ソニー少額短期保険のテスト環境への不正アクセス｜公表と続報のまとめ

何が起きたか

2026年10月20日〜21日、ソニー少額短期保険が社内で使う契約管理システムの開発・テスト環境に、外部から不正なアクセスがありました。11月5日の発表によると、この環境にテストデータとして入っていた情報が取得され、その中に、同社と業務委託先・再委託先の従業員（退職した人を含む）の氏名・性別・生年月日・メールアドレス・郵便番号・住所・電話番号の108件が含まれていました。クレジットカード・口座の情報・マイナンバーは含まれません。本番の環境への攻撃は成り立っておらず、顧客の個人情報が取得された事実は確認されていないとしています。原因は、同社のWebシステムにあった脆弱性を悪用されたことと判断しています（ソニー少額短期保険の2026年11月5日の発表）。

会社の対応

• 不正アクセスを確かめた後、対象の環境へのアクセスを遮断した
• 10月21日に関東財務局へ届け出た（個人情報保護委員会への報告を兼ねる）
• 対象の人に順次知らせ、連絡が難しい人には公表で代えるとしています
• 申し込み・マイページなど顧客向けのサービスに影響はないとしています

この事例から中小企業が学べること

• 開発・テストの環境も、本番と同じく外から入れる口を絞り、修正版を当てる
• テストデータに社員や本物の連絡先を入れず、架空のデータを使う決まりを作る
• 使い終わった開発・テストの環境とデータを消す
• 委託先の社員の情報も自社の預かる個人情報として扱い、事故のときの連絡先を持っておく