一般社団法人生命保険協会は2026年7月29日、同協会が運営する「生命保険契約照会システム」を利用した人の一部情報が、外部から特定の操作を行うことで閲覧可能な状態になっていたと発表した。対象となる可能性があるのは約3万7,000件。氏名や住所などの登録情報が含まれるが、保険契約の内容や銀行口座の情報は含まれていないという。協会は安全性が確認できるまで、システムを通じたWeb申請を停止している。
何が起きたのか
生命保険契約照会システムは、家族が亡くなったり認知判断能力が低下したりした際に、その人が生命保険協会の加盟会社と契約を結んでいるかどうかを一括して照会できる「生命保険契約照会制度」の申請受付を担う仕組みである。今回問題となったのは、この照会のためにシステムへアカウントを作成した利用者の登録情報だ。
協会の発表によると、閲覧可能な状態になっていたのは、アカウント作成者の氏名、住所、電話番号、メールアドレスで、対象は約3万7,000件にのぼる可能性がある。一方で、照会の対象となる保険契約の内容や、手数料の決済に用いる銀行口座の情報は含まれていないとしている。
発覚の端緒は、外部のセキュリティ専門機関からの指摘だった。協会は2026年7月22日にこの指摘を受け、調査の結果、特定の操作を行うと本来アクセスできないはずの情報に外部から到達できる状態だったことを確認した。報道によると、第三者による不正な取得や不正利用は現時点で確認されていない。閲覧可能になっていた原因や、その状態が続いていた期間については調査中としている。
「ランサムウェアではない」という位置づけ
今回の事案は、外部からの攻撃でシステムが暗号化され、身代金を要求されるようなランサムウェア被害とは性質が異なる。報道でも、暗号化を伴う攻撃ではなく、システムの作りに起因して本来見えてはならない情報が外部から参照できる状態になっていた点が指摘されている。いわゆる不正アクセスによってデータが持ち出されたことが確認された事案ではなく、「閲覧可能な状態になっていた」という、利用者の権限に応じてアクセス範囲を制限する仕組み（アクセス制御）の不備に分類される問題だ。
協会は対応として、安全性が確認できるまでシステム経由でのWeb申請を停止し、制度の利用を希望する人には書面での申請を案内している。復旧の時期は、原因調査と対策の状況を踏まえて判断されるとみられる。
保障を扱う制度だからこそ問われる情報管理
この照会制度は、遺族や家族が「故人に生命保険契約があったかどうか分からない」といった困りごとを解決するために設けられた、いわば人生の節目に頼られる仕組みである。利用者はまさに保障を必要とする局面でアカウントを作り、氏名や住所、連絡先を預ける。その連絡先情報が外部から閲覧可能な状態だったという事実は、制度への信頼という観点で軽視できない。
技術的に見れば、今回の問題は外部からの高度な攻撃ではなく、システムのアクセス制御が想定通りに機能していなかったことに起因するとみられる。攻撃を受けたかどうかにかかわらず、「特定の操作で外部から情報に到達できる」状態は、Webアプリケーションで繰り返し指摘されてきた典型的な弱点の一つだ。個人情報を扱うシステムでは、権限のない利用者が他人のデータにたどり着けないようになっているかを、設計段階だけでなく運用中も継続的に検証する必要があることを、あらためて示す事案といえる。企業や団体にとっては、自組織が運営するシステムで「本来見えないはずの情報が、URLの改変やパラメータの操作で見えてしまわないか」を点検する契機になるだろう。