# アフラック生命保険の不正アクセス(2026年6月公表)

> 2026年6月30日に公表されたアフラック生命保険の契約者向けサイトなどへの不正アクセスについて、漏えいした情報(顧客約440万人・代理店約4万店)、7月31日の調査結果で示された原因、金融庁の報告徴求命令、再発防止策を出典つきでまとめました。2026年10月6日時点。

発行: 株式会社ウェステリア(https://westeria.jp) / 特集: 国内のデータ流出・不正アクセス事案まとめ(https://westeria.jp/security-incidents/) / 出典: https://westeria.jp/security-incidents/cases/aflac-2026/

状態: 調査結果公表済み / 公開: 2026-10-06 / 最終更新: 2026-10-06

## 要点

- 契約者向けサイト「アフラック よりそうネット」と「オンライン相談」のシステムが不正アクセスを受け、顧客約440万人と代理店約4万店の情報が漏えいした。うち約22万人は保険料の振替口座の情報も含む。
- 2026年7月31日の調査結果では、アクセスとデータ照会の手口への制御が不十分で、通常の利用と同じ形式のアクセスだったため直ちに検知できず、短時間の大量照会を監視・制御する機能も不足していたとされた。
- 金融庁は公表当日に保険業法と個人情報保護法に基づく報告徴求命令を出した。会社は認証・認可の強化、大量アクセスの監視、侵入テストの強化などを再発防止策に挙げ、役員4人が報酬の一部を自主返納した。

## 概要

- 公表日: 2026年6月30日
- 発生: 2026年6月NaN日
- 検知・発覚: 2026年6月25日
- 最新の公表: 2026年7月31日
- 組織・業種: アフラック生命保険(保険 / 金融・保険・証券)
- 手口: [Webサービス・アプリ経由](https://westeria.jp/security-incidents/tactics/web-app/)
- 漏えいした情報・件数: 顧客約440万人(契約者の人数。第一報は約438万人)、うち保険料振替口座情報を含む約22万人(第一報は約23万人)。代理店約4万店。マイナンバー、クレジットカード情報、メールアドレスは含まれない
- 業務への影響: 「アフラック よりそうネット」と「オンライン相談」を停止。保険金・給付金の請求などはコールセンター等で受付を継続
- 業績への影響: 未公表
- 犯行グループ(攻撃者の主張): 未公表
- 行政の対応: 金融庁が2026-06-30に保険業法第128条第1項と個人情報保護法第146条第1項に基づく報告徴求命令。会社は2026-07-31に調査結果と再発防止策を報告。警察にも報告
- 調査報告書・再発防止策: https://www.aflac.co.jp/static/corp/profile/news/2026/2026073100.pdf

## 経緯

- 2026年6月10日: 不正アクセスによる情報漏えいが最初に発生(7月13日の第二報で判明)。 [2]
- 2026年6月25日: 漏えいが判明。同日、不正アクセスを遮断し、関連するシステムを停止。 [1]
- 2026年6月30日: 顧客約438万人分などの漏えいを公表。同日、金融庁から報告徴求命令を受ける。 [1]
- 2026年7月10日: 対象の顧客へお詫びの文書の発送を開始(振替口座情報が含まれる人を優先。7月30日に発送完了)。 [2]
- 2026年7月13日: 第二報。最初の発生日を6月10日に訂正し、顧客数を約440万人に更新。金融機関との連携を開始。 [2]
- 2026年7月31日: 調査結果と再発防止策を金融庁に報告し、公表。 [3]

## 侵入経路と原因

第三者の不正アクセスを受けたのは、契約者専用サイト「アフラック よりそうネット」と「オンライン相談」のシステムです。よりそうネットは、契約内容の確認や住所・電話番号の変更をパソコンやスマートフォンでできるサイトです。社内と外部専門機関の調査で、それ以外のシステムでは同種の漏えいはないことを確認したとしています。

7月31日の調査結果は、原因を次のように説明しています。今回の攻撃で使われたアクセスとデータ照会の手口に対して、システムの制御が不十分でした。システムには不正アクセスを検知・遮断する機能がありましたが、アクセスの形式が通常の利用と同じだったため、直ちに検知できませんでした。短時間に大量のデータ照会があった場合に監視・制御する機能も不足していました。

さらに会社は、システム設計時のセキュリティレビューやリリース前の侵入テストを行っていたものの、今回の手口のリスクを想定できていなかったとしています。具体的な手口(どのような認証情報や操作が使われたか)は公表されていません。

## 影響

漏えいした顧客の情報は、契約者の氏名・生年月日・性別・住所・電話番号、被保険者と受取人の氏名など、証券番号、保障内容、第二連絡先の情報です。約22万人分には、金融機関名や口座番号などの保険料振替口座の情報も含まれます。マイナンバー、クレジットカード情報、メールアドレスは含まれていません。

件数は第二報で更新され、顧客約440万人(第一報は約438万人)、うち口座情報を含む約22万人(第一報は約23万人)となりました。代理店の代表者氏名・住所・電話番号も約4万店分が漏えいしています。過去に委託契約を結んでいた代理店も含みます。

会社は不正アクセスの拡大を防ぐため、よりそうネットとオンライン相談を止めました。保険金・給付金の請求などはコールセンターで受け付けています。公表の時点から7月31日まで、情報の不正利用は確認されていないとしています。業績への影響は公表されていません。

## 会社の対応と再発防止策

会社は6月25日に不正アクセスを遮断し、関連システムを止めました。7月10日から対象の顧客に文書を送り、振替口座の情報が含まれる人を優先して、7月30日に発送を終えています。二次被害を防ぐため、関係する金融機関とも連携を始めました。

7月31日に示した再発防止策は4つです。システムへのアクセス時の認証と、データ照会時の認可を強めること。アプリケーションとセキュリティ機器で、大量アクセスの監視と制御を強めること。リスクを多層的に分析してセキュリティ要件を最新にし、設計時のレビューとリリース前の侵入テストを強めること。人員の増強を含めて、情報セキュリティの管理態勢を強めることです。

会社は責任の所在を明確にするため、情報セキュリティの管理監督に責任を持つ役員4人が月額報酬の一部を1カ月分自主返納すると発表しました。2つのシステムは、再発防止策の実行を前提に早期の再開を目指すとしています。当社が確認した範囲では、2026年10月6日時点で再開の公表は見つかっていません。

## この事案から学べること

- 通常の利用と同じ形のアクセスは、不正アクセスの検知機能をすり抜けることがある。
- 1人の利用者が短時間に大量のデータを照会できる設計は、漏えいの規模を大きくする。
- 侵入テストは、想定した手口しか確かめられない。想定の幅を定期的に見直す必要がある。
- 顧客向けサイトが漏えいの入口になると、サイトを止める間、手続きを電話などで受ける体制が要る。

## 自社で確認すること

- 顧客向けサイトで、1つのアカウントや接続元が短時間に照会できるデータ量に上限と警報を設けていますか。
- ログイン後の照会で、本人に関係のないデータを取得できないことを、侵入テストの項目で確かめていますか。
- 顧客向けサイトを止めたとき、どの手続きをどの窓口で受けるかを決めていますか。
- 確認項目の全体: https://westeria.jp/security-incidents/guide/checklist/

## よくあるご質問

### アフラックの侵入経路は分かっていますか?

入口は「アフラック よりそうネット」と「オンライン相談」のシステムで、アクセスとデータ照会の手口への制御が不十分だったと公表されています。具体的な手口(どのような認証情報や操作が使われたか)は2026年10月6日時点で公表されていません。

### クレジットカード情報は漏れましたか?

会社の発表では、マイナンバー、クレジットカード情報、メールアドレスは含まれていません。約22万人分は保険料の振替口座の情報が含まれており、会社は関係する金融機関と連携しています。

## 出典

1. [当社システムに対する不正アクセスの発生および情報漏えいに関するお詫びとお知らせ](https://www.aflac.co.jp/static/corp/profile/news/2026/20260630.pdf)(アフラック生命保険株式会社、2026-06-30)
2. [当社システムに対する不正アクセスの発生および情報漏えいに関するお詫びとお知らせ(第二報)](https://www.aflac.co.jp/static/corp/profile/news/2026/20260713.pdf)(アフラック生命保険株式会社、2026-07-13)
3. [当社システムに対する不正アクセスの発生および情報漏えいに関する調査結果と再発防止策について](https://www.aflac.co.jp/static/corp/profile/news/2026/2026073100.pdf)(アフラック生命保険株式会社、2026-07-31)
4. [金融庁による報告徴求命令の受領について](https://www.aflac.co.jp/static/corp/profile/news/2026/20260701.pdf)(アフラック生命保険株式会社、2026-07-01)
5. [アフラック生命保険に不正アクセス、約438万人の顧客情報が漏えい](https://scan.netsecurity.ne.jp/article/2026/07/01/55610.html)(ScanNetSecurity、2026-07-01)
6. [金融庁がアフラックに報告命令 438万人分顧客情報漏えいで](https://kumanichi.com/articles/2008717)(熊本日日新聞(共同通信)、2026-07-01)

## 関連ページ

- 2026年の事案一覧: https://westeria.jp/security-incidents/2026/
- 事案まとめ(ハブ): https://westeria.jp/security-incidents/

---

株式会社ウェステリアはAIを使った開発を行う会社で、セキュリティの専門会社ではありません。被害が起きたときの調査(フォレンジック)や対応は専門の会社に依頼してください。本ページは公式発表と報道で確認できた事実だけをまとめたものです。