KDDIとライフネット生命保険は2026年10月30日、ライフネット生命のシステムのうちKDDIと連携するシステムが不正アクセスを受け、KDDIのシステムが保有する顧客情報の一部が外部に漏えいした可能性があると発表した。漏えいした可能性があるのは氏名や郵便番号、電話番号、メールアドレスなどで、件数は合計2万2,541件である。パスワードやクレジットカード情報、保険の契約に関する情報は含まれていないとしている。「auの生命ほけん」では、申し込みの受け付けを含む一部の機能をメンテナンスしている。
連携システムの脆弱性を通じて取得された可能性
発表によると、ライフネット生命は2026年10月23日、KDDIと連携するシステム（以下、連携システム）への不正アクセスを検知した。同日にKDDIへ報告し、被害の拡大を防ぐため、不正アクセスの疑いがある箇所を特定して技術的な防御措置をとった。報告を受けたKDDIは翌日、連携システムから自社システムへのアクセス経路を遮断した。
これまでの調査で、悪意のある第三者が連携システムの一部機能にある脆弱性（セキュリティ上の弱点）を通じて、KDDIのシステムが保有する顧客情報の一部を取得した可能性があることが分かった。不正アクセスは連携の範囲に限られており、KDDIの通信やサービスなどの設備と、ライフネット生命のほかのシステムへの影響はないという。
ライフネット生命は、連携システムを使う「auの生命ほけん」について、申し込みの受け付けを含む一部の機能をメンテナンスしている。
漏えいした可能性のある情報
漏えいした可能性がある項目と件数は次のとおり。
- 氏名・郵便番号・電話番号・メールアドレス・会員識別子（会員を見分けるための情報）：4,524件
- 氏名・郵便番号・電話番号・会員識別子：226件
- 氏名・郵便番号・メールアドレス・会員識別子：8,434件
- 氏名・郵便番号・会員識別子：3,662件
- メールアドレス・会員識別子：4,888件
- 会員識別子：807件
一部の顧客については、性別と生年月日も漏えいした可能性がある。パスワード、クレジットカード情報、口座情報、運転免許証などの本人確認情報は含まれていない。ライフネット生命が保有する保険契約の情報も含まれていないという。
現時点で、漏えいした可能性のある情報を使った不正利用などの二次被害は確認されていない。対象の顧客には順次個別に案内する。両社は、対象となっているメールアドレスや電話番号に届く不審なメールやSMS、電話に注意するよう呼びかけており、パスワードや暗証番号を尋ねることはないとしている。調査は続いており、影響範囲の全容把握と再発防止策の策定を進めている。
自社の設備に影響がなくても、連携先から情報が漏れるおそれ
今回の事案では、KDDIの通信やサービスなどの設備への影響はないとされている。それでも、提携先であるライフネット生命の連携システムに脆弱性があったことで、KDDIの顧客情報が取得された可能性がある。システム同士をつなぐ連携は、便利な半面、相手側の弱点がそのまま自社データへの入り口になり得る。
今回は、ライフネット生命が検知した翌日にKDDIが連携の経路を遮断している。提携や業務委託でシステムをつないでいる企業は、連携先がアクセスできる情報とその範囲、異常があったときに連携をすぐ切れるのかを確かめておきたい。連携先に渡す情報を必要な範囲に絞ることも、被害を小さくする手立てになる。
同じ手口に、自社は備えられていますか？