三井住友海上火災保険は2026年11月6日、11月4日に公表した契約者向けサイトへの不正アクセスについて、影響調査で情報漏えいを確認したと発表した。同社分の漏えい件数は約3.7万件で、保険証券番号や氏名、住所、電話番号などが含まれる。同じMS&ADインシュアランス グループの三井住友海上あいおい生命保険も同日、約5,300件の情報漏えいを公表した。報道によると、三井住友海上とあいおいニッセイ同和損害保険の2社で、流出は合わせて約48万件にのぼるという。
11月2日夜に検知、翌3日深夜にサービスを止めていた
三井住友海上の発表によると、11月2日の夜間に「ご契約者さま専用ページ」への不正アクセスを検知し、翌3日の深夜に、顧客情報の保護と被害の拡大防止、影響調査のために関連サービスの提供を自ら停止した。その後の調査の過程で、情報が漏えいした事実を確認したとしている。
専用ページはネットワーク環境から切り離しており、サービス停止以降に外部からの不正アクセスはないと説明している。
漏えいした情報と件数（11月6日9時時点）
三井住友海上が公表した内容は次のとおりである。
- 対象：ご契約者さま専用ページに登録している顧客
- 件数：約3.7万件
- 項目：保険証券番号、氏名、住所、電話番号、メールアドレスなど
- クレジットカード情報、口座情報は含まれていない
三井住友海上あいおい生命保険の発表では、三井住友海上とあいおいニッセイ同和損保の専用ページで、自分の生命保険契約を表示するよう設定していた顧客が対象となった。件数は約5,300件で、保険証券番号、氏名、生年月日、メールアドレスなどが含まれる。口座情報、クレジットカード情報、要配慮個人情報（病歴など取り扱いに特に配慮が必要な個人情報）は含まれていないとしている。
両社とも、現時点で漏えいした情報が不正に使われた事実は確認していない。原因と影響範囲については、外部の専門機関によるフォレンジック調査（不正アクセスの痕跡を調べる鑑識的な調査）を進めている。
あいおいニッセイ同和損保は、自社サイトのお知らせを11月6日に更新し、契約者専用ページのほか、海外旅行保険の申し込みや法人向けWebサービスなどの停止を続けている。同社分の漏えい件数について、同社の公式発表は本稿執筆時点で確認できていない。
契約者向けページは「情報が集まる場所」
保険会社の契約者向けページには、証券番号と氏名、住所、連絡先がひとまとまりで置かれている。こうした情報は、保険会社を名乗って契約内容の確認や手続きを装う詐欺に悪用されるおそれがある。三井住友海上も、同社を装ったメールやSMS（ショートメッセージ）、電話に注意するよう呼びかけている。
今回、三井住友海上は、不正アクセスを検知した翌日にサービスを止め、ネットワークから切り離したと説明している。サービスの停止は利用者の手続きに影響するが、外部からの侵入を早く断つ判断が、被害の拡大を抑える前提になる。顧客向けのWebサービスを持つ企業にとっては、異常なアクセスをどれだけ早く見つけ、サービスの停止を判断できるかが問われる事案である。
同じ手口に、自社は備えられていますか？