【セキュリティニュース】2026年7月6日号｜アフラック438万人漏えい・VPN脆弱性悪用・ボイスフィッシング

アフラックの保険に加入している役員・従業員は、自身の情報が漏えいしている可能性があります。今後、漏えい情報を悪用した「アフラックを名乗る」フィッシングメールや不審電話が増えることが予想されます。保障内容や口座情報を把握した上での標的型詐欺は見破りにくく、経理担当者への注意喚起が必要です。

• アフラック契約者は公式サイトの案内を確認する。同社を名乗るメール・SMS・電話で口座やパスワードの変更を求められても応じない
• 社内に「保険会社を名乗る連絡は折り返し公式窓口へかけ直す」ルールを周知する
• 振替口座情報が漏えいした対象者は、口座の入出金明細を当面の間こまめに確認する
• 自社が顧客情報を預かる立場の場合、外部公開システムから基幹データへの経路が分離されているか点検する

Check Point製のファイアウォール・VPN機器をリモートアクセス用途で使っている場合、IKEv1構成のままだと認証を突破されて社内ネットワークに直接侵入されます。VPN経由の侵入はランサムウェア被害の最多経路であり、放置は事業停止に直結します。保守業者任せで構成を把握していない企業ほど危険です。

• 自社のVPN機器のメーカーと機種を確認する。Check Point製の場合は保守業者にCVE-2026-50751への対応状況を今週中に確認する
• 開発元提供のHotfix（修正プログラム）を適用する
• IKEv1の利用を無効化し、旧式のリモートアクセスクライアントのサポートを停止する
• 5月上旬以降のVPN接続ログを確認し、身に覚えのない接続元がないか調査する。不審な形跡があれば侵害調査を実施する

本件は「グループ内の1社への攻撃が、子会社データにも波及した」事例です。グループ会社・関連会社とサーバやネットワークを共有している場合、自社の対策だけでは防げません。また、感染確認（5月9日）から全容公表まで1カ月以上を要しており、被害調査には相応の時間とコストがかかることも示しています。

• グループ会社・関連会社と共有しているサーバ・ネットワークの範囲を棚卸しする
• 共有環境がある場合、相手側のセキュリティ対策状況（パッチ適用・バックアップ・アクセス制御）を確認する
• ランサムウェア感染時の初動手順（ネットワーク遮断・専門家への連絡先・監督官庁への報告要否）を1枚にまとめて備えておく

標的は法人口座であり、経理担当者が直接狙われます。遠隔操作ソフトを使う手口では、送金操作が自社の端末から行われるため銀行側の不正検知をすり抜けやすく、被害額が大きくなる傾向があります。「銀行からの電話」を疑わない従業員が1人いれば成立する攻撃です。

• 「銀行がID・パスワード・ワンタイムパスワードを電話で尋ねることはない」ことを経理担当者に周知する
• 銀行を名乗る電話は一度切り、取引店の代表番号にかけ直して事実確認する運用を徹底する
• 電話の指示でソフトウェア（遠隔操作ツール等）をインストールしない。求められた時点で詐欺と判断する
• ネットバンキングの振込限度額を業務上必要な最小額に設定し、承認者を分ける（作成者と承認者の2名体制）