスケア業界を抜いて世界で最も標的にされる業界となりました。
- 2024年の金融業界における**データ漏洩の1件あたりの平均コスト**は608万米ドルに達し、全業界の世界的平均を22%上回りました。
- **First American Financial**のデータ漏洩では、機密文書を閲覧するための認証が不要という、URLベースの不適切なアクセス制御により、8億8,500万件の記録が流出しました。
- **Equifax**は、Apache Strutsの既知の脆弱性に対して修正プログラムが提供されていたにもかかわらず、2ヶ月以上パッチを適用しなかった結果、13億8,000万米ドルの和解金を支払いました。

## 1. はじめに：なぜデータ漏洩は金融業界にとって深刻な脅威なのか？

金融業界は、即座に得られる金銭的報酬や価値ある個人情報を狙うサイバー攻撃の主要な標的になりつつあります。2023年には、金融機関が全世界のデータ漏洩の27%を占め、[ヘルスケア](https://www.corbado.com/passkeys-for-healthcare)業界を抜いて最も被害を受けた業界となりました。

これらのインシデントによる経済的損失は膨大です。2024年には、金融業界におけるデータ漏洩の1件あたりの平均コストは608万米ドルに達しました（これは全業界の世界的平均より22%高い数値です）。サードパーティの統合、レガシーシステム、および人為的ミスに存在する脆弱性を突くフィッシングやランサムウェアなどの悪意のある攻撃が、依然としてサイバー犯罪者の主な手口となっています。

本記事では、これまでに金融業界で発生した世界的な10大データ漏洩事件について、これらがどのように発生したのか、その致命的な脆弱性、そして組織が採用すべき不可欠な予防策に焦点を当てて解説します。

## 2. 金融業界でデータ漏洩が頻発する理由

銀行、保険会社、および[決済](https://www.corbado.com/passkeys-for-payment)サービスはデジタル経済の中心にあるため、サイバー攻撃の標的に頻繁に選ばれます。攻撃が成功すれば、資金と顧客の機密データの両方を一度に手に入れることができるため、犯罪者にとっては非常に魅力的な動機となります。オンラインサービスの急速な変化、高度なテクノロジー、そして24時間365日の可用性を求める高い社会的要求により、金融業界の防衛は困難なものとなっています。以下に、攻撃者が金融業界を頻繁に狙う理由をいくつか挙げます。

### 2.1 直接的な金銭的報酬

攻撃者が銀行や[決済](https://www.corbado.com/passkeys-for-payment)企業を狙うのは、漏洩を極めて迅速に現金化できるからです。第一に、システムにアクセスできれば、顧客の口座から直接資金を引き出したり、数時間で現金を手にできるATMの「キャッシュアウト」を実行したりできます（怪しまれないよう、多数の口座から少額ずつ引き出されることがよくあります）。第二に、銀行が保有するカード番号や個人情報はアンダーグラウンド市場で高値で取引されるため、盗まれたすべての記録が確実な収入源となります。第三に、ランサムウェアで重要なシステムを暗号化することで、犯罪者はサービスの復旧を急ぎ、罰金を回避したい銀行に圧力をかけ、数百万ドル単位の身代金を支払わせることができます。

### 2.2 価値の高いデータ

金融機関がサイバー攻撃の主要な標的となる主な理由は、保有する顧客データの膨大な量とその機密性にあります。現代において、ほとんどの人が資金の預け入れ、引き出し、送金のために銀行口座を持っています。そのため、銀行や関連組織は、名前、住所、生年月日、社会保障番号、詳細な金融履歴、雇用状況、さらには多くの市民の税務情報など、広範な記録を保持しています。この豊富なデータにより、攻撃者は顧客のアカウントを即座に乗っ取ったり、不正な取引を行ったり、資金を流出させたりして、漏洩を素早く収益化できます。さらに、盗まれた情報はダークウェブの[マーケットプレイス](https://www.corbado.com/passkeys-for-e-commerce)で高値で取引されており、包括的なIDパッケージ（「fullz」と呼ばれます）や個人の銀行口座の認証情報がかなりの金額で売買されています。このようなリスクに加えて、「Know Your Customer (KYC)」や「アンチマネーロンダリング (AML)」などの厳格な規制ガイドラインにより、金融機関は顧客データを長年にわたり安全に保存することが求められており、脆弱性の窓が大幅に広がっています。これらの要因が相まって、データ漏洩が成功するたびに直接的な利益をもたらすだけでなく、高度なID詐欺や金融詐欺の長期的な機会をも提供する環境が作られ、金融機関はサイバー犯罪者にとって特に魅力的であり、繰り返し狙われる存在となっています。

### 2.3 レガシーITシステムによる容易なアクセス

主要な[銀行](https://www.corbado.com/passkeys-for-banking)システムの多くは、ベンダーが何年もサポートを終了したプラットフォームで稼働しているため、新しいプラットフォームにはパッチが提供されているにもかかわらず、既知のセキュリティ上の欠陥が長期間放置されたままになります。ウェブポータルにリンクされたメインフレーム、カスタムミドルウェア、およびアドホックなスクリプトなど、何十年にもわたる後付けのパッチ適用により、1つの弱いリンクが切れるだけで顧客の残高から[決済](https://www.corbado.com/passkeys-for-payment)システムまで、すべてが侵害される複雑な網の目を作り出していることがあります。これらのレガシーシステムは、多要素ログインや常時監視エージェントなどの最新のセキュリティ機能をサポートできないことが多いため、セキュリティチームは攻撃者が迂回方法を学習してしまうワークアラウンド（回避策）の適用を余儀なくされます。厳格な変更管理ポリシーがさらにリスクを高めます。パッチの実装にはテストに数週間、時には数ヶ月かかる場合があり、攻撃者に悪用される可能性のある大きな隙を与えてしまいます。

### 2.4 人為的ミスとインサイダーの脅威

高度なセキュリティツールがあるにもかかわらず、人間の行動は金融業界において依然として致命的な脆弱性です。金融機関は何千人もの従業員、請負業者、パートナーを抱える大規模な組織であり、その誰もが意図せず、あるいは悪意を持って攻撃者に扉を開いてしまう可能性があります。フィッシング、認証情報の使い回し、ソーシャルエンジニアリングは、依然として上位の侵害ベクターです。さらに、IT管理者や不満を抱く従業員など、特権アクセスを持つインサイダーは標準的なセキュリティ制御の多くを回避できるため、内部の脅威を検知し防止することは特に困難です。

## 3. 金融業界における最大のデータ漏洩インシデント

以下に、金融業界で発生した世界最大規模のデータ漏洩事件をリストアップします。データ漏洩事件は、影響を受けたアカウント数の多い順に並んでいます。

### 3.1 First American Financial Corporation のデータ漏洩（2019年）

![firstamericancoorp-logo.jpg](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/firstamericancoorp_logo_faf52d4b38.jpg)

| 詳細             | 情報                                                                                                                                           |
| ---------------- | ---------------------------------------------------------------------------------------------------------------------------------------------- |
| 発生時期         | 2019年5月                                                                                                                                      |
| 影響を受けた数   | 約8億8,500万件の記録                                                                                                                           |
| 漏洩したデータ   | - 氏名<br/>- 住所<br/>- 社会保障番号（SSN）<br/>- 銀行口座番号<br/>- 住宅ローンおよび財務関連文書<br/>- 税務記録 |

2019年5月、米国の権原[保険](https://www.corbado.com/passkeys-for-insurance)および決済サービスの大手プロバイダーであるFirst American Financial Corporationは、ウェブサイトの脆弱性を通じて約8億8,500万件の機密記録を流出させました。不適切なアクセス制御により、文書への有効なURLリンクを持つ者であれば誰でも、認証なしにURLの数字を変更するだけで、他の無関係な文書を閲覧できる状態になっていました。

流出した文書には、社会保障番号、銀行口座の詳細、住宅ローンの記録、税務文書などの重要な財務および個人情報が含まれており、顧客は詐欺や個人情報盗難の大きなリスクにさらされました。この漏洩は、不動産取引記録という非常に機密性の高い性質を考えると特に憂慮すべきものであり、金融業界全体におけるウェブアプリケーションのセキュリティ慣行の大きな欠陥を浮き彫りにしました。

**予防策：**

- 文書リポジトリに対する堅牢なアクセス制御と認証チェックを実装する

- アプリケーションを一般公開する前に、徹底したセキュリティテスト（ペネトレーションテストなど）を実施する

- アプリケーションへのアクセスパターンを監視および監査し、異常な動作を早期に検出する

### 3.2 Equifax のデータ漏洩（2017年）

![Equifax-logo.png](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/Equifax_logo_911a1dfe36.png)

| 詳細             | 情報                                                                                                                                                                                              |
| ---------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| 発生時期         | 2017年5月～7月（2017年9月に公表）                                                                                                                                                                 |
| 影響を受けた数   | 約1億4,800万人（米国で1億4,790万人、英国で1,520万人、カナダで1万9,000人）                                                                                                                         |
| 漏洩したデータ   | - 氏名<br/>- 社会保障番号<br/>- 生年月日<br/>- 住所<br/>- 運転免許証番号<br/>- クレジットカード番号（20万9,000アカウント）<br/>- 機密の異議申し立て文書（18万2,000アカウント） |

2017年9月に公表されたEquifaxのデータ漏洩は、金融史上最も重大なサイバーセキュリティ事件の1つとして記憶されています。攻撃者は、オープンソースのウェブアプリケーションフレームワークであるApache Strutsの既知の脆弱性（CVE-2017-5638）を悪用しました。2017年3月にセキュリティパッチがリリースされていたにもかかわらず、Equifaxは米国のオンライン異議申し立てポータルの更新を怠り、2ヶ月以上にわたってシステムを脆弱な状態に放置しました。

攻撃者は広範な偵察を行い、48の無関係なデータベースに9,000回以上のクエリを送信し、265回にわたって機密の個人情報を抽出することに成功しました。さらに問題だったのは、期限切れのセキュリティ証明書により重要な監視ツールが無効になっており、漏洩の検知が大幅に遅れたことです。

その結果は重大でした。Equifaxは訴訟や規制当局による調査に直面し、最終的に消費者の補償とサイバーセキュリティの強化のために13億8,000万米ドルの和解金を支払いました。この漏洩をきっかけに米国では法律が改正され、消費者は無料で信用情報の凍結を行えるようになりました。2020年2月、米国はこの漏洩を実行したとして中国の軍関係者4人を起訴しましたが、中国は関与を否定しています。

**予防策：**

- ソフトウェアおよびフレームワークのセキュリティパッチとアップデートを速やかに適用する。

- 監視ツールを有効な状態に維持し、セキュリティ証明書を定期的に監査する。

- 機密データに対する包括的な暗号化と堅牢なアクセス制御を実装する。

- 継続的なセキュリティ評価を実施し、プロアクティブな脅威検知対策を導入する。

### 3.3 Heartland Payment Systems のデータ漏洩（2008年～2009年）

![heartland-payment-logo.png](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/heartland_payment_logo_e50d3a4515.png)

| 詳細             | 情報                                                                                                                                                |
| ---------------- | --------------------------------------------------------------------------------------------------------------------------------------------------- |
| 発生時期         | 2007年末～2008年（2009年1月に発見）                                                                                                                   |
| 影響を受けた数   | 約1億3,000万枚のクレジットおよびデビットカード                                                                                                      |
| 漏洩したデータ   | - クレジットおよびデビットカード番号<br/>- カード名義人名<br/>- 有効期限<br/>- セキュリティコード<br/>- 社会保障番号<br/>- 銀行情報 |

2009年1月に発覚したHeartland Payment Systemsのデータ漏洩は、カードデータの漏洩としては史上最大規模の1つに数えられます。攻撃者は2007年末、Heartlandの企業ウェブサイトにあるSQLインジェクションの脆弱性を通じて最初にアクセスを獲得しました。その後、彼らは同社の決済処理ネットワークにマルウェアを展開し、取引が行われる際にカード番号、氏名、有効期限、セキュリティコードなどの機密のカード情報を捕捉しました。

マルウェアは何ヶ月も検知されないままであり、約1億3,000万枚のカードが危険にさらされました。VisaとMasterCardが不審な取引を追跡したことで漏洩が発覚し、Heartlandは事件を公表し、法執行機関に全面的に協力しました。この漏洩により、罰金、和解金、およびビジネス上の信用の喪失を含め、Heartlandは1億7,000万米ドルから2億米ドルの損害を被りました。攻撃の首謀者であるAlbert Gonzalezは、当時のサイバー犯罪としては最長となる禁錮20年の判決を受けました。

**予防策：**

- 定期的に脆弱性スキャンやペネトレーションテストを実施し、SQLインジェクションなどの重大な脆弱性を検知および修正する。

- 取引時の機密データに対してエンドツーエンドの暗号化を実装し、保存中および転送中のデータを保護する。

- プロアクティブで継続的な監視および高度な脅威検知システムを構築し、マルウェアや不正なネットワークアクセスを迅速に特定する。

- コンプライアンス基準は、包括的なサイバーセキュリティの慣行やプロトコルを補完するものであり、それに代わるものではないことを確認する。

### 3.4 Capital One のデータ漏洩（2019年）

![capital-one-logo.png](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/capital_one_logo_514465376f.png)

| 詳細             | 情報                                                                                                                                                                                                                                                          |
| ---------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| 発生時期         | 2019年3月（2019年7月に発見）                                                                                                                                                                                                                                  |
| 影響を受けた数   | 1億600万人以上（米国で1億人、カナダで600万人）                                                                                                                                                                                                                |
| 漏洩したデータ   | - 氏名、住所、電話番号、電子メールアドレス、生年月日<br/>- クレジットスコア、利用限度額、残高、支払い履歴<br/>- 社会保障番号（米国で14万人）<br/>- リンクされた銀行口座番号（米国で8万人）<br/>- 社会保険番号（カナダで100万人） |

2019年3月に発生し、その4ヶ月後に発見されたCapital Oneのデータ漏洩は、同行のAmazon Web Services（AWS）クラウド環境におけるウェブアプリケーションファイアウォールの設定ミスが原因でした。元AWSの従業員であったPaige Adele Thompsonは、内部の知識を悪用してアクセスし、約30 GBの顧客の機密情報をダウンロードしました。

流出したデータには、個人識別情報、詳細な信用履歴、社会保障番号、銀行口座情報が含まれており、米国とカナダで1億600万人以上に影響を及ぼしました。Capital Oneは深刻な規制上および法的な結果に直面し、クラウドインフラストラクチャの不適切なリスク管理に対する8,000万米ドルの罰金を含め、罰金、和解金、および改善の取り組みに総額3億米ドル以上を支払いました。

この漏洩はCapital Oneの評判を著しく傷つけ、サイバーセキュリティの改善、特にクラウド構成の強化と強固なアクセス制御への大幅な投資を促しました。

**予防策：**

- 不正アクセスの原因となる設定ミスを防ぐため、クラウド環境および構成を定期的に監査する。

- 厳格なアクセス制御措置を実施し、特に内部の知識や管理権限を持つ従業員の活動を監視する。

- 脆弱性や漏洩を迅速に検知するため、継続的なセキュリティ監視を維持する。

- すべてのIT担当者に対し、クラウドセキュリティのベストプラクティスを強調する包括的なサイバーセキュリティトレーニングを提供する。

### 3.5 Experian のデータ漏洩（2012年～2020年）

![experian-logo.png](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/experian_logo_1786e2b65c.png)

| 詳細             | 情報                                                                                                                                                                        |
| ---------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| 発生時期         | 複数のインシデント：2012年～2013年、2015年、2020年                                                                                                                             |
| 影響を受けた数   | 全インシデントで4,000万人以上（米国のT-Mobileで1,500万人、南アフリカで2,400万人、Court Ventures経由で数百万人）                                                             |
| 漏洩したデータ   | - 氏名および住所<br/>- 社会保障番号<br/>- 生年月日<br/>- 身分証明書（運転免許証、パスポート）<br/>- ビジネス記録（南アフリカの漏洩） |

世界的な信用情報機関であるExperianは、世界中の数千万人に影響を及ぼす重大なデータ漏洩を複数回経験しています。

- **2012年～2013年 Court Venturesの漏洩:** ExperianがCourt Venturesを買収した後、私立探偵を装ったハッカーが機密の個人データに不正にアクセスしてオンラインで販売し、数百万人に影響を与えました。

- **2015年 T-Mobileの漏洩:** ハッカーがT-Mobile顧客のクレジット申請書を保持するExperianのサーバーにアクセスし、約1,500万人分の個人情報を漏洩させました。暗号化されていたにもかかわらず、攻撃者は保護を回避して機密のID情報を入手したと報じられています。

- **2020年 南アフリカの漏洩:** 詐欺師がExperianを騙し、約2,400万人の市民と約80万社の企業のデータを引き渡させ、個人情報盗難に関する深刻な懸念を引き起こしました。

これらのインシデントはExperianの信頼を著しく損ない、規制当局による広範な調査を招くとともに、消費者が個人情報盗難や金融詐欺のリスクにさらされることを示しました。これに対応するため、Experianはセキュリティ対策を強化し、当局と協力し、影響を受けた個人に信用監視サービスを提供しました。

**予防策：**

- ソーシャルエンジニアリングや不正なアクセス試行を防ぐため、身元確認プロトコルおよび内部チェックを強化する。

- 定期的なセキュリティ監査と組み合わせて暗号化標準を適用し、データがアクセスされた場合でも保護された状態を確保する。

- 合併・買収時には徹底したサイバーセキュリティのデューデリジェンスを実施し、買収後も一貫した監視を維持する。

- 従業員向けのサイバーセキュリティ意識向上トレーニングプログラムを定期的に更新および改善する。

### 3.6 JPMorgan Chase のデータ漏洩（2014年）

![jpmorganchase-logo.jpg](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/jpmorganchase_logo_406a450f27.jpg)

| 詳細             | 情報                                                                                                 |
| ---------------- | ---------------------------------------------------------------------------------------------------- |
| 発生時期         | 2014年7月に公表                                                                                      |
| 影響を受けた数   | 約8,300万アカウント                                                                                  |
| 漏洩したデータ   | - 氏名<br/>- 電子メールアドレス<br/>- 電話番号<br/>- 物理的住所<br/>- 顧客の内部メタデータ |

2014年、JPMorgan Chaseは、米国の金融業界を襲った史上最大規模のデータ漏洩事件の1つを公表しました。これにより、約7,600万の世帯と700万の中小企業に影響が及びました。攻撃者は、銀行のネットワークインフラストラクチャの弱点を突いて、侵害された従業員アカウントを通じてアクセスを獲得しました。口座番号、パスワード、社会保障番号などの財務情報は盗まれませんでしたが、攻撃者は氏名、住所、電子メールアドレス、および電話番号を入手しました。

この漏洩は、米国経済における同行の重要な役割のため大きな注目を集め、[金融サービス](https://www.corbado.com/passkeys-for-banking)業界全体にサイバーセキュリティの準備態勢に関する警鐘を鳴らしました。これにより、規制当局の監視が強化され、多くの金融機関が特に従業員アカウントの保護とネットワークのセグメンテーションに関してサイバーセキュリティのフレームワークを見直す契機となりました。

**予防策：**

- 内部および外部のすべてのアカウントに対して多要素認証（MFA）を強制する

- 侵害された際の横方向の移動（ラテラルムーブメント）を制限するため、堅牢なネットワークのセグメンテーションを実施する

- 従業員のアクセス管理に関するセキュリティプロトコルを定期的にテストおよび更新する

### 3.7 Block, Inc. (Cash App Investing) のデータ漏洩（2021年）

![block-logo.png](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/block_logo_afcbc214fd.png)

| 詳細             | 情報                                                                                                                           |
| ---------------- | ------------------------------------------------------------------------------------------------------------------------------ |
| 発生時期         | 2021年12月（2022年4月に公表）                                                                                                  |
| 影響を受けた数   | 約820万人の米国の顧客                                                                                                          |
| 漏洩したデータ   | - 氏名<br/>- 証券口座番号<br/>- ポートフォリオの価値、保有銘柄、および株式取引状況（一部の顧客のみ） |

2021年12月、Block, Inc.（旧Square）は、Cash App Investing製品の顧客約820万人に影響を与えるデータ漏洩を経験しました。この漏洩は、退職後も不正なアクセス権を維持していた元従業員が関与しており、Blockのオフボーディングとアクセス管理プロセスに重大な弱点があることが浮き彫りになりました。

元従業員は、氏名、口座番号、一部の顧客については詳細なポートフォリオや取引状況などの機密の証券データを含むレポートをダウンロードしました。社会保障番号や決済情報などの機密性の高い財務識別情報は漏洩しませんでした。

Blockは4ヶ月後の2022年4月に漏洩を公表しましたが、通知の遅れや不十分な保護対策に関して批判を浴び、集団訴訟が引き起こされました。このインシデントにより、Blockは内部の管理体制を強化し、データ損失防止対策を改善し、法執行機関や規制当局と緊密に連携することになりました。

**予防策：**

- インサイダーの脅威を最小限に抑えるため、退職する従業員のシステムアクセス権や認証情報を直ちに無効にする。

- 最小権限の原則を適用した堅牢なアクセス制御フレームワークを実装する。

- 定期的に監査を実施し、厳格なデータ損失防止（DLP）ポリシーを適用して、不正なデータアクセスや流出を迅速に検出する。

- 顧客の信頼を維持し、規制への準拠を確保するため、漏洩通知プロセスにおいて迅速な公表と透明性を担保する。

### 3.8 Desjardins Group のデータ漏洩（2016年～2019年）

![Desjardins_Group_logo.png](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/Desjardins_Group_logo_146ae38a6e.png)

| 詳細             | 情報                                                                                                                                                                                                  |
| ---------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| 発生時期         | 2016年10月～2019年5月（2019年6月に公表）                                                                                                                                                                |
| 影響を受けた数   | 約970万人の個人、17万3,000社の企業                                                                                                                                                                    |
| 漏洩したデータ   | - 氏名<br/>- 住所<br/>- 生年月日<br/>- 社会保険番号（SIN）<br/>- 電話番号<br/>- 電子メールアドレス<br/>- 取引履歴<br/>- 利用している製品およびサービスに関する情報 |

カナダ最大級の金融協同組合であるDesjardins Groupは、インサイダーに起因する大規模なデータ漏洩に見舞われ、約970万人の個人と財務情報が流出しました。この漏洩は、元従業員が少なくとも26ヶ月間にわたりデータを収集して漏洩させていたことが社内調査により明らかになったことで発覚しました。情報は組織外に転送されていましたが、連邦プライバシー委員会が介入するまでDesjardinsの監視システムでは検知されませんでした。

正当な内部アクセス権の乱用に端を発するこの漏洩の性質は、ユーザーの活動監視、アクセス権、およびデータ流出時のアラートなど、Desjardinsの内部統制における構造的な弱点を浮き彫りにしました。この事件は、漏洩の期間と流出したデータの機密性の高さから、カナダの企業史において最も重大なインサイダー脅威の事例の1つとして記憶されています。

**予防策：**

- 厳格なアクセス制御と最小権限ポリシーを施行する

- 従業員のデータアクセスを定期的に監視および監査する

- 行動分析を使用して異常な活動を検出する

### 3.9 Westpac Banking Corporation のデータ漏洩（2019年～2024年）

![Westpac_logo.png](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/Westpac_logo_1f3d6a73c5.png)

| 詳細             | 情報                                                                                                                                                            |
| ---------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| 発生時期         | 複数のインシデント：2019年2月、2019年5月、2024年10月                                                                                                            |
| 影響を受けた数   | 約9万8,000人の顧客（PayIDの漏洩）; サードパーティおよびサービスの停止により追加の顧客が影響を受ける                                                             |
| 漏洩したデータ   | - 氏名および携帯電話番号（PayID）<br/>- 不動産評価の詳細および連絡先情報（LandMark White）<br/>- サービスの中断; データの盗難は確認されず（2024年の障害） |

オーストラリアの大手銀行であるWestpacは、2019年から2024年にかけて、同社のPayIDプラットフォームが関与する複数のデータ関連インシデントに直面しました。

- 2019年初頭、Westpacと提携している不動産評価会社LandMark Whiteが関与するサードパーティでのデータ漏洩が発生し、不動産評価データと顧客の連絡先情報が流出しました。Westpacは直ちに該当ベンダーの利用を停止し、影響を受けた個人に通知しました。

- 2019年5月、攻撃者は列挙攻撃（エニュメレーション攻撃）の手法を使用して、WestpacのPayIDサービスを通じて約9万8,000人の顧客名と関連する携帯電話番号を抽出しました。[銀行](https://www.corbado.com/passkeys-for-banking)の認証情報や口座番号は侵害されませんでしたが、露出したデータは大規模な詐欺や個人情報盗難のリスクをもたらしました。

- 2024年10月、Westpacはオンラインおよびモバイル[銀行](https://www.corbado.com/passkeys-for-banking)システムで数日間にわたる重大な障害を経験し、当初はサイバー攻撃の可能性が懸念されました。障害はサービス拒否（DoS）攻撃と一致するような挙動を示しましたが、Westpacは顧客データの漏洩はなかったことを確認しました。

これらのインシデントは全体として、[堅牢なデータセキュリティの重要性](https://www.cashforusedlaptop.com/blog/data-security-recycling-laptop/)、サードパーティのリスク管理、そしてプロアクティブなインシデント対応戦略の必要性を強調しました。

**予防策：**

- レート制限、異常検知、および多層認証対策を強化し、列挙攻撃に対する防御を強化する。

- ベンダーの継続的な監視や定期的なサイバーセキュリティ評価など、包括的なサードパーティリスク管理プロトコルを実装する。

- サービス拒否攻撃に迅速に対応し、影響を軽減してサービスの継続性を確保できる、堅牢なサイバーレジリエンスフレームワークを維持する。

- サイバーセキュリティのリスクやインシデント対応に関する顧客の透明性とコミュニケーションを向上させる。

### 3.10 Flagstar Bank のデータ漏洩（2021年～2023年）

![Flagstar_Bank_logo.png](https://s3.eu-central-1.amazonaws.com/corbado-cloud-staging-website-assets/Flagstar_Bank_logo_d9712561e8.png)

| 詳細             | 情報                                                                                                  |
| ---------------- | ----------------------------------------------------------------------------------------------------- |
| 発生時期         | 複数のインシデント：2021年初頭、2021年12月、2023年5月                                                 |
| 影響を受けた数   | 全インシデントで約380万人                                                                             |
| 漏洩したデータ   | - 氏名および社会保障番号<br/>- 住所および電話番号<br/>- 税務記録および個人情報 |

米国の著名な金融機関であるFlagstar Bankは、2021年から2023年にかけて数回の重大な漏洩事故を経験し、数百万人の顧客に影響を及ぼしました。

- **2021年12月のデータ漏洩:** 攻撃者がFlagstarのネットワークに直接アクセスし、約150万人の顧客の氏名や社会保障番号などの個人データを侵害しました。規制当局は、漏洩に関する不十分な開示と誤解を招くコミュニケーションを理由に、Flagstarに350万米ドルの罰金を科しました。

- **2023年5月のMOVEit Transferの漏洩:** Flagstarにサービスを提供しているサードパーティベンダーのFiservが、MOVEit Transferの脆弱性を経由した漏洩に見舞われ、約83万7,390人のFlagstarの顧客に影響が出ました。この漏洩により、住所、電話番号、さらには社会保障番号や税務記録などの広範な個人情報が流出しました。

- **2021年初頭のAccellionの漏洩:** Flagstarは、Accellionのレガシー製品であるFile Transfer Applianceの脆弱性の影響を受けた複数の機関の1つであり、約150万人の顧客の社会保障番号や税務書類などの機密データが侵害されました。

これらのインシデントは規制上の罰則や大規模な改善の取り組みへとつながり、Flagstarはサイバーセキュリティ対策を大幅に強化することを約束しました。

**予防策：**

- 迅速な検知、修復、および明確な情報開示手順を重視し、内部のサイバーセキュリティの慣行を強化する。

- サードパーティのサイバーセキュリティ評価を定期的に実施し、厳格なベンダー管理プロトコルを施行する。

- レガシーシステムを速やかにリプレースし、重要なセキュリティパッチが提供され次第すぐに適用する。

- 従業員に対して継続的なサイバーセキュリティトレーニングを提供し、包括的なデータ損失防止（DLP）および脅威監視ソリューションを実装する。

## 4. 金融業界におけるデータ漏洩の一般的なパターン

金融業界におけるこれらの大規模なデータ漏洩を分析すると、共通する脆弱性やサイバーセキュリティ上の弱点がいくつか見えてきます。金融機関は、機密情報と顧客からの信頼をより確実に守るため、これらの一般的なパターンを認識し、プロアクティブに対処する必要があります。

### 4.1 既知の脆弱性とパッチ未適用のシステムの悪用

EquifaxやFlagstar Bankのように、大規模な漏洩の多くは、利用可能なソフトウェアパッチを迅速に適用しなかったことが原因で発生しています。Equifaxは、よく知られたApache Strutsの脆弱性に対するパッチ適用を数ヶ月間怠り、その結果、約1億4,800万人に影響を与える壊滅的な漏洩を引き起こしました。同様に、MOVEit TransferやAccellion FTAの脆弱性を介したFlagstar Bankの漏洩も、パッチ適用の遅れがもたらす高くつく代償を示しています。金融機関は、攻撃者に悪用される前にセキュリティのギャップを塞ぐため、継続的な脆弱性スキャン、迅速なソフトウェアの更新、展開前の徹底的なテストを含む、厳格な[パッチ管理手順](https://www.action1.com/blog/6-step-patch-management-process/)を採用しなければなりません。

### 4.2 アクセス制御の弱点とインサイダー脅威の管理

Desjardins GroupやBlock（Cash App Investing）の漏洩に見られるように、不十分な内部アクセス制御により、インサイダーの脅威が重大な被害をもたらす事態が繰り返されています。Desjardinsでは、監視の甘さが原因で、従業員が2年間にわたりシステム的に顧客データを持ち出すことが可能になっていました。同様に、Blockでは元従業員のアクセス権を直ちに取り消さなかったため、数百万人のユーザーに影響を与える不正なデータの抽出が発生しました。これらの漏洩は、厳格なアクセス管理を実施し、従業員の退職時には直ちに認証情報を取り消し、内部のデータアクセスを綿密に監視し、インサイダーリスクを認識し軽減できるようスタッフを定期的にトレーニングすることの必要性を強調しています。

### 4.3 不十分な監視と検知の遅れ

Heartland Payment Systems、Desjardins Group、およびEquifaxでの漏洩では、検知の遅れが被害を著しく拡大させました。Heartlandの攻撃者は数ヶ月間検知されず、中断されることなくカードデータを傍受しました。Desjardinsでは、データの持ち出しが検知されるまでに2年が経過していました。Equifaxのインシデントでは、証明書の期限切れにより監視システムが19ヶ月間無効化されていたというミスが浮き彫りになりました。このようなリスクを軽減するため、金融機関は堅牢なリアルタイム監視、継続的に更新されるセキュリティ証明書、および高度な異常検知ツールを実装し、脅威を迅速に認識し対応しなければなりません。

### 4.4 インシデント対応と情報開示の遅れまたは効果の低さ

Block、Equifax、およびFlagstar Bankの漏洩では、不適切なインシデント対応と情報開示の遅れにより、深刻な事態を招きました。Blockは4ヶ月間にわたる情報開示の遅延により批判を受け、Equifaxの対応の遅さは規制当局の調査や多額の和解金へとつながりました。Flagstar Bankの不適切な情報開示は、多額の規制上の罰則をもたらしました。効果的な[インシデント管理](https://thectoclub.com/tools/best-incident-management-software/)には、明確に定義され訓練された対応プロトコル、規制当局や顧客との透明かつタイムリーなコミュニケーション、そして評判への悪影響や規制上の影響を限定するための断固とした社内連携が不可欠です。

## 5. 結論

世界の金融業界における最大規模のデータ漏洩の分析から、明確なパターンが明らかになりました。ほとんどの漏洩は複雑なハッキング手法によるものではなく、パッチ適用の遅れ、不適切な内部統制、不十分な監視、効果のないインシデント対応など、サイバーセキュリティの基本的な見落としに起因しています。これらが繰り返されている脆弱性は、重要な教訓を示しています。つまり、金融機関は基本的なコンプライアンスの枠を超え、サイバーセキュリティを運用文化の中にプロアクティブに組み込まなければならないということです。パッチ管理を優先し、インサイダーの脅威に対する予防策を強化し、リアルタイムの監視を実装し、明確なインシデント対応計画を準備することは、単なるベストプラクティスではありません。それらは、顧客からの信頼を維持し、金融機関の長期的なレジリエンスを確保するために必要不可欠な要素なのです。

## よくある質問

### 漏洩した記録数で見た場合、金融業界における最大のデータ漏洩事件は何ですか？

2019年5月のFirst American Financial Corporationのデータ漏洩では、社会保障番号、銀行口座の詳細、住宅ローン関連書類など、約8億8,500万件の機密記録が流出しました。この漏洩は、認証なしでURLの数字を変更するだけで、誰でも機密ファイルにアクセスできたために発生しました。

### Equifaxのデータ漏洩はどのように発生し、企業にどれほどの損害を与えましたか？

Equifaxは、Apache Strutsの脆弱性（CVE-2017-5638）に対するパッチが2017年3月にリリースされたにもかかわらず、2ヶ月以上にわたり適用を怠りました。攻撃者は48のデータベースに対して9,000回以上のクエリを送信し、265回にわたってデータを抽出しました。Equifaxは最終的に、消費者の補償とサイバーセキュリティの強化のために13億8,000万米ドルの和解金を支払いました。

### インサイダー（内部）の脅威は、金融機関でのデータ漏洩をどのように引き起こしますか？

インサイダーの脅威は、正当な内部アクセス権を悪用することで、金融業界における2つの重大な漏洩事件を引き起こしました。Desjardinsでは、従業員が26ヶ月以上にわたり気付かれることなくデータを持ち出し、970万人分の情報を漏洩させました。Block（Cash App Investing）では、元従業員が退職後もシステムアクセス権を維持し、820万人の顧客に影響を与える証券データをダウンロードしました。

### 金融業界におけるデータ漏洩の背後にある4つの最も一般的なパターンは何ですか？

金融業界における漏洩の多くは、4つの共通パターンによって引き起こされます。それは、既知の脆弱性に対するパッチ適用の遅れ、インサイダーの脅威を許す脆弱なアクセス制御、不十分なリアルタイム監視による検知の遅れ、そして遅く不透明なインシデント対応です。Equifaxでは、証明書の期限切れにより監視ツールが19ヶ月間無効になっており、漏洩の発見が大幅に遅れました。