住友生命の委託先への不正アクセス｜公表と続報のまとめ

何が起きたか

2026年11月9日、住友生命は、業務を委託しているNTTデータのシステムが第三者の不正アクセスを受け、客の情報が漏えいしたと公表しました（住友生命の2026年11月9日の発表）。

• 11月2日に委託先で不正アクセスが確認され、同じ日に住友生命に報告がありました。その後のアクセスログの調査で漏えいを確認しています
• 対象は、健康プログラムを単独で使える「住友生命Vitality体験版・企業型」「Vitalityスマート（福利厚生タイプを含む）」の今の利用者と過去の利用者、約8万名です
• 情報は氏名・住所・電話番号・生年月日・メールアドレス・クレジットカード番号（一部を伏せたもの）のいずれかです。カード番号を含むのは約1,000名です
• 保険の契約の情報、保険に付いた Vitality の情報、歩数などのデータは含まれないとしています
• 原因と詳しい経緯は委託先が調べている途中です

会社の対応

• 委託先がアクセスを遮断しました。11月3日から新規の申し込み、解約・カードの変更などの手続き、福利厚生タイプの団体向けのページを止めています。再開の時期は未定です
• 対象の人を特定してから案内し、11月9日から専用の窓口を開いたとしています
• 不正な利用やインターネット上への公開は確認されていないとしています。再発の防止は委託先と進めるとしています

この事例から中小企業が学べること

• 福利厚生や健康づくりのサービスでも、社員の氏名・連絡先・カード番号が外部の会社に預けられています。どのサービスに社員の情報を渡しているかを書き出す
• 委託先が持つカード番号は、伏せた形かどうか、持たなくて済まないかを確かめる
• 委託先から事故の連絡を受けたら、その日のうちに自社の手続きを止める判断ができるよう、連絡の順番を決めておく