ライフネット生命の KDDI 連携システムへの不正アクセス｜公表のまとめ

何が起きたか

2026年10月30日、ライフネット生命と KDDI は連名で、ライフネット生命の KDDI と連携するシステムの一部の機能にあった脆弱性を通じて、第三者が KDDI 側のシステムの顧客情報を取得したおそれがあると公表しました（ライフネット生命・KDDI の2026年10月30日の発表）。 ライフネット生命は10月23日に検知し、疑われる箇所に防御の措置をとったとしています。 対象は KDDI の顧客の情報22,541件で、氏名・郵便番号・電話番号・メールアドレス・会員の識別子などの組み合わせです（一部は性別・生年月日も）。パスワード・カード・口座・本人確認書類・保険契約の情報は含まないとしています。

会社の対応

• KDDI は10月24日に、ライフネット生命のシステムからの経路を遮断した
• ライフネット生命は「auの生命ほけん」の申し込みの受付など一部の機能を止め、再発防止策をまとめているとしている
• 当局へ報告し、対象の人に順に個別に連絡するとしている

この事例から中小企業が学べること

• 取引先とつないでいるシステム（API 連携）を一覧にし、相手側から自社の情報がどこまで見えるかを確かめる
• 連携の経路をすぐ止められるよう、手順と判断する人を決めておく
• 連携先と、脆弱性の修正や事故の連絡の決まりを契約に入れておく