【インシデント速報】2026年8月1日｜アフラック最終報告・生保協会・名鉄協商
secure【インシデント速報】2026年8月1日｜アフラック最終報告・生保協会・名鉄協商
生命保険業界で情報漏えいが相次ぎ、アフラックは約438万人規模の不正アクセスについて最終調査結果と再発防止策を金融庁へ報告した。共通する弱点は「本来アクセスできないはずのデータに、想定外の操作で到達できてしまう」アクセス制御の甘さ。自社のシステムでも、権限のない人・想定外の操作で個人情報が見えてしまわないか、今日棚卸ししたい。
アフラック生命保険｜約438万人分の不正アクセスで最終調査結果と再発防止策を公表
アフラック生命保険は、契約者向けサイト「アフラック よりそうネット」等への第三者による不正アクセス事案について、調査結果と再発防止策をまとめ、7月31日に金融庁へ報告したと公表した。6月30日の第一報から約1カ月をかけた最終的な調査結果にあたる。
漏えいの可能性がある個人情報は顧客約438万人分にのぼり、うち約23万人分は保険料の振替口座情報も対象に含まれる。漏えいした可能性のある情報は氏名・生年月日・性別・住所・電話番号・証券番号・保障内容などで、マイナンバーおよびクレジットカード情報は含まれていないことが確認されている。不正アクセスは6月中旬から6月25日にかけて複数回行われていた。調査では、当該システムにおいて攻撃で悪用されたアクセスやデータ照会の手口に対する制御が不十分であった点が問題として挙げられている。
中小企業への影響
約438万人という規模は大企業ならではだが、根本原因の「想定外の操作でデータ照会ができてしまう制御の甘さ」は規模を問わず起きる。会員サイトや顧客向けポータルを持つ企業では、正規ログイン後にIDや番号を書き換えるだけで他人の情報が見えてしまう、といった作りが典型的な穴になる。もう一つの教訓は公表の期限管理だ。金融庁への報告のように、監督官庁や取引先への報告期限を切られる業種では、初報から最終報までのスケジュールを事前に想定しておかないと後手に回る。
推奨対応
- 会員サイト・顧客ポータルで、ログイン後にパラメータ（ID・契約番号等）を書き換えて他人のデータを取得できないか（アクセス制御の不備）を点検する
- 1つのアカウントから短時間に大量のデータ照会が走った際に検知・遮断する仕組みを入れる
- 個人情報を扱う事業者として、発覚から監督官庁・本人への報告までのタイムラインをあらかじめ手順書化する
生命保険協会｜契約照会システムで約3万7,000件が外部から閲覧可能な状態に
生命保険協会は7月29日、同協会が運営する「生命保険契約照会制度」のシステムにおいて、利用者の一部情報が外部から特定の操作を行うことで閲覧可能な状態になっていたと公表した。外部のセキュリティ専門機関からの指摘を受けて判明したもので、現在はWEB申請の受付を停止している。
閲覧可能な状態にあった可能性がある情報は、利用者ベースで約3万7,000件。現時点で確認している対象情報には、生命保険契約の内容（保険会社名・契約内容・保険金額等）や保険料振替口座などの口座情報は含まれていないとしている。また、本件に起因する被害申告や情報の不正利用は確認されておらず、実際に第三者が情報を取得・悪用した痕跡も見つかっていない。契約照会制度は、亡くなった契約者や認知判断能力が低下した契約者について、家族が保険契約の有無を照会できる公共性の高い仕組みである。
中小企業への影響
攻撃を受けたのではなく「特定の操作をすると本来見えないはずの情報が見えてしまう」設定・実装の不備という点が重要だ。会員制サイトやオンライン申請フォームを外部委託や自社で構築している中小企業でも、URLの一部を書き換える・連番のパラメータを変えるといった単純な操作で他人の申請内容が表示されてしまうケースは珍しくない。今回のように、自社では気づけず外部の専門機関の指摘で発覚することが多いのも特徴で、公開前・改修後の第三者による脆弱性診断が有効に働く。
推奨対応
- 申請フォームや照会システムを新規公開・改修する前に、外部の脆弱性診断を受けて「他人のデータに到達できないか」を確認する
- URLやパラメータの値を変えるだけで別ユーザーのデータが表示されないか（アクセス制御の不備）を、既存システムでも点検する
- 問題が判明した際に、被害拡大を防ぐため該当機能を一時停止できる運用体制（受付停止の判断者・手順）を決めておく
名鉄協商｜サーバへのランサムウェア攻撃で個人情報流出の可能性が判明
名古屋鉄道グループの総合商社である名鉄協商は、同社サーバがランサムウェアによる不正アクセスを受けた事案について、個人情報が外部へ流出した可能性を否定できないことが調査で判明したと明らかにした。6月23日にサーバへの不審なアクセスを検知して一部サーバを停止し、外部の専門機関と調査を進めた結果、6月19日にさかのぼるランサムウェアの侵害痕跡が確認されている。
当初7月2日の公表時点では情報漏えいは確認されていなかったが、7月28日の続報で個人情報の外部流出の可能性が判明した。攻撃の影響で、名鉄協商パーキングのWebサイト、MKPポイントカード、駐車場サービス、カーシェアリングやカーリース会員サイトなど、個人・法人向けの複数サービスに障害や停止が生じている。
中小企業への影響
ランサムウェア被害は「まず暗号化で業務が止まり、後から情報漏えいがわかる」という二段構えで進むことが多い。名鉄協商も初報では漏えい未確認だったが、約1カ月後の調査で流出可能性が判明した。駐車場やカーシェアのように会員システムがそのまま売上に直結する事業では、システム停止が長引くほど損失が膨らむ。バックアップからの復旧計画と、暗号化されても事業を回す代替手段（手作業・別系統）の準備が事業継続を左右する。
推奨対応
- バックアップを本番ネットワークから切り離して保管し（オフライン／イミュータブル）、暗号化被害が及ばないようにする
- 基幹システムが停止した場合の代替運用（受注・出荷・会員対応を手作業で回す手順）を用意しておく
- 侵害検知後は「業務停止」と「情報漏えい調査」を並行で進め、漏えいの有無が判明するまで継続して調べる前提で対応する
編集部まとめ
今回の3件のうち2件は生命保険関連で、いずれも「本来アクセスできないはずのデータに、想定外の操作で到達できてしまう」アクセス制御の甘さが核心にある。派手な攻撃ではなく、設定・実装の穴を突かれるこの種の漏えいは、中小企業のWebシステムでこそ起こりやすい。自社のログイン後の画面や申請フォームで、パラメータを書き換えるだけで他人の情報が見えないかを点検し、公開・改修時には第三者の脆弱性診断を通したい。名鉄協商のランサム被害が示すのは、暗号化による業務停止と情報漏えいが時間差で襲ってくること。オフラインバックアップと代替運用の備えが、被害の大きさを最終的に決める。
