損害保険ジャパンは2026年11月5日、一部の自動車保険の問い合わせ・受付管理業務を委託している株式会社プレステージ・コアソリューション（以下PCS）のシステムが第三者による不正アクセスを受け、同システムに登録されていた損保ジャパンの顧客情報が外部に漏えいした可能性があると発表した。対象は契約情報や問い合わせ履歴、ロードサービスの手配履歴など約6.5万件である。クレジットカード情報は含まれておらず、現時点で不正利用などの二次被害は確認されていないとしている。
ロードサービスの受付システムが侵害された
損保ジャパンの発表によると、PCSは10月29日、同社の業務システム「PremierNet2（PN2）」に対する第三者からの不正アクセスを検知した。その後、システムへのアクセス履歴（アクセスログ）などを解析した結果、損保ジャパンの委託業務に関する個人情報が外部に持ち出された可能性が確認され、損保ジャパンは11月4日にPCSから影響範囲について報告を受けたという。
漏えいした可能性があるのは、一部の自動車保険の契約者からの問い合わせ・受付業務で管理していた情報である。PCSでは本システムの利用を停止しているが、代替システムで運用しているため、ロードサービスなどの提供に支障はないとしている。
PCSの親会社であるプレステージ・インターナショナルは11月2日、PCSが取引先企業から受託するロードサービスなどの受付・手配業務に使う業務システムが不正アクセスを受け、顧客の個人情報が最大約550万件（重複を含む）外部に持ち出されたと公表している。今回の損保ジャパンの発表は、その影響が委託元の保険会社にも及んでいたことを示すものである。
原因は「アクセス制御」と「認証情報の管理」の設定不備
損保ジャパンはPCSからの報告として、PCSが運用するWebアプリケーション（ブラウザーなどを通じて利用するソフトウェア）に「システムへのアクセス制御」と「認証情報の管理」に関する設定上の不備があったと説明している。報告された不備は、誰がどこまで操作できるかという制御と、IDやパスワードなどの管理という、基本的な部分に関するものである。
損保ジャパンは、PCSに詳細な事実関係や原因、再発防止策の報告を求めるとともに、漏えいした可能性がある顧客には順次個別に連絡するとしている。あわせて、同社や委託先を装った不審な電話やメール、郵便物で暗証番号やパスワード、クレジットカード情報などを聞かれても答えないよう注意を呼びかけている。
委託先の「設定」まで確かめられているか
ロードサービスの受付のように、夜間や休日も含めた対応が求められる業務は専門事業者に任されることが多い。委託先のシステムには契約者の氏名や連絡先、事故や故障の状況といった情報が日々蓄積されており、委託先のシステムへの不正アクセスは、委託元の顧客にも影響を及ぼすおそれがある。
今回報告されたような設定の不備を、契約時のチェックシートや年1回の監査で十分に確認できているかは、委託元にとって見直す価値がある。外部に公開しているWebアプリケーションの設定を定期的に点検しているか、不審なログインや大量のデータ持ち出しをすぐに検知できる仕組みがあるかといった、こうした運用状況まで委託先と確かめることが、今後の委託先管理の課題となる。
同じ手口に、自社は備えられていますか？