KDDIにおけるライフネット生命連携システムへの不正アクセスによる顧客情報流出（最大2万2541件）
公表日
KDDIは、提携するライフネット生命保険の連携システムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、自社が保有する顧客情報が最大2万2541件流出した可能性があると発表しました。
対象者は？
提携サービス「auの生命ほけん」の利用者などの顧客（流出のおそれがあるのは最大2万2541件。対象情報には氏名、郵便番号、電話番号、メールアドレス、会員識別子などが含まれ、一部は性別や生年月日も対象。パスワード、クレジットカード情報、口座情報、本人確認情報、保険契約情報は含まれていません）。
対象となる顧客には順次、個別に案内が行われる予定です。
いますぐできること
- KDDIやライフネット生命を装ってパスワードや暗証番号などを聞き出そうとする不審なメールや電話に警戒し、入力や返答をしないようにしてください。
何が起きたのか
2026年10月23日、ライフネット生命がKDDIとの連携システムに対する不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を検知してKDDIに連絡しました。ライフネット生命は防御措置を行い、KDDIは翌24日までに両社システム間の接続経路を遮断しました。第三者がシステムの脆弱性を突いてKDDI側の顧客情報を取得した可能性があることが判明し、両社は10月30日に事実を公表しました。
なぜ起きたのか・なぜ広がったのか
ライフネット生命側のKDDI連携システムの一部機能に脆弱性（安全上の不備）が存在し、第三者がそれを悪用してKDDI側のシステムが保持する顧客情報を不正に取得したとみられています。なお、侵入は連携システム部分に限定されており、通信設備などへの影響はありませんでした。
いまの状況2026-10-31 時点続報待ち
「auの生命ほけん」の申し込み受け付けを含む一部機能はメンテナンスのため停止しており、再開時期は未定です。現時点で情報の悪用による二次被害は確認されておらず、両社は当局への報告や対象顧客への個別案内の手続きを進めています。
企業として考えたいこと
自社のシステムが安全であっても、提携先や委託先のシステム経由で重要データが抜き取られるリスクを想定し、接続経路の制限や最小限のデータ連携を徹底できているでしょうか。
技術的な要約
KDDIは2026年10月30日、共同で生命保険販売を行うライフネット生命保険の連携システムが不正アクセスを受け、KDDIが保有する最大2万2541人分の顧客情報が外部に流出した可能性があると発表した。ライフネット生命が10月23日に自社システムへの不正アクセスを検知してKDDIに報告し、KDDIは翌24日までに両社システム間のアクセス経路を遮断した。悪意のある第三者がライフネット生命側システムの脆弱性を突いてKDDI側の情報を取得したとみられている。流出の恐れがある情報は氏名、郵便番号、電話番号、メールアドレス、会員識別子などで、パスワードやクレジットカード情報、口座情報などの金融情報は含まれていない。現時点で情報の悪用による二次被害は確認されておらず、「auの生命ほけん」の一部機能のメンテナンスが継続されている。
攻撃の分類
- 侵入口
- 不明ライフネット生命のKDDI連携システム（LNシステム）の一部機能の脆弱性を突いた不正アクセスとされているが、具体的な攻撃経路や脆弱性の詳細は公表されていない。
- 脆弱性
- CVE 非公表不明ライフネット生命の連携システム（LNシステム）の一部機能に脆弱性が存在したとされるが、具体的な製品名やCVE番号は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 提携サービス「auの生命ほけん」において申し込み受け付けを含む一部機能を停止し、メンテナンスを実施。KDDIの通信設備やライフネット生命の他システムへの影響はない。期間：2026-10-30公表時点でメンテナンス継続中（再開時期未定）
- データ
- おそれ上限 22,541確定 —件氏名メール電話会員ID性別生年月日その他内訳は「氏名・郵便番号・メールアドレス・会員識別子」8434件、「メールアドレス・会員識別子」4888件、「氏名・郵便番号・電話番号・メールアドレス・会員識別子」4524件、「氏名・郵便番号・会員識別子」3662件、「会員識別子」807件、「氏名・郵便番号・電話番号・会員識別子」226件。一部の顧客については性別および生年月日も含まれる。郵便番号はその他の項目に含まれる。パスワード、クレジットカード情報、口座情報、運転免許証などの本人確認情報、保険契約情報は含まれていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 共同で生命保険サービスを提供するライフネット生命の連携システムが不正アクセスを受け、脆弱性を突かれてKDDI側のシステムが保有する顧客情報が持ち出された。
時系列
- 2026-10-23
- 2026-10-23
- 2026-10-23
- 2026-10-24
- 2026-10-30
- 2026-10-30
- 2026-10-30
- 2026-10-30
技術解説
連携システムを介した顧客情報流出の経緯と影響範囲 事実
本件は、KDDIとライフネット生命が共同提供する「auの生命ほけん」の連携システムにおいて発生した不正アクセス事案である。2026年10月23日にライフネット生命が自社システム（LNシステム）への不正アクセスを検知してKDDIへ報告し、ライフネット生命は被疑箇所を特定して技術的な防御措置を実施した。翌24日にはKDDIが自社システム（Kシステム）へのアクセス経路を遮断した。漏えいの可能性がある顧客情報はKDDIが保有する最大2万2541件であり、内訳は「氏名・郵便番号・メールアドレス・会員識別子」（8,434件）や「メールアドレス・会員識別子」（4,888件）などの6区分で、一部で性別や生年月日も含まれる。一方で、パスワードやクレジットカード情報、口座情報、本人確認書類、ライフネット生命の保険契約情報は含まれていない。侵入は連携部分に限定されており、KDDIの通信設備やライフネット生命の他システムへの影響はなく、二次被害も確認されていない。
パートナー間連携における信頼関係と脆弱性管理の課題 解釈
自社インフラや基盤システムが強固に防御されていても、提携先・アライアンス先との連携経路に脆弱性が存在すると、そこが攻撃の踏み台となり自社が保有する重要データへアクセスされる構造的なリスクが浮き彫りとなった。本件ではライフネット生命側のLNシステムの脆弱性を突かれたことでKDDI側のKシステム上の顧客情報が外部から不正に取得されたとみられている。複数の企業がAPIや専用回線、認証基盤を介して相互に接続するアライアンス事業では、相互接続点における信頼関係が前提となりやすい。しかし、連携先システムのアプリケーションや公開インターフェースに脆弱性が存在した場合、境界防御をすり抜けてデータ取得が行われるおそれがある。連携する機能ごとにアクセスできるデータの項目を最小権限に絞り、システム境界で異常なデータ要求やアクセス頻度を監視・検知する仕組みの重要性が示唆される。
インシデント検知後の初動対応と公表における評価 解釈
検知から初動対応における連携速度は迅速であったとみられる。2026年10月23日の検知当日にライフネット生命からKDDIへの報告および被疑箇所の防御措置が講じられ、翌24日にはKDDI側で接続経路の遮断が完了している。これにより攻撃の拡大は連携部分にとどまり、KDDIの通信インフラやライフネット生命の他基盤への波及は防がれた。また「auの生命ほけん」の一部機能停止・メンテナンスを継続したうえで、10月30日に共同で事実関係を公表した。公表内容においては、流出確定ではなく「おそれ」であること、最大件数2万2541件の組み合わせ別内訳を明示し、金融情報や契約情報が含まれていない事実を具体的に説明している。検知から公表まで約1週間を要しているが、遮断完了と影響調査の精査を行った上での共同発表として一定の透明性と実効性を確保した対応といえる。
対応
- 封じ込め
- ライフネット生命が被疑箇所を特定して技術的な防御措置を講じ、KDDIは翌2026年10月24日までにLNシステムから自社Kシステムへのアクセス経路を遮断した。また「auの生命ほけん」の一部機能を停止してメンテナンスを実施している。
- 公表の仕方
- 2026年10月30日に両社が共同で事実関係を公表。対象顧客へ個別に案内を送る方針を提示し、企業側からパスワード等を尋ねることはないとして警戒を呼びかけた。
- 当局対応
- 関係当局（名称非公表）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 外部パートナー連携インターフェースの最小権限原則の徹底 | パートナー企業とのAPIやシステム連携において、連携先から照会・取得可能なデータ項目を業務遂行に必要な最小限に絞り、不要な個人情報項目へのアクセス認可を排除する。 |
| システム間連携における異常なアクセスパターンの検知と自動遮断 | 連携インターフェースにおいて通常のトラフィックパターンから逸脱した大量データ取得や異常なリクエストを監視し、しきい値超過時にアラート発令や一時的アクセス制限を行う機構を導入する。 |
| 提携・連携システムに対する共同での脆弱性診断およびセキュリティ監査 | 自社単体だけでなく、他社と共同提供するサービスや相互連携する公開システムについて、定期的なペネトレーションテストやソースコード診断を連携要件として義務付ける。 |
| インシデント発生時におけるパートナー間の迅速な緊急連絡と遮断手順の整備 | 他社システム侵害が判明した際、即座に接続経路を物理的・論理的に切り離せるエスカレーションフローおよび緊急遮断の運用手順（Runbook）を策定・訓練しておく。 |
自組織などでの確認項目
- 提携先やパートナー企業と連携している社内APIや接続経路において、不要なデータ項目まで照会可能になっていないか。
- 連携先システムからのリクエストに対してレートリミットや異常検知を導入し、不正アクセス時に即座に遮断できる設計になっているか。
- パートナー企業との間で、インシデント検知時の報告期限や共同調査、公表に関するSLAや取り決めが明確に定義されているか。
未解明点
- 悪用されたライフネット生命連携システム（LNシステム）の脆弱性の具体的な内容（CVE番号やソフトウェア製品、またはWebアプリケーションの設計上の不備）は何であったのか。
出典
- 1BigGo ファイナンス報道本文確認済
- 2財経日報2026-10-30報道本文確認済
- 3FNNプライムオンライン2026-10-30T18:46:00+09:00報道本文確認済
- 4NHK2026-10-30報道本文確認済
- 5共同通信2026-10-30報道本文確認済
- 6時事通信2026-10-31報道本文確認済
- 7KDDI株式会社・ライフネット生命保険株式会社2026-10-30公式本文確認済
- 8セキュリティ対策Lab2026-10-31報道本文確認済
- 9ITmedia Mobile2026-10-30報道本文確認済