ソニー生命保険は2026年11月9日、10月28日に公表した不正アクセスについて第二報を出し、同社の保険契約に関する個人情報約290万件の漏えいを新たに確認したと発表した。初報で公表していたのは、同社が代理店として取り扱うメディケア生命の保険契約に関する情報約38.5万件で、今回の発表で、自社の契約者も漏えいの対象に含まれることが明らかになった。契約者向けサイトなど複数のサービスは停止したままで、再開には時間を要する見込みだとしている。
新たに漏えいが確認された情報
同社によると、2026年10月27日に契約者専用サイト「お客さまWEBサービス」などのシステムが第三者による不正アクセスを受けたことが判明し、翌28日に公表した。その後の調査で、この不正アクセスに起因する情報漏えいが新たに確認された。
第二報で示された漏えいの内容は次のとおりである。
- 同社の保険契約に関する個人情報：証券番号、氏名、住所、電話番号など、約290万件（解約などにより終了した契約の情報も含む）
- 募集代理店関連の情報：代理店募集人のメールアドレスと同社が付与した募集人番号、約780件
- 同社従業員の情報：メールアドレスと社員番号、約12,500件
健康状態や病歴などの要配慮個人情報、マイナンバー、クレジットカード情報、口座情報、契約者のメールアドレスは含まれていないとしている。11月9日時点で、顧客情報が不正に使用された事実は確認されていないという。
契約者向けサービスの停止が続く
同社は被害の拡大を防ぐため、外部からのアクセスを遮断したうえで、「お客さまWEBサービス」「ソニー生命 アプリ」「ダイレクト請求サービス」「申込内容控WEB」「書類確認WEB」「為替レート照会システム」の利用を一時停止している。再開の時期は、原因への対応に加えて安全性の評価を踏まえて判断するため、時間を要する見込みとし、目途が立ちしだい公式サイトで知らせるとしている。
停止中も、保険金・給付金の請求や契約内容の変更などは、電話、または担当者を通じた書類の郵送で受け付ける。対象となる契約者と代理店募集人には、準備が整いしだい順次案内する予定である。
侵入の経路や、290万件の情報がどのような形で外部に出たのかは、今回の発表では明らかにされていない。
「初報の件数」が確定値ではないことを前提に備える
今回の事案は、初報から約2週間で漏えい件数が7倍以上に増えた。不正アクセスの調査では、システムの動作やアクセスの記録（ログ）の解析やデータの照合が進むにつれて、当初は把握できていなかった影響が後から判明することがある。初報で公表された件数を「被害の上限」と受け止めず、続報で対象が広がる可能性も考慮して備えておく必要がある。
利用者の側では、漏えいした証券番号や氏名・住所・電話番号が、保険会社や代理店を装った電話・郵便・SMSに悪用されるおそれがある。契約内容を知っていることを理由に相手を信用せず、心当たりのない連絡には応じないことが基本となる。
企業の側では、今回の侵入経路は明らかにされていないものの、契約者向けのWebサービスや業務システムの安全性をあらためて確認しておきたい。顧客データを大量に抱えるシステムでは、外部からのアクセス経路の把握と、不審な挙動を早く見つける監視の仕組みが、被害を抑えるうえで重要になる。
同じ手口に、自社は備えられていますか？