両社が業務委託している外部業者が不正アクセスを受けたのが原因とみられる。