要点
- GMOあおぞらネット銀行は、外部からの不正な通信を検知し、他のサービスとつなぐ「銀行API」を2度止めた。
- 同行は、個人情報の漏えいも不正な資金流出も起きていないと発表している。
- 止まった間は、同行を使う連携サービスの一部で入金や振込ができなかった。今後も止まる可能性があると同行は述べている。
何が起きたか
GMOあおぞらネット銀行の告知によると、2026年11月10日の夜、銀行API接続基盤の一部に外部から不正な通信があった。同行はこれを検知し、予防措置として銀行APIサービスを止めた。
API（アプリ同士をつなぐ窓口）は、会計ソフトや暗号資産の取引所などが、銀行口座と情報をやり取りするときに使う。
同行の発表による経過は次のとおりである（日本時間）。
- 11月10日 20時30分時点の告知: 不正な通信を検知したため、予防措置としてAPIサービスを一時停止中と案内（後の案内では、停止は20時42分から）
- 11月10日 22時30分: 不正な通信が収まったことを確認し、再開
- 11月11日 1時2分: 再び不正な通信を検知し、予防的に再停止
- 11月11日 6時25分: 安全性を確認し、再開
調査中・不明な点も多い。告知には、不正な通信の中身、攻撃の手口、侵入経路、送り元などは書かれていない。「不正な通信」が何を指すのかは、現時点で分からない。漏えいや不正送金が「ない」という点も、同行の現時点の発表である。
ITmedia NEWS は、暗号資産取引所の Binance Japan と Coincheck で、同行経由の日本円入金が一時使えなかったと報じた。クラウド会計の freee の「freee振込」も一時停止したという。これは報道による情報で、同行の告知では確認していない。
同行は、監視体制を維持し、予防措置として一部サービスを再び止める可能性があるとしている。
日本の利用者への影響
影響を受けたのは、同行の銀行APIを使う法人と、その連携サービスの利用者である。同行の告知は、これらの人に不便と迷惑がかかったとしている。法人のAPI利用者には、個別の連絡とメールが送られたという。
同行の口座を持つ一般の利用者に、操作を求める案内は、告知には載っていない。個人情報の漏えいや不正送金は、同行によれば起きていない。
今すぐやること
- 連携サービスを使っている人は、11月10日夜から11日朝の入金・振込・残高取得の履歴を見直す。失敗や遅れが出ていないか確かめる。
- 事業者は、その時間帯に実行した振込や入金確認が、二重になっていないか、抜けていないかを照合する。
- 身に覚えのない取引や残高の動きがないか、同行のアプリや明細で確かめる。見つけたら、同行に連絡する。
- 連携サービスや同行からの案内メールを確認する。あわせて、同行を名乗る偽のメールやSMSに注意する。リンクはたどらず、公式のアプリやサイトから入る。
- 今後も止まる可能性があるため、急ぎの入金や支払いは、別の手段も用意しておく。
背景
銀行APIは、会計や資金移動を自動にする便利な仕組みだが、外部に開いた窓口でもある。窓口が止まれば、連携する多くのサービスが一緒に止まる。今回、同行は不正な通信を検知した時点で、予防的に止めたと説明している。
同行は、世界的なサイバー攻撃の増加を受けて監視を続けるとしている。2026年5月には、マネーフォワードが GitHub への不正アクセスを受けて、口座連携を一時停止した例もある。ただし、今回の件との関係は確認されていない。
技術者向けの詳細
- 不正な通信の検知先: 銀行API接続基盤の一部（11/10 20:30 時点の告知による）。停止したのは銀行APIサービス
- 停止: 11/10 20:42 から 22:30、11/11 1:02 から 6:25（日本時間）
- 原因の詳細・攻撃手口・侵入経路: 未公表
- 漏えい・不正送金: 発生していないと同行が発表
- API利用事業者は、停止時間帯のリクエストの失敗やタイムアウトのログと、再試行による重複処理がないかを確かめる。
- 再停止の可能性が示されているため、API障害時の再試行の回数や間隔、利用者への通知の流れを見直しておく。
- 続報は同行のお知らせを確認する。