第一ライフグループ・第一生命保険の従業員向け人事システムへの不正アクセス（現職・退職者約12万名の情報流出の可能性）
公表日
第一ライフグループと第一生命保険が使う従業員向けの人事システムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、現在の従業員と退職者、最大約12万人分の氏名・住所などが外部に流出したおそれがあります。
対象者は？
第一ライフグループ・第一生命保険の従業員約5万人（内勤職員約1.3万人、営業職員約3.7万人。グループ会社への出向者を含む）と、退職者約7万人（内勤職員は1967年以降、営業職員は2017年以降の退職者）です。対象の情報は従業員番号、氏名、住所、電話番号、性別、所属、職位、職務、管理職の上司の氏名で、最大約12万人分です（流出は確定していません）。お客様（保険の契約者）の情報への不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。は確認されておらず、口座、マイナンバー、給与などは対象の項目に挙げられていません。
退職者向けのお知らせが公開されており、問い合わせフォームと人事部の電話窓口が設けられています。
いますぐできること
- 第一生命の元上司や同僚、人事部を名乗る連絡で、お金や個人情報を求められても応じない。気になるときはお知らせに載っている窓口に自分から問い合わせる
- 登録していた住所や電話番号に、不審な郵便物や電話が増えていないか気をつける
何が起きたのか
2026年9月24日、第一ライフグループと第一生命保険が一緒に使っている従業員向けの人事システムに、第三者が不正にアクセスしたことが分かりました。10月2日に両社が発表し、システムに保存されていた従業員と退職者の情報が閲覧され、外部に流出した可能性があると説明しました。対象には、約59年前の1967年以降に退職した内勤職員の情報も含まれていました。
なぜ起きたのか・なぜ広がったのか
どこから、どのように侵入されたか、人事システムの名前や仕組みは、まだ公表されていません。対象の人数が現在の従業員数より大きいのは、長い期間の退職者の情報もシステムに残っていたためです。
いまの状況2026-10-02 時点続報待ち
業務やシステムが止まったという発表はありません。お客様の情報への不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。や、退職者への二次被害は、発表の時点で確認されていないとされています。侵入経路、侵入の時期、流出が確定したかどうか、当局への報告の状況は、まだ発表されていません。
企業として考えたいこと
自社の人事システムには、何年前に辞めた人の情報まで残っているでしょうか。いつまで保管するかを決めて削除すれば、万一のときの影響を小さくできます。
技術的な要約
第一ライフグループと第一生命保険は、両社が利用する従業員向け人事システムへの第三者による不正アクセスを2026年9月24日に検知し、10月2日に公表した。同システムに保存されていた従業員約5万名（内勤職員約1.3万名、営業職員約3.7万名）と退職者約7万名、計約12万名の従業員番号・氏名・住所・電話番号・性別・所属・職位・職務・管理職上司氏名が閲覧され、外部へ流出した可能性がある。退職者は内勤職員が1967年以降、営業職員が2017年以降の退職者まで含まれ、約59年分の退職者データが人事システムに残っていたことになる。顧客情報への不正アクセスと退職者の二次被害は公表時点で確認されていない。侵入経路・システム名・当局報告は公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明不明。公式は原因を「第三者による不正アクセスを受けたため」とのみ記載。人事システムの名称・提供形態（自社構築かSaaSか）、侵入経路（認証情報の窃取・流用、脆弱性、委託先経由等）はいずれも非公表。公表PDFのファイル名が portalaccess.pdf であることから従業員ポータル経由の可能性も考えられるが、根拠はファイル名のみで推測にとどまる。セキュリティ対策Labはランサムウェア感染や認証情報窃取が原因という情報は確認されていないと整理している。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止・システム停止の公表なし。
- データ
- おそれ上限 120,000確定 —人会員ID氏名住所電話性別従業員情報公式は「閲覧され、外部へ流出した可能性」と表現（確定ではない）。約12万名の内訳：従業員約5万名（内勤職員約1.3万名、営業職員約3.7万名）、退職者約7万名（内勤職員は1967年以降、営業職員は2017年以降の退職者）。グループ会社への出向者・在籍型出向者を含む。項目：従業員番号（会員IDとして分類）、氏名、住所、電話番号、性別、所属、職位（資格）、職務、管理職上司氏名。口座・マイナンバー・給与・評価情報は項目に挙げられていない。顧客情報への不正アクセスは確認されていない。
- 波及先
- —
- グループ会社への出向者・在籍型出向者の情報を含む（グループ会社のシステムへの波及は公表なし）
- 金銭影響
- —
- サプライチェーン
- 持株会社と事業会社が共同利用する人事システムでの事案。外部委託先・SaaS事業者の関与は公表されていない。
時系列
技術解説
公表された事実の範囲 事実
公表は10月2日付の2文書（退職者向けお知らせと、両社名義のお知らせ）で、内容はほぼ同一である。検知日は2026年9月24日、検知から公表まで8日。対象は両社の従業員約5万名と退職者約7万名の計約12万名で、営業職員（生命保険の外務員）約3.7万名が従業員の過半を占める。項目は従業員番号・氏名・住所・電話番号・性別・所属・職位（資格）・職務・管理職上司氏名の9項目で、表現は「閲覧され、外部へ流出した可能性」にとどまり流出は確定していない。侵入時期、侵入経路、システム名、遮断措置、当局への報告、再発防止策は記載がない。顧客情報への不正アクセスと退職者の二次被害は確認されていないとされる。
被害が大きくなった理由：退職者データの長期保持 解釈
対象の過半（約7万名）が退職者で、内勤職員は1967年以降の退職者まで含まれる。労働基準法上の労働者名簿等の保存義務は退職等から5年（経過措置で当面3年）であり、約59年前の退職者の住所・電話番号を業務システムに残す法的必要性は乏しいと考えられる。人事システムの刷新時に旧システムの全件を移行し、退職者レコードを論理削除やフラグ管理のまま保持する運用は一般に多く、本件もそうした設計の結果である可能性がある（推測）。営業職員が2017年以降に限られる点は、営業職員の管理が別システムから移行された時期を反映している可能性もあるが、公表されていない。
二次被害のシナリオ：組織図そのものの流出 解釈
漏えい項目に所属・職位・職務・管理職上司氏名が含まれるため、攻撃者は約5万名分の組織階層を再構成できる可能性がある。これは上司や人事部を装ったメール・電話（BEC、なりすまし）、営業職員を装った顧客への接触、退職者を狙った「年金・退職金手続き」名目の詐欺の材料になりうる。両社が不審な電話・郵便物・身に覚えのない請求への注意を呼びかけているのはこの懸念と整合する。顧客情報が含まれないとしても、営業職員の氏名・所属が顧客接点に悪用される余地がある点で、生命保険会社としての影響は小さくない（推測）。
対応
- 封じ込め
- 具体的な遮断・封じ込め措置は公表されていない。
- 公表の仕方
- 検知から8日後の10/2に、退職者向けと一般向けの2文書で公表。対象人数・項目・対象期間は具体的に示したが、侵入経路・システム名・当局報告は記載なし。問い合わせフォームと人事部の電話窓口を設置。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 数十年前の退職者データが業務システムに残っていた | 人事データに法定保存期間ベースの保持ポリシーを定義し、退職日＋保存期間を過ぎたレコードの住所・電話等を定期バッチで物理削除または匿名化。システム移行時は全件移行せず保存期間内のデータのみ移す |
| 組織階層（所属・職位・上長）がまとめて取得できた | 人事システムの閲覧権限を職務ベースで最小化し、一覧・CSV出力は人事部の限定ロールのみに付与。大量閲覧・一括出力をUEBA/SIEMで検知する |
| 従業員向けシステムは顧客系より防御が手薄になりがち | 人事・社内ポータル系SaaSにもSSO＋MFA（フィッシング耐性のあるFIDO2推奨）と条件付きアクセスを適用し、管理者アカウントは専用端末・専用IDに分離する |
| 流出した組織情報を使ったなりすまし | 上長名義の送金・情報提供依頼は別経路で確認する手順を全社展開し、外部ドメインからのメールに警告バナーを付与。退職者向けには会社からの連絡手段（郵送のみ等）を明示する |
自組織などでの確認項目
- あなたの会社の人事システムには、何年前の退職者の住所・電話番号が残っているか。削除できない理由は法令か、それとも運用の慣性か。
- 社内向けシステム（人事・勤怠・ポータル）の認証は、顧客向けシステムと同じ水準（MFA・条件付きアクセス・ログ監視）になっているか。
- 所属・役職・上長名がまとまった名簿が漏れた場合、BECやなりすましに対してどのような業務ルールで防ぐか。
未解明点
- 侵入経路と人事システムの名称・提供形態（SaaSか自社構築か）
- 侵入時期（9/24の検知以前にいつから不正アクセスがあったか）と流出の確定有無
- 個人情報保護委員会・金融庁・警察への報告状況
- 1967年以降の退職者データを保持していた理由と今後の削除方針
- 犯行声明・リークサイト掲載の有無
出典
- 1第一ライフグループ・第一生命保険2026-10-02公式本文確認済
- 2第一ライフグループ・第一生命保険2026-10-02公式本文確認済
- 3NHK2026-10-03報道本文確認済
- 4セキュリティ対策Lab（ロケットボーイズ）2026-10-02報道本文確認済
- 5一創2026-10-06研究者本文確認済
- 6innovaTopia2026-10-06報道本文確認済
- 7ちんぱんブログ2026-10-02報道本文確認済