住友生命保険とNTTデータは2026年11月9日、住友生命が構築・運用を委託しているNTTデータのシステムが第三者による不正アクセスを受け、健康増進プログラム「Vitality」を単独で利用できるサービスの利用者約8万名の個人情報が外部に漏えいしたと発表した。漏えいした情報には氏名や住所、生年月日などが含まれ、約1000名については一部の桁を伏せたクレジットカード番号も含まれる。保険契約の情報は対象外としている。
11月2日に不正アクセスを確認、翌日から申込受付などを停止
両社の発表によると、2026年11月2日、NTTデータが構築・運用を受託しているサービスで第三者による不正アクセスが確認され、同日にNTTデータから住友生命へ報告があった。NTTデータはアクセスログ（システムへの接続の記録）などを調べ、一部利用者の個人情報が外部に漏えいしたことを確認した。
対象となったのは、Vitality健康プログラムを単独で利用できる「住友生命Vitality体験版・企業型」と「Vitalityスマート（福利厚生タイプを含む）」の申込みに関わるサービスである。NTTデータは11月3日に外部からのアクセスを遮断し、サービスを一時停止している。
住友生命は安全が確認できるまで、11月3日から次の取り扱いを止めている。
- Vitality体験版・企業型、Vitalityスマート（福利厚生タイプを含む）の新規申込受付
- Vitalityスマートの利用者自身による解約やクレジットカード情報の変更など
- Vitality福利厚生タイプの団体管理システム（団体ポータル）の利用
Vitalityアプリの利用や、Vitality保険の新規申込受付・諸手続きには影響はないとしている。不正アクセスの原因や詳しい経緯は、現在も調査中である。
漏えいした情報と対象者
漏えいの対象者は、上記2サービスの現在または過去の利用者約8万名である。漏えいした情報は、氏名、住所、電話番号、生年月日、メールアドレス、クレジットカード番号（一部マスキング済み）のいずれかである。このうちクレジットカード番号（一部マスキング済み）が漏えいしたのは約1000名とされる。
保険契約や、保険契約に付随するVitalityの情報、Vitality健康プログラムで記録された歩数などのデータは含まれていないという。現時点で不正利用などの二次被害や、情報がインターネット上に公開・拡散された事実は確認されていないとしている。
委託先のシステムも自社のリスクとして見る必要がある
今回の事案は、住友生命自身のシステムではなく、構築・運用を委託していたNTTデータのシステムで不正アクセスが発生した。利用者から見れば、どの会社のサーバーで情報が管理されていたかに関係なく、サービスを提供する企業から情報が漏れたことに変わりはない。システムの運用を外部に任せている企業にとっては、委託先の監視体制や、委託先が不正アクセスを検知してから自社へ報告するまでの流れを、契約内容の確認や定期的な点検を通じて把握しておくことが重要になる。
また、漏えいした情報には氏名・住所・電話番号・生年月日・メールアドレスのいずれかが含まれ、本人になりすました詐欺に悪用されるおそれがある。両社は、住友生命やNTTデータを装ったメール・SMS・電話・郵便物に注意するよう呼びかけている。パスワードや暗証番号、クレジットカード情報を求める連絡には応じず、公式の窓口で確かめることが基本となる。
同じ手口に、自社は備えられていますか？