本日は3本を取り上げます。アフラック生命の438万人情報漏えいは金融庁の報告徴求命令と顧客への書面通知という新たな段階に入り、便乗詐欺への警戒が必要です。生成AIで不正プログラムを自作した高校生の逮捕は、攻撃のハードルが下がった現実を示しています。リコー製複合機の脆弱性は、社内の「見落としがちな機器」の点検機会にしてください。
NEWS 01
アフラック生命保険 ／ 金融庁 ｜ 2026年7月1日発表
アフラック情報漏えいで金融庁が報告徴求命令、対象顧客438万人への書面通知が7月10日から開始
約438万人分の顧客情報漏えいが判明したアフラック生命保険への不正アクセス事案で、同社は7月1日、金融庁から報告徴求命令を6月30日付で受領したと発表しました。報告徴求命令は保険業法に基づく行政手続きで、業務改善命令や業務停止命令より前の段階に位置づけられます。同社は不正アクセスの手口・事実関係、顧客への対応状況、原因分析、再発防止策の4点について報告を求められています。
この事案は、6月15日から25日にかけて契約者向けサイト関連システムが複数回の不正アクセスを受けたもので、漏えいした情報には氏名・生年月日・住所・電話番号・証券番号・保障内容が含まれ、約23万人分については保険料振替口座の情報も対象です。マイナンバーとクレジットカード情報は含まれていません。同社は7月10日から、口座情報を含む顧客を優先して対象者への書面通知を順次発送しており、同日時点で漏えい情報の不正利用は確認されていないとしています。
▌中小企業への影響
従業員や経営者本人がアフラックの契約者であるケースは多く、今後「アフラックを名乗る電話・SMS・メール」を使った便乗詐欺の発生が想定されます。大規模漏えいの後には、漏えい通知を装って口座情報やパスワードを聞き出す二次攻撃が定番化しています。また本件は、漏えい発生から行政対応・本人通知までの流れを示す実例であり、自社が漏えいを起こした場合に何が起きるかを知る材料になります。
▌推奨対応
- →社内に注意喚起を出す：アフラックからの正規連絡は書面が基本。電話やSMSで口座変更・暗証番号・パスワードを求められたら詐欺を疑い、公式窓口にかけ直す
- →契約者は書面通知の内容と公式サイトのFAQで対象範囲を確認する。心当たりのない手続き通知が届いた場合は同社に照会する
- →自社の漏えい時対応を確認する：個人情報保護法では、漏えい発覚から速報を3〜5日以内、確報を30日以内（不正目的の場合は60日以内）に個人情報保護委員会へ報告する義務がある。誰が・何を・いつまでに行うか、手順書があるか点検する
NEWS 02
警視庁 ／ 各社報道 ｜ 2026年7月6日
生成AIで不正プログラムを自作、動画配信サービスの会員4万6,812人を勝手に退会させた高校生を逮捕
警視庁サイバー犯罪対策課は7月6日までに、動画配信サービス「バンダイチャンネル」（バンダイナムコフィルムワークス運営）のサーバーに虚偽の情報を送信し、約4万6,812アカウントを無断で退会処理したとして、埼玉県の高校1年の男子生徒（15）を偽計業務妨害の疑いで逮捕したと報じられました。犯行は2025年11月、生徒が中学3年の時のものです。
報道によると、生徒は同サービスの通信内容を解析してシステムの脆弱性を見つけ、対話型AI「ChatGPT」を利用して不正プログラムを自作。運営会社がアクセス遮断の対策を取った後も、IPアドレスを約30回変更して退会処理を続けたとされています。サービスは一時停止に追い込まれました。
▌中小企業への影響
注目すべきは「15歳が生成AIを使って攻撃プログラムを作れた」という点です。かつて専門知識が必要だった攻撃の入口が大きく下がっており、自社のECサイト・会員サイト・予約システムも、興味本位の攻撃者を含む幅広い層の標的になり得ます。会員の無断退会・ポイントの不正操作・大量の不正リクエストによるサービス停止は、規模の小さいサイトでも起こります。
▌推奨対応
- →自社の会員サイト・ECサイトで、退会・購入・登録変更などの重要操作がログイン済みセッションの検証を経ているか、開発会社に確認する
- →同一IPや短時間の大量リクエストを制限するレート制限、WAF（Webアプリケーションファイアウォール）の導入を検討する。クラウド型WAFは月数千円から利用できる
- →会員数や取扱情報が多いサイトは、年1回の脆弱性診断を予算化する
- →攻撃を検知した際にアクセス元を遮断するだけで済ませない。本件のようにIPアドレスを変えて攻撃が続くため、脆弱性そのものの修正まで行う
NEWS 03
JVN ／ IPA・JPCERT/CC ｜ 2026年6月30日公表
リコー製レーザープリンター・複合機の管理機能「Web Image Monitor」に複数の脆弱性
IPAとJPCERT/CCが運営する脆弱性情報サイトJVNは6月30日、リコー製の複数のレーザープリンターおよび複合機（MFP）に搭載されているWeb管理機能「Web Image Monitor」の脆弱性を公表しました。反射型クロスサイトスクリプティング（XSS）の脆弱性2件（JVN#48718197、JVN#20474768）と、オープンリダイレクトの脆弱性（JVN#65118274）が確認されています。
XSSの脆弱性（CVE-2026-56809ほか）はCVSS基本値5.1と評価されており、細工されたリンクを開くと、Web Image Monitorにアクセスしている利用者のブラウザ上で任意のスクリプトを実行される可能性があります。オープンリダイレクトは、正規の管理画面URLを装ってフィッシングサイトへ誘導する足がかりに悪用され得ます。リコーは対象機種のファームウェア更新を案内しています。
確認手順の目安
Web Image Monitorは、ブラウザで複合機のIPアドレスを開くと表示される管理画面です。自社の複合機がリコー製であれば、型番をリコーの脆弱性情報ページで照合し、該当する場合はファームウェアを更新してください。
▌中小企業への影響
リコー製複合機は中小企業のオフィスに広く導入されています。複合機はPCと違って「セキュリティ更新をする機器」という意識を持たれにくく、導入時のまま放置されがちです。複合機にはアドレス帳（取引先のメールアドレス・FAX番号）やスキャンデータが保存されており、管理画面を悪用されると情報窃取の入口になります。
▌推奨対応
- →社内の複合機・プリンターのメーカーと型番を棚卸しし、リコー製が対象機種に該当するか確認する
- →該当機種はファームウェアを最新版に更新する（保守契約がある場合は販売店・保守会社に更新を依頼できる）
- →複合機の管理画面がインターネット側から直接アクセスできる状態になっていないか確認し、社内ネットワークからのみ接続できるよう制限する
- →管理者パスワードが初期値のままなら、この機会に変更する
編集部まとめ
本日の3本はいずれも「自社に置き換える」視点で読んでください。アフラックの件は漏えい後の行政対応と便乗詐欺という二つの教訓を含みます。高校生の逮捕事案は、生成AIの普及で攻撃者の裾野が広がった現実を示しました。複合機の脆弱性は、PC以外の機器も更新対象だという基本の再確認です。今週はまず、社内への便乗詐欺注意喚起と複合機の型番確認から着手してください。
参考情報
secure
