【インシデント速報】2026年8月1日｜アフラック438万人漏えい・いえらぶCLOUD不正アクセス・ABCテレビ委託先

2026年8月2日 2026年8月2日

secure

【インシデント速報】2026年8月1日｜アフラック438万人漏えいの調査結果・いえらぶCLOUD不正アクセス・ABCテレビ委託先事案

今日のポイント（3行以内）:
アフラックが約438万人分の情報漏えい調査結果を公表。原因はシステムへの不正アクセスで、口座情報も一部含む。
自社が使うクラウドサービス（SaaS）と業務委託先も攻撃の入口になる。まずは「誰のアカウントが、どのサービスに、どこまでアクセスできるか」の棚卸しを。

アフラック生命保険｜約438万人分の情報漏えい調査結果と再発防止策を公表

アフラック生命保険は2026年7月31日、6月30日に公表していたシステムへの不正アクセス事案について、調査結果と再発防止策を金融庁に報告したと明らかにした。漏えいの対象は顧客約438万人分で、うち約23万人については保険料の振替口座情報も含まれる。

漏えいした可能性のある項目は、氏名・生年月日・性別・住所・電話番号・証券番号・保障内容・保険料振替口座情報など。マイナンバーとクレジットカード情報は含まれていないとしている。追加調査の結果、最初の不正アクセスは当初発表の6月15日ではなく6月10日で、6月25日までに複数回にわたり不正アクセスを受けていたことが判明した。

同社は対象顧客への個別通知を7月10日から順次発送し、口座情報が含まれる顧客を優先している。現時点で漏えい情報の不正利用は確認されていない。

中小企業への影響

大手保険会社でも、侵入から発覚・全容把握まで長い時間がかかり、当初発表より被害範囲が広がるのが実態。人員の限られる中小企業では気づくのがさらに遅れやすい。「最初の侵入日をあとから特定できる記録（ログ）が残っているか」が、被害範囲の確定と顧客への説明責任を左右する。

推奨対応

顧客の口座情報・連絡先を扱うシステムのアクセスログを、最低でも90日以上保存する設定になっているか確認する
顧客・取引先の個人情報を持つサーバーやクラウドに、多要素認証（MFA）を必須にする
「漏えいが起きたら誰に・いつ・どう連絡するか」の初動手順を1枚にまとめ、通知の優先順位（口座・カード情報を持つ相手を先に）まで決めておく

🔍 この企業のインシデント詳細・続報を読む →

いえらぶGROUP｜クラウドサービス「いえらぶCLOUD」への不正アクセスで関係者情報の流出を確認

不動産業向けクラウドサービス「いえらぶCLOUD」を運営するいえらぶGROUPは、同サービスへの不正アクセスにより、登録されていた住宅検討者などの個人情報が外部に流出したことを確認したと公表した。発端は特定の利用アカウントを悪用した不正アクセスで、全国の不動産会社が利用する基盤サービスであるため影響が広範囲に及んでいる。

ダークウェブ上では、攻撃者とみられる人物が大手不動産ポータル経由の住宅検討者情報として約240万件（ユニークなメールアドレス約97万件）を販売していると主張している。流出した可能性があるのは氏名・メールアドレス・電話番号・住所・希望物件条件など。クレジットカード情報やマイナンバーなど要配慮個人情報の流出は確認されていないとしている。利用企業からも影響の報告が相次いでいる。

中小企業への影響

これは「自社が導入したクラウドサービス側」が破られた事案。中小の不動産会社にとっては、自社に落ち度がなくても、顧客に預かった情報がベンダー経由で流出しうることを示している。SaaSに顧客情報を預けている企業（不動産に限らずEC・予約・顧客管理など）はすべて他人事ではない。

推奨対応

利用中のSaaS・クラウドサービスを一覧化し、それぞれに「どの顧客情報を、何件」預けているか把握する
各サービスのログインに多要素認証を設定し、退職者・異動者のアカウントを速やかに削除する運用にする
契約書やSLAで、ベンダー側で漏えいが起きた際の通知義務・対応範囲・自社が負う説明責任を事前に確認する

📌 このインシデントは継続追跡中です（詳細記事は順次公開予定）

朝日放送テレビ（ABCテレビ）｜グループ会社アイネックスへの不正アクセスで委託情報が閲覧された可能性

朝日放送テレビ（ABCテレビ）は、グループ会社である株式会社アイネックスにおいて、従業員アカウントおよびクラウドサービスへの第三者による不正アクセスが判明したと公表した。ABCテレビがアイネックスに業務委託していた関連情報が、第三者に閲覧された可能性があるという。

きっかけはアイネックス従業員1人のアカウントからの不審なメール送信の確認で、社内調査により、アカウントへの不正ログインとクラウドサービスへの不正アクセスがあった事実が判明した。同社は直ちにパスワード変更や強制ログアウトなどの措置を講じたうえで、個人情報保護委員会・監督官庁・放送セキュリティセンター（SARC）へ報告した。

中小企業への影響

侵入されたのは大手放送局ではなく、業務を請け負うグループ会社の従業員1人のアカウント。委託先・下請けとして大企業の情報を預かる中小企業にとっては、自社の1アカウントの乗っ取りが取引先全体の信用問題に直結することを示す。逆に発注側の立場でも、委託先のセキュリティ水準が自社のリスクになる。

推奨対応

取引先・委託元から預かっているデータを、社内の誰がアクセスできるか洗い出し、不要な権限を外す
メールアカウントに多要素認証を設定し、「身に覚えのない送信メール」を早期に検知できる体制（送信ログの確認・従業員への周知）を整える
委託先を使う側は、契約時に相手のMFA導入状況やインシデント時の連絡フローを確認する

🔍 この企業のインシデント詳細・続報を読む →

編集部まとめ

今回の3件に共通するのは「アカウントの乗っ取り」と「自社の外（クラウド・委託先）が入口になった」という2点。中小企業がまず着手すべきは、重要情報を扱うすべてのアカウントへの多要素認証の徹底と、SaaS・委託先の棚卸しだ。自社が守りを固めても、預け先が破られれば顧客への説明責任は自社に残る。契約時の通知義務の確認までを一連の対策として進めたい。