損害保険ジャパンは2026年10月7日、事業者向けの通信機能付きドライブレコーダーサービス「SMILING ROAD（スマイリングロード）」の問い合わせ対応に利用している外部委託先、スカラコミュニケーションズのサーバーが第三者による不正アクセスを受け、顧客情報が漏えいした可能性があると発表した。漏えいの可能性があるのは、問い合わせ単位の延べ件数（同じ人の複数回の問い合わせを重複して数えた件数）で約6万件にあたり、氏名や連絡先のほか、ドライバーIDや運転アラートの情報も対象となっている。今回の不正アクセスは、スカラコミュニケーションズが提供する、よくある質問（FAQ）を管理・公開するシステム「i-ask」で起きたもので、同じ事案ではすでに大和証券とシチズン時計が影響を公表している。
10月2日夜から3日朝にかけて委託先のFAQシステムに不正アクセス
損保ジャパンは、主にSMILING ROADを導入している企業の従業員からの問い合わせやよくある質問への対応に、スカラコミュニケーションズが提供するサービスを利用していた。損保ジャパンは2026年10月3日、スカラコミュニケーションズから、同社サーバーへの不正アクセスにより損保ジャパンの顧客情報が漏えいした可能性があるとの連絡を受けた。
不正アクセスがあったのは、10月2日20時33分ごろから10月3日8時1分ごろにかけてである。スカラコミュニケーションズの発表では、第三者がi-askの管理サイトに不正にログインして不正なプログラムを設置し、同じサーバー上で稼働していた利用企業（最大5社）のデータベースから問い合わせ情報を取得した可能性があるとしている。漏えいした可能性がある問い合わせ情報は、5社分を合わせて最大71万3,126件（延べ件数）である。
損保ジャパンは、自社のシステムへの不正アクセスは確認されていないとしている。現時点で、顧客情報の不正利用やインターネット上での公開・拡散も確認されていないという。
連絡先に加え、ドライバーIDや運転アラートの情報も
漏えいした可能性がある情報は、氏名、電話番号、住所、メールアドレスに加え、法人名・部門名・業種・代理店名などの勤務先に関する情報、ドライバーID、運転アラートに関する情報（種別・発生日時）、ドライブレコーダーのシリアル番号などの機器情報、申込番号、問い合わせの件名と本文である。ドライバーIDは、サービスを利用する事業者がドライバーごとに割り振り、運転の振り返りや安全運転指導に使うIDだという。金融機関の口座、クレジットカード、マイナンバーカードの情報は含まれていない。
約6万件は延べ件数のため、実際の人数は明らかにされていない。損保ジャパンは対象の顧客に個別に連絡するとしている。
問い合わせ内容を悪用した詐欺に注意
今回の情報で注意したいのは、氏名や連絡先だけでなく、勤務先や問い合わせの中身まで含まれている点である。損保ジャパンも、氏名や問い合わせ内容などを使い、同社や関係者を装った電話やメールによる詐欺が行われるおそれがあるとして注意を呼びかけている。過去に実際にした問い合わせの内容に触れられると、受け取った側は本物の連絡だと信じてしまうおそれがある。SMILING ROADを導入している企業では、ドライバーや車両管理の担当者に、不審な連絡のリンクや添付ファイルを開かず、正規の窓口に確認するよう周知しておきたい。
企業の情報システム担当者にとっては、委託先管理の見直しを考えるきっかけにもなる。問い合わせ対応やFAQのように、外部のサービスに任せている業務でも、顧客の個人情報や取引の中身が日々蓄積されていく。スカラコミュニケーションズは、管理サイトへの不正ログインが侵入の起点になったとしており、再発防止策として管理者認証の強化（パスワードに加えて別の確認手段を求める多要素認証の導入など）や環境間の分離を挙げている。自社が使う外部サービスについても、管理画面のログインに多要素認証がかかっているか、ほかの利用企業と同じ環境に置かれていないか、保存しているデータを必要な期間に絞れているかを、契約時だけでなく定期的に確認しておきたい。
同じ手口に、自社は備えられていますか？