アフラック生命保険の不正アクセス(2026年6月公表)
結論から
- 契約者向けサイト「アフラック よりそうネット」と「オンライン相談」のシステムが不正アクセスを受け、顧客約440万人と代理店約4万店の情報が漏えいした。うち約22万人は保険料の振替口座の情報も含む。
- 2026年7月31日の調査結果では、アクセスとデータ照会の手口への制御が不十分で、通常の利用と同じ形式のアクセスだったため直ちに検知できず、短時間の大量照会を監視・制御する機能も不足していたとされた。
- 金融庁は公表当日に保険業法と個人情報保護法に基づく報告徴求命令を出した。会社は認証・認可の強化、大量アクセスの監視、侵入テストの強化などを再発防止策に挙げ、役員4人が報酬の一部を自主返納した。
概要
- 公表日
- 2026年6月30日
- 発生
- 2026年6月NaN日
- 検知・発覚
- 2026年6月25日
- 最新の公表
- 2026年7月31日
- 組織・業種
- アフラック生命保険(保険 / 金融・保険・証券)
- 漏えいした情報・件数
- 顧客約440万人(契約者の人数。第一報は約438万人)、うち保険料振替口座情報を含む約22万人(第一報は約23万人)。代理店約4万店。マイナンバー、クレジットカード情報、メールアドレスは含まれない
- 業務への影響
- 「アフラック よりそうネット」と「オンライン相談」を停止。保険金・給付金の請求などはコールセンター等で受付を継続
- 業績への影響
- 未公表
- 犯行グループ(攻撃者の主張)
- 未公表
- 行政の対応
- 金融庁が2026-06-30に保険業法第128条第1項と個人情報保護法第146条第1項に基づく報告徴求命令。会社は2026-07-31に調査結果と再発防止策を報告。警察にも報告
- 調査報告書・再発防止策
- 公式の資料を開く ↗
この事案の続報をメールで受け取る
続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。
経緯
侵入経路と原因
第三者の不正アクセスを受けたのは、契約者専用サイト「アフラック よりそうネット」と「オンライン相談」のシステムです。よりそうネットは、契約内容の確認や住所・電話番号の変更をパソコンやスマートフォンでできるサイトです。社内と外部専門機関の調査で、それ以外のシステムでは同種の漏えいはないことを確認したとしています。
7月31日の調査結果は、原因を次のように説明しています。今回の攻撃で使われたアクセスとデータ照会の手口に対して、システムの制御が不十分でした。システムには不正アクセスを検知・遮断する機能がありましたが、アクセスの形式が通常の利用と同じだったため、直ちに検知できませんでした。短時間に大量のデータ照会があった場合に監視・制御する機能も不足していました。
さらに会社は、システム設計時のセキュリティレビューやリリース前の侵入テストを行っていたものの、今回の手口のリスクを想定できていなかったとしています。具体的な手口(どのような認証情報や操作が使われたか)は公表されていません。
影響
漏えいした顧客の情報は、契約者の氏名・生年月日・性別・住所・電話番号、被保険者と受取人の氏名など、証券番号、保障内容、第二連絡先の情報です。約22万人分には、金融機関名や口座番号などの保険料振替口座の情報も含まれます。マイナンバー、クレジットカード情報、メールアドレスは含まれていません。
件数は第二報で更新され、顧客約440万人(第一報は約438万人)、うち口座情報を含む約22万人(第一報は約23万人)となりました。代理店の代表者氏名・住所・電話番号も約4万店分が漏えいしています。過去に委託契約を結んでいた代理店も含みます。
会社は不正アクセスの拡大を防ぐため、よりそうネットとオンライン相談を止めました。保険金・給付金の請求などはコールセンターで受け付けています。公表の時点から7月31日まで、情報の不正利用は確認されていないとしています。業績への影響は公表されていません。
会社の対応と再発防止策
会社は6月25日に不正アクセスを遮断し、関連システムを止めました。7月10日から対象の顧客に文書を送り、振替口座の情報が含まれる人を優先して、7月30日に発送を終えています。二次被害を防ぐため、関係する金融機関とも連携を始めました。
7月31日に示した再発防止策は4つです。システムへのアクセス時の認証と、データ照会時の認可を強めること。アプリケーションとセキュリティ機器で、大量アクセスの監視と制御を強めること。リスクを多層的に分析してセキュリティ要件を最新にし、設計時のレビューとリリース前の侵入テストを強めること。人員の増強を含めて、情報セキュリティの管理態勢を強めることです。
会社は責任の所在を明確にするため、情報セキュリティの管理監督に責任を持つ役員4人が月額報酬の一部を1カ月分自主返納すると発表しました。2つのシステムは、再発防止策の実行を前提に早期の再開を目指すとしています。当社が確認した範囲では、2026年10月6日時点で再開の公表は見つかっていません。
この事案から学べること
- 通常の利用と同じ形のアクセスは、不正アクセスの検知機能をすり抜けることがある。
- 1人の利用者が短時間に大量のデータを照会できる設計は、漏えいの規模を大きくする。
- 侵入テストは、想定した手口しか確かめられない。想定の幅を定期的に見直す必要がある。
- 顧客向けサイトが漏えいの入口になると、サイトを止める間、手続きを電話などで受ける体制が要る。
自社で確認すること
- 1 顧客向けサイトで、1つのアカウントや接続元が短時間に照会できるデータ量に上限と警報を設けていますか。
- 2 ログイン後の照会で、本人に関係のないデータを取得できないことを、侵入テストの項目で確かめていますか。
- 3 顧客向けサイトを止めたとき、どの手続きをどの窓口で受けるかを決めていますか。
同じ手口の事案
Webサービス・アプリ経由
- ギフティ (2026年10月26日) システムの脆弱性を悪用され、eギフトが不正に発行された。損失は約5.5億円の見込み
- グッドスマイルカンパニー (2026年10月23日) 公式通販サイトの決済ページに不正なプログラム。カード情報(全桁・セキュリティコード)2,800名分が漏えいした可能性
- NP後払い (2026年10月22日) 後払い決済の請求書再発行システムに機械的な連続リクエスト。2万8,884件の氏名・住所にアクセス
関連する事案
よくあるご質問
- アフラックの侵入経路は分かっていますか?
- 入口は「アフラック よりそうネット」と「オンライン相談」のシステムで、アクセスとデータ照会の手口への制御が不十分だったと公表されています。具体的な手口(どのような認証情報や操作が使われたか)は2026年10月6日時点で公表されていません。
- クレジットカード情報は漏れましたか?
- 会社の発表では、マイナンバー、クレジットカード情報、メールアドレスは含まれていません。約22万人分は保険料の振替口座の情報が含まれており、会社は関係する金融機関と連携しています。
出典
- 当社システムに対する不正アクセスの発生および情報漏えいに関するお詫びとお知らせ ↗ (アフラック生命保険株式会社、2026-06-30)
- 当社システムに対する不正アクセスの発生および情報漏えいに関するお詫びとお知らせ(第二報) ↗ (アフラック生命保険株式会社、2026-07-13)
- 当社システムに対する不正アクセスの発生および情報漏えいに関する調査結果と再発防止策について ↗ (アフラック生命保険株式会社、2026-07-31)
- 金融庁による報告徴求命令の受領について ↗ (アフラック生命保険株式会社、2026-07-01)
- アフラック生命保険に不正アクセス、約438万人の顧客情報が漏えい ↗ (ScanNetSecurity、2026-07-01)
- 金融庁がアフラックに報告命令 438万人分顧客情報漏えいで ↗ (熊本日日新聞(共同通信)、2026-07-01)