GMOあおぞらネット銀行、委託先が無断流用したファイルから顧客情報1820件が流出 — 非表示ワークシートに残存

項目	内容
発生日	2024年11月28日（委託先での誤送付）
対象組織・業界	GMOあおぞらネット銀行（銀行） / 委託先: SocioFuture
攻撃手法	攻撃なし（委託先によるファイルの無断流用と誤送付）
情報源	Security NEXT（2026年4月16日）

概要

GMOあおぞらネット銀行は、2026年4月16日、事務業務の委託先において同行の顧客情報を含むファイルが他社へ流出する事故があったことを明らかにしました。

委託先であるSocioFutureが、同行の同意なく同行のデータ様式ファイルを他の業務に流用し、その過程で他社へ送付。データは削除したはずでしたが、非表示設定とされていたワークシート内に顧客情報が残存していました。対象は1820件で、口座名義、支店、口座番号、残高のほか、顧客識別用の数字・記号、顧客口座の管理状況の記録、顧客の問い合わせ状況が含まれます。

誤送付が発生したのは2024年11月28日で、発覚は約1年4カ月後の2026年3月27日、送信先の企業が非表示データに気づいて指摘したことによります。

経緯

• 2024年11月28日: 委託先において、同行のデータ様式を流用したファイルを他社へ複数回にわたり誤送付
• 2026年3月27日: 送信先の企業が非表示ワークシート内のデータに気づき、指摘
• 2026年4月16日: GMOあおぞらネット銀行が公表

原因

直接の原因は、委託先が同行のデータ様式ファイルを同行の同意なく別業務に流用したこと、および流用にあたって顧客データを削除したつもりが非表示ワークシートに残っていたことの二点です。

考えられる原因（推測）: 表計算ファイルの「非表示」は、シートやセルを画面から隠すだけの表示制御であり、データそのものは削除されません。ファイルを受け取った側が右クリックから「再表示」を選ぶだけで内容が見えます。実務では、完成したファイルを目視で確認して「もう顧客データは見えない」と判断するのが一般的なため、この落とし穴は繰り返し踏まれます。加えて本件では、削除作業をした担当者にとってそのファイルは「自分たちが作った様式」に見えていた可能性があります。委託元から預かった様式であるという意識が薄れると、流用の是非を判断する場面自体が発生しません。発覚まで1年4カ月を要したのは、送付した側にも受け取った側にも、非表示シートを開く動機がなかったためと考えられます。

対策

組織が学ぶべきこと

1. 「非表示」は削除ではない

表計算ファイルを外部に出す前に必要なのは、目視確認ではなく構造の確認です。全シートの再表示、フィルタの解除、非表示行・列の展開、ピボットテーブルのキャッシュ確認、そして可能であればCSVへの書き出しによる「見えているデータだけを取り出す」処理。この手順をチェックリスト化しておかないと、丁寧な担当者ほど「見た目で消えているから大丈夫」と判断してしまいます。

2. 委託先が「様式ごと」持っていく前提で考える

本件の核心は、削除漏れよりも流用にあります。委託元が渡した様式ファイルが、委託先の別業務のテンプレートとして再利用されていた。委託契約に「提供したファイル・様式の目的外利用の禁止」と「委託業務終了時の返却・破棄」を明記していても、テンプレートとして便利なファイルは現場で生き残ります。委託先に渡すファイルからは、渡す時点で不要なシート・数式・参照を落としておく——委託元側でできる最も確実な予防策はこれです。

3. 1年4カ月の空白は、誰も検知していなかったことを意味する

発覚のきっかけは受領企業からの指摘でした。つまり、委託先も委託元も、この期間まったく気づいていません。委託先の定期監査で「提供した様式ファイルが他業務で使われていないか」を確認する項目があれば、より早く止まった可能性があります。

攻撃者はおらず、不正アクセスもありません。委託先の担当者が業務として作ったファイルを、業務として送っています。効くのは、委託契約の設計、渡すファイルの作り方、そして委託先運用の定期点検です。

ヤグラの視点 — 攻撃面の拡張：自社が管理していないファイルの中に、自社の顧客データが残り続ける

セキュリティ投資は自社のネットワーク境界の内側に集中します。ところが本件で顧客情報が漏れたのは、委託先が管理する端末上の、委託元が存在すら把握していないファイルからでした。

委託の実務では、データそのものだけでなく「様式」「テンプレート」「マクロ付きの集計ブック」が一緒に渡ります。データには返却・破棄の義務がかかっても、様式は「ツール」と見なされて残る。そして残った様式には、テストデータや前回の実データが混ざっていることがある。攻撃面は、契約書に書かれたデータの範囲ではなく、実際にファイルが移動した先まで広がっています。

この広がりは、棚卸ししなければ見えません。委託先ごとに「何を渡したか」ではなく「何が向こうに残り得るか」を書き出す作業が要ります。渡したファイルのリスト、その中に含まれる非表示要素、委託先がそれを再利用する動機の有無。金融機関のように委託チェーンが深い業態では、一次委託先の先にある再委託先まで同じ問いを立てる必要があります。

そのうえで、最も効果が高いのは技術ではなく設計です。外に出すファイルは、外に出す用に作る。 社内で使っている集計ブックをそのまま渡さない。この一行のルールが、本件のような1年4カ月の空白を防ぎます。

今後の対応

同行は委託先での事故を公表済みで、対象顧客への対応を進めているとみられます。委託先管理の見直し、および同種の流用が他の委託業務で発生していないかの点検結果に関する続報を注視します。

更新履歴

日時	内容
2026-08-07	初稿公開（2026年4月16日公表時点）