審調社のランサムウェア被害(2025年7月公表)
結論から
- 保険会社から損害調査を受託する審調社のサーバが2025-06-27にランサムウェアで暗号化され、損保・生保など30社超が影響を公表しました。
- 2025-12-05の最終報によると、入口はネットワーク機器の脆弱性で、導入していたセキュリティソフトは攻撃者に無効化されていました。
- 委託元から預かった調査関連の個人情報 約10万2,700件の漏えいを確認しました(うち約8万9,000件は番号のみ)。
概要
- 公表日
- 2025年7月11日
- 発生
- 2025年6月NaN日
- 検知・発覚
- 2025年6月NaN日
- 最新の公表
- 2025年12月5日
- 組織・業種
- 審調社(委託元: 損保・生保など)(保険の損害調査 / 金融・保険・証券)
- 漏えいした情報・件数
- 委託元の調査関連の個人情報で漏えいを確認したもの 約10万2,700件(番号のみ約8万9,000件、番号と氏名等 約1万2,500件、番号と氏名等と要配慮個人情報 約1,200件)。漏えいのおそれ 約1,030件。ほかに業務委託者・採用応募者等 約450件、従業員・退職者 約150件
- 業務への影響
- 一部サーバのファイルが暗号化。委託元の保険会社など30社超(2025-07-15時点で31社)が影響を公表
- 業績への影響
- 未公表
- 行政の対応
- 個人情報保護委員会に報告、警察に申告・相談
- 調査報告書・再発防止策
- 公式の資料を開く ↗
経緯
侵入経路と原因
審調社の最終報(2025-12-05)によると、第三者がネットワーク機器の脆弱性を悪用して不正にアクセスし、内部ネットワークに侵入しました。どのネットワーク機器か、VPN装置かどうかは公表されていません。
侵入した攻撃者は、導入していたセキュリティソフトを無効化していました。そのうえでサーバ内のファイルを暗号化しています。脆弱性が公表されていたものか、更新が間に合っていなかったのかは、公表資料では確認できません。
公表直後の2025年7月中旬の時点では、審調社は「セキュリティー事業者が調査中で具体的な内容はまだ分かっていない」と説明していました。侵入経路が明らかになったのは、約5カ月後の最終報です。犯行グループについて、審調社は公表していません。2025-07-02には、関連する情報が外部のサイトに掲載されていると取引先から連絡を受けたと報じられています。身代金の要求や支払いについての会社の説明は、確認できていません。
影響
審調社は保険会社から、保険金請求に関わる事実の確認(損害調査)を受託している会社です。このため影響は委託元に広がり、三井住友海上、あいおいニッセイ同和、AIG損保、ソニー損保、かんぽ生命、オリックス生命、都道府県民共済グループなどが漏えいの可能性を公表しました。2025-07-15時点で31社です。
最終報で漏えいを確認したのは、委託元から預かった調査関連の個人情報 約10万2,700件です。うち約8万9,000件は案件の番号のみ、約1万2,500件は番号と氏名等、約1,200件は番号と氏名等に医療情報などの要配慮個人情報を含むものでした。漏えいのおそれがあるものは約1,030件です。ほかに業務委託者・採用応募者等 約450件、従業員・退職者 約150件が対象です。
委託元の一例として、かんぽ生命は2025-12-05、自社の顧客情報で漏えいしたものが7,810件(うち要配慮個人情報を含むもの26件)、おそれがあるものが150件と公表しました。番号のみの情報は、業務システムで照合しない限り本人を特定できないと説明しています。審調社・かんぽ生命とも、二次被害は確認されていないとしています。
会社の対応と再発防止策
審調社は社内に対策本部を置き、警察に申告・相談し、個人情報保護委員会に報告しました。外部の専門家の助言を受けて調査を進め、2025-12-05に最終報を出しています。
再発防止策として、悪用されたネットワーク機器の排除、セキュリティ関連の規程の見直し、社内教育、ネットワーク管理体制とアクセス制限の強化、インシデント対応策の強化、セキュリティ担当部門の強化を挙げました。
委託元の側でも対応が進みました。かんぽ生命は、委託先を含めた情報管理体制の強化、関係者への教育、情報セキュリティ対策の再点検を実施したと公表しています。対象の顧客には個別に連絡し、連絡が難しい場合は公表をもって代えるとしました。
この事案から学べること
- 業務を委託すると、データも一緒に委託先へ渡ります。委託先の被害は、そのまま委託元の漏えいになります。
- ネットワーク機器の脆弱性は、中小の委託先でも狙われます。機器の更新は規模に関係なく必要です。
- 攻撃者はまずセキュリティソフトを止めにきます。止められたことに気づける監視があるかが分かれ目です。
- 番号だけのデータでも、件数として報告対象になります。委託先に渡す情報を必要な分に絞ると、影響を小さくできます。
自社で確認すること
- 1 個人情報を預けている委託先の一覧と、それぞれのセキュリティ対策の状況を把握していますか。
- 2 委託先に渡しているデータは、業務に必要な項目だけになっていますか。
- 3 委託先で事故が起きたとき、何日以内に連絡を受ける取り決めになっていますか。
同じ手口の事案
委託先・取引先経由
- ベネフィット・ワン(トク買) (2026年10月28日) 委託先のシステムに不正アクセス。クレディセゾン会員向け優待サービスの2万9,465人分が漏えい
- JAL・ANA(Amadeus) (2026年10月28日) 航空会社が使う予約システムに不正アクセス。JAL・JTAの延べ約9万2,000件の予約情報が対象に
- デジタル庁 (2026年10月22日) Web制作サービス「Studio」への不正アクセスの波及で、問い合わせフォームの入力内容 最大1万3,323件が漏えいした可能性
関連する事案
よくあるご質問
- 審調社とはどんな会社ですか。
- 保険会社から、保険金請求に関わる事実の確認(損害調査)を受託している会社です。このため被害が多数の保険会社に波及しました。
- 自分の情報が含まれているか知りたい場合は。
- 契約している保険会社が対象者に個別に連絡するとしています。かんぽ生命など各社が問い合わせ窓口を公表しています。
出典
- 審調社がランサムウエア被害、保険会社顧客情報が流出の恐れ ↗ (日経クロステック、2025-07-14)
- 10万件以上の個人情報が漏洩、審調社がランサム被害の調査結果を公表 ↗ (日経クロステック、2025-12-08)
- 審調社にランサムウェア攻撃、サーバ内に保存されていたファイルが暗号化 ↗ (ScanNetSecurity、2025-07-23)
- 不正アクセスに関する最終報告 ↗ (株式会社審調社、2025-12-05)
- 当社の業務委託先における不正アクセス被害について ↗ (株式会社かんぽ生命保険、2025-12-05)