2026年10月、プログラム言語PHPの深刻な脆弱性が発見され、日本の銀行や証券会社でもオンラインサービスの一時停止が相次ぎました。
インターネットバンキング、NISAの申し込み、住宅ローンの事前審査、証券口座の開設など、私たちの生活に身近な金融サービスにも影響が及びました。
今回の問題は、金融機関の中核システムに障害が発生したというものではありません。しかし、金融サービスを支える周辺システムの安全性が、金融機関全体の信用や顧客の利便性に直結することを浮き彫りにしました。
金融サービスのデジタル化が進むなか、今回の問題から何を学ぶべきなのでしょうか。
銀行や証券会社で相次いだサービス停止
2026年10月22日、三菱UFJ銀行は一部のインターネットサービスを一時停止しました。
個人向けインターネットバンキングの三菱UFJダイレクトでは、投資信託の口座開設やNISAの利用申し込みなどが停止しました。
また、住宅ローンの事前審査サービスについても、ホームページからの申し込みが一時的にできなくなりました。
証券会社にも影響が広がりました。
大和証券では、オンラインによる口座開設や住所変更などの手続きが停止しました。
大和コネクト証券でも、ウェブサイトからの口座開設申し込みの受け付けが一時停止されました。
一方、みずほ銀行では、一時停止していた来店予約サービスが22日朝までに再開しました。
こうした動きは、金融機関が安全性を確保するために、サービスを一時停止してシステムの点検や更新を進めたことを示しています。
金融機関のシステムは一つではない
銀行のシステムと聞くと、預金残高を管理したり、振込や決済を処理したりする勘定系システムを思い浮かべる人が多いでしょう。
しかし、実際の金融機関は多種多様なシステムによって成り立っています。
預金や融資を管理する勘定系システムのほか、インターネットバンキング、顧客情報管理、営業支援、口座開設、本人確認、住宅ローン審査など、それぞれの業務に対応するシステムが存在します。
さらに、これらのシステムを連携させるためのプログラムや外部サービスも利用されています。
今回のPHP問題では、こうした周辺システムの一部に影響が及びました。
重要なのは、周辺システムであっても顧客との接点を担っている場合には、停止による影響が小さくないということです。
例えば、住宅ローンの事前審査が停止すれば、住宅購入を検討している顧客の手続きが遅れる可能性があります。
NISAの申し込みが停止すれば、投資を始めようとしている顧客が予定どおりに手続きを進められなくなります。
金融機関のシステム管理では、勘定系システムだけでなく、顧客向けサービス全体の安全性を確保する必要があります。
金融サービスのデジタル化がもたらした変化
近年、銀行や証券会社ではデジタル化が急速に進んでいます。
かつて銀行の口座開設や住宅ローンの申し込みには、店舗への来店や紙の書類の提出が必要でした。
現在では、スマートフォンやパソコンから多くの手続きを進められるようになっています。
金融機関にとっても、店舗運営費や事務処理費用を削減できる利点があります。
一方、デジタル化によって顧客との接点がオンラインに集中すると、システム停止の影響も大きくなります。
特に、店舗数を削減している金融機関では、オンラインサービスが利用できなくなった場合の代替手段が重要になります。
効率化を追求する一方で、障害発生時にも顧客が必要な金融サービスを利用できる体制を整える必要があるのです。
サービス停止と情報漏洩は区別する必要がある
今回の問題では、多くの金融機関が予防的にサービスを停止しました。
ここで注意したいのは、サービスが停止したからといって、直ちに情報漏洩や不正アクセスが発生したことを意味するわけではないという点です。
重大な脆弱性が発見された場合、企業は実際の被害が確認される前にサービスを停止することがあります。
これは、攻撃を受ける可能性を低減するための危機管理上の判断です。
金融機関の場合、顧客情報や金融資産に関する情報を大量に保有しています。
万一、これらの情報が外部に流出すれば、顧客への直接的な被害だけでなく、金融機関の信用にも深刻な影響を与える可能性があります。
そのため、一定の不便が発生しても、予防的な停止を選択する合理性があります。
ただし、停止の範囲や期間が過大になれば、別の経営上の問題が生じます。
安全性の確保とサービス継続の両立が重要になります。
金融機関のシステムリスク管理と金融庁の監督
金融機関のシステムリスク管理は、金融庁の監督においても重要な分野です。
金融機関には、システム障害やサイバー攻撃によって顧客や金融システムに重大な影響が生じないよう、適切な管理体制を整備することが求められます。
特に重要なのが、経営陣による関与です。
システムリスクを情報システム部門だけに任せるのではなく、経営上の重要なリスクとして認識する必要があります。
また、金融機関では外部のシステム開発会社やクラウドサービス事業者を利用することも一般的です。
その場合、外部委託先が適切な安全管理を実施しているかを確認しなければなりません。
委託先のシステムに問題が生じても、金融機関自身の顧客に対する責任が当然になくなるわけではありません。
金融機関には、自社と委託先を含めた総合的なリスク管理が求められます。
金融機関の内部監査では何を確認すべきか
今回の問題は、金融機関の内部監査にとっても重要な検討材料になります。
内部監査では、システムの安全性を確保するための管理体制が適切に整備され、実際に機能しているかを確認する必要があります。
例えば、利用しているソフトウェアの種類やバージョンが正確に管理されているかという点です。
重大な脆弱性が公表された場合に、影響を受けるシステムを迅速に特定できるかも重要です。
さらに、修正プログラムの適用手順、緊急時のサービス停止基準、経営陣への報告体制なども監査対象になります。
外部委託先については、契約上の責任分担や障害発生時の連絡体制を確認する必要があります。
内部監査の目的は、個々のプログラムの安全性を直接保証することではありません。
システムリスクを適切に管理する仕組みが整備され、有効に機能しているかを評価することです。
金融機関の信用に与える影響
金融機関の経営では、信用が極めて重要です。
銀行は預金者から資金を預かり、企業や個人に融資しています。
証券会社は顧客の金融資産を取り扱い、投資取引を仲介しています。
そのため、システムの安全性に対する信頼が損なわれれば、顧客との関係にも影響する可能性があります。
ただし、今回のような予防的なサービス停止を、直ちに信用低下と結びつけることは適切ではありません。
むしろ、重大な問題を把握した際に迅速に対応し、利用者へ適切に説明することは、信頼を維持するうえで重要です。
金融機関の評価では、障害が発生したかどうかだけでなく、問題発生時にどのような対応を取ったかも重要になります。
利用者が知っておきたい注意点
今回のような問題が発生した場合、金融サービスの利用者にも注意が必要です。
まず、サービス停止や再開に関する情報は、金融機関の公式発表で確認することが基本です。
特に注意したいのが、システム障害やセキュリティー問題に便乗したフィッシング詐欺です。
攻撃者が金融機関を装い、緊急の本人確認やパスワード変更を求める偽メールを送信する可能性があります。
利用者は、メールやSMSに記載されたリンクを安易に開かず、公式アプリやあらかじめ確認した正規のサイトから情報を確認することが重要です。
また、住宅ローンや証券取引など期限が関係する手続きについては、代替手段の有無を金融機関に確認する必要があります。
結論
今回のPHPの脆弱性問題は、金融機関のデジタルサービスが多様なソフトウェアによって支えられていることを改めて示しました。
金融機関では、預金や決済を管理する中核システムだけでなく、口座開設や住宅ローン審査などの周辺システムも顧客にとって重要な役割を担っています。
今後、金融サービスのデジタル化がさらに進めば、システムの安全性と事業継続性の重要性は一段と高まります。
金融機関に求められるのは、障害や脆弱性を完全になくすことだけではありません。
問題が発生することを前提に、影響を最小限に抑え、迅速に復旧できる体制を整えることです。
そして、そのためには情報システム部門だけでなく、経営陣、リスク管理部門、内部監査部門が連携する必要があります。
金融機関のデジタル化は、利便性と効率性を高める一方で、新しい経営リスクも生み出しています。
今回の問題は、金融インフラの安全性を支えるために、技術と経営管理の両面から対策を進める必要があることを示しているのです。
参考
日本経済新聞 2026年10月22日 プログラム言語「PHP」欠陥、世界でサイト停止 AIが脆弱性発見
日本経済新聞 2026年10月22日 PHP欠陥、銀行や通信でもサービス停止広がる みずほ銀など一部再開