新日本検定協会へのランサムウェア攻撃（損保6社の顧客情報を含む約3万350件が流出の可能性）
公表日
損害保険会社の損害調査を請け負う新日本検定協会がランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃を受け、損保6社の顧客情報を含む最大約30,350件の個人データが流出した可能性が高いと発表しました。ダークウェブ通常のブラウザや検索エンジンではたどり着けない、特殊なソフトを使ってアクセスするネット上の領域です。匿名性が高いため、盗まれた個人情報やID・パスワードの売買、リークサイトの運営に使われることがあります。などへの流出や不正利用は、現時点で確認されていません。
対象者は？
協会が流出の可能性が高いとしたのは、業務関係者約30,000件、従業員・退職者等約300件、採用候補者約50件（計約30,350件）です。業務関係者には、委託元の損保6社（東京海上日動、三井住友海上、損保ジャパン、あいおいニッセイ同和、共栄火災、楽天損保）の顧客・事故関係者などが含まれます。情報は氏名・住所・電話番号・メールアドレス等とされ、クレジットカードや口座の情報が含まれるとは、参照した資料には書かれていません。
対象の可能性がある人には、業務関係者は取引先経由または協会から、従業員・採用候補者は協会から個別に連絡が行われます。東京海上日動の問い合わせ窓口は0120-735-232（月〜金9:00〜17:00、土日・祝日除く）です。
いますぐできること
- 協会や取引先から連絡が届いたら、内容を確認する。
- 協会が呼びかけているとおり、関係するサービスのパスワードを変更する。
- 不審なメールや連絡が来ても、内容を信用せず、リンクや添付ファイルを開く前に公式の窓口へ確認する。
何が起きたのか
2025年11月26日、新日本検定協会の社内サーバーに入れなくなり、複数のサーバーのデータが暗号化されていることが分かりました。協会はすぐにシステムをインターネットから切り離し、対策本部を設けて外部の専門業者に調査を頼みました。翌27日に第一報を出しています。調査は2025年末に終わり、2026年1月8日に報告書を受け取りました。報告書では、データが外部へ持ち出された可能性が高いとされました。2026年5月11日に協会が最終報を出し、同日から12日にかけて損保6社も、顧客情報が漏れた可能性を発表しました。
なぜ起きたのか・なぜ広がったのか
調査では、攻撃者がネットワーク機器の弱点を使って外部から入り込み、ドメイン管理者アカウントを不正に使って内部のネットワークに入った跡が見つかりました。協会は損保6社から損害の調査・査定の仕事を請け負っており、その業務で各社の顧客などの情報を扱っていました。そのため、協会が攻撃されたことで、6社の顧客情報も対象に含まれました。機器の製品名や攻撃者については、まだ発表されていません。
いまの状況2026-05-12 時点
協会はシステムを概ね復旧しました。攻撃を受けたサーバーを廃棄してネットワークを作り直し、バックアップから可能な限りデータを戻し、不審な動きを24時間体制で自動的に止める仕組みを整えたと発表しています。損保ジャパンは、協会への新規の損害調査の依頼を止めています。補償や、完全に復旧した時期については、参照した資料の範囲では発表が確認できません。
企業として考えたいこと
自社が仕事の相手から預かっている個人情報や取引データを、どの委託先がどこに保管しているかを、すぐに説明できますか。
技術的な要約
新日本検定協会は2025年11月26日に社内サーバーへアクセスできなくなり、複数のサーバーでデータが暗号化されるランサムウェア被害を確認した。外部専門業者の調査では、ネットワーク機器の脆弱性を悪用して外部から侵入され、ドメイン管理者アカウントが不正利用された痕跡があり、ファイル転送ツールが実行された痕跡からデータが外部へ流出した可能性が高いと判断された。協会は2026年5月11日に最終報を公表し、業務関係者約30,000件を含む計約30,350件の個人データが流出した可能性が高いとした。委託元の損保6社（東京海上日動、三井住友海上、損保ジャパン、あいおいニッセイ同和、共栄火災、楽天損保）も2026年5月11〜12日に顧客情報等の漏洩可能性を公表した。ダークウェブ・リークサイトへの流出や不正利用は現時点で確認されておらず、システムは概ね復旧し、攻撃を受けたサーバーを廃棄してネットワークを再構築した。
公開情報が限られている点について
攻撃の分類
- 侵入口
- VPN/境界機器報道・研究者協会の調査報告書によると、ネットワーク機器の脆弱性を悪用して外部から侵入され、ドメイン管理者アカウントを不正取得して内部ネットワークへログインし、リモート操作環境を構築された。システム内の構成情報の探索痕跡と、ドメインアカウントのユーザー名・パスワードを取得した痕跡も確認されている。製品名・CVEは本文に記載がない。「VPN等の境界機器と推察」との記述は報道側（セキュリティ対策Lab）の推察であり、協会の公表ではない。
- 脆弱性
- CVE 非公表報道・研究者「ネットワーク機器の脆弱性」とのみ報じられ、製品名・CVEは不明。境界機器との見方は報道側の推察。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2025-11-26に社内サーバーへアクセスできず、複数サーバーのデータが暗号化された。2025-11-27の第一報時点で復旧のめどは立っていなかった。2026-05-11の最終報時点でシステムは概ね復旧。損保ジャパンは本件判明後、協会への新規の損害調査依頼を停止した。期間：2025-11-26の被害確認から、2026-05-11の最終報時点で概ね復旧。完全復旧の日付は公表されていない。
- データ
- おそれ上限 30,350確定 —件氏名住所電話メール生年月日従業員情報取引先情報業務データ協会が流出の可能性が高いと判断した個人データ計約30,350件（業務関係者約30,000件、従業員・退職者等約300件、採用候補者約50件）。業務関係者には輸出入業者・船会社・保険会社・銀行等の取引先担当者情報が含まれる可能性があり、主に委託元損保各社の顧客情報に相当する。損保各社の報告件数は、東京海上日動約1,500件、三井住友海上6,176件、損保ジャパン296件。情報は氏名・住所・電話番号・メールアドレス・証券番号・事故番号・生年月日など。ダークウェブ・リークサイトへの露出や不正利用は確認されていない。
- 波及先
- 6 社
- 東京海上日動火災保険：貨物保険・船舶保険・火災保険などの損害査定業務に係る情報約1,500件
- 三井住友海上火災保険：契約者・被保険者・代理店・事故被害者ら計6,176件
- 損害保険ジャパン：個人情報296件
- 共栄火災海上保険：顧客、調査に関わった関係先、同社従業員の情報（2026-05-12発表）
- 楽天損害保険：2019〜2024年に委託した運送保険の事故調査業務に係る荷主等の情報
- あいおいニッセイ同和損害保険
- 金銭影響
- —
- サプライチェーン
- 損害査定・調査業務の委託先である新日本検定協会が攻撃を受け、委託元の損保6社の顧客情報等が間接的に漏洩した可能性がある、サプライチェーン型のランサムウェア事案とされる。
時系列
技術解説
攻撃の流れと構造 事実
新日本検定協会は2025年11月26日に社内サーバーへアクセスできなくなり、複数のサーバーでデータが暗号化されていることを確認した。外部専門業者の調査報告書（2026年1月8日受領）によると、攻撃者はネットワーク機器の脆弱性を悪用して外部から侵入し、ドメイン管理者アカウントを不正に利用して内部ネットワークへログインした。リモート操作ができる環境を構築し、構成情報の探索や、ドメインアカウントのユーザー名・パスワードを取得した痕跡も確認されている。ファイル転送ツールが実行された痕跡があることから、協会はデータが外部へ流出した可能性が高いと判断した。製品名とCVEは公表されていない。
影響範囲と数値の読み方 事実
協会は、業務関係者約30,000件、従業員・退職者等約300件、採用候補者約50件、計約30,350件の個人データが流出した可能性が高いと判断している。これは可能性が高いという判断であり、流出が確定した件数は示されていない。情報は氏名・住所・電話番号・メールアドレス等とされる。委託元の損保各社の報告は、東京海上日動が約1,500件、三井住友海上が6,176件、損保ジャパンが296件である。あいおいニッセイ同和、共栄火災、楽天損保を含む6社が2026年5月11〜12日に公表した。参照した資料には、各社件数と協会の約30,000件の関係を示す合算や重複の説明はない。ダークウェブ等への露出や不正利用は確認されていないとされる。
被害が複数社に及んだ構造（解釈） 解釈
協会は6社から損害査定・調査業務を受託しており、各社の顧客や事故関係者の情報を業務上受け取る立場にあった。そのため協会の環境に侵入されると、委託元6社の情報が同時に対象になり得る構造だったと考えられる。報道は、協会が約30,000件と公表した業務関係者データが主に委託元損保各社の顧客情報に相当すると伝えている。委託先1か所の侵害が複数の委託元へ波及する点は、サプライチェーン型の典型的な特徴である。ただし、各社が協会へ渡していた情報の範囲や保管期間の詳細は公表資料から読み取れず、被害規模との関係は推測にとどまる。
公表の経過についての見方（解釈） 解釈
協会は発覚翌日の2025年11月27日に第一報を出し、2026年1月8日に調査報告書を受領し、5月11日に最終報を公表した。損保各社は5月11〜12日に相次いで公表している。報告書の受領から最終報までは約4か月あるが、この間に何が行われたか（対象者の特定、委託元との調整など）は参照資料に書かれていない。したがって、この期間の長短を評価することはできない。第一報で復旧のめどが立っていないことを示し、最終報で原因、件数、再発防止策をまとめて示した点は、情報が一定程度整理されて伝えられたと見ることもできる。一方で、製品名や侵入日は公表されておらず、他の組織が自社の対策に生かせる情報には限りがある。
対応
- 封じ込め
- 協会は発覚後、直ちに対象システムをインターネットから隔離・遮断し、対策本部を設置して外部専門業者へ調査を依頼した。攻撃を受けたサーバーを廃棄してネットワークを再構築し、可能な限りのデータをバックアップから復元した。従来の振る舞い検知に加え、24時間体制で不審な挙動をリアルタイムに自動遮断する仕組みを整備した。関係者へパスワード変更や不審なメール・連絡への注意を呼びかけている。損保ジャパンは協会への新規の損害調査依頼を停止した。
- 公表の仕方
- 2025-11-27にホームページで第一報を公表し、2026-01-08の調査報告書受領を経て、2026-05-11に最終報を公表した。対象者には、業務関係者は取引先経由または協会から、従業員・採用候補者は協会から個別に連絡する。損保各社は2026-05-11〜12に公表し、東京海上日動は問い合わせ窓口（0120-735-232、月〜金9:00〜17:00、土日・祝日除く）を案内、業務委託先に対する管理体制の一層の強化に努めるとしている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| ネットワーク機器の脆弱性が侵入口になり得る。外部に公開している機器の把握と更新が要る | インターネット側に公開している機器（VPN装置、ルーター、FW等）を資産台帳に載せ、ベンダーの脆弱性情報を購読する。重大な脆弱性は期限を決めて更新し、更新できない場合は管理画面の公開停止や接続元制限で暫定対応する。 |
| ドメイン管理者アカウントが悪用されると被害が組織全体に広がる | ドメイン管理者を日常業務のアカウントから分離し、管理用端末を限定する。多要素認証を適用し、管理者グループへの追加や管理者ログオンを監視して通知する。サービスアカウントの権限も棚卸しする。 |
| 暗号化の前にデータ持ち出しが行われる。外向き通信とファイル転送ツールの検知が要る | サーバーからの外向き通信を許可リスト方式で制限する。未承認のファイル転送・リモート操作ツールをEDRで検知してブロックし、大量の外向き通信にアラートを設定する。 |
| 委託先に渡した個人情報が委託先の事故で漏れる。委託する情報の量と保管期間を管理する | 委託先ごとに預けているデータ項目・件数・保管期間を一覧にし、不要になった案件データの削除や返却を契約と運用で定める。委託先の侵害を想定した連絡手順と、顧客への通知文面を事前に用意する。 |
| 復旧には時間がかかり得る。バックアップと再構築の手順を事前に決めておく | バックアップを本番ネットワークから分離し、書き換え不可の保管先を使う。復元の実地訓練を行い、侵害されたサーバーを廃棄して再構築する場合の手順と優先順位を決めておく。 |
自組織などでの確認項目
- 自組織のインターネットに公開している機器（VPN装置やルーター等）を、すべて一覧にできているか。それぞれの最新の更新状況を確認できるか。
- ドメイン管理者アカウントは何個あり、日常業務で使われていないか。管理者権限での不審なログオンを検知する仕組みはあるか。
- 自組織が委託先に渡している個人情報や業務データの項目・件数・保管期間を、委託先ごとに説明できるか。委託先から事故の報告を受ける手順は決まっているか。
- サーバーから外部へ大量のデータが送られた場合や、未承認のファイル転送ツールが動いた場合に、気づける仕組みと担当者が決まっているか。
未解明点
- 悪用されたネットワーク機器の製品名・バージョン・CVEは公表されていない。
- 侵入された日と、攻撃者がデータを持ち出した時期は示されていない。
- 攻撃者の名称や、犯行声明の有無は公表されていない。
- 流出が確定した件数は示されておらず、損保6社の件数と協会の約30,000件の関係は、参照した資料では不明である。
- 協会の完全復旧の時期や、対象者への補償・見舞いについては、参照した資料からは確認できない。
出典
- 1ASCII.jp2024-10-08報道本文確認済
- 2BSRweb（株式会社プロトリオス）2026-05-13報道本文確認済
- 3INTERNET Watch2024-07-11報道本文確認済
- 4セキュリティ対策Lab（合同会社ロケットボーイズ）2026-05-12報道本文確認済
- 5セキュリティ対策Lab（合同会社ロケットボーイズ）2026-05-14報道本文確認済
- 6ScanNetSecurity2026-05-25報道本文確認済
- 7ScanNetSecurity2026-05-27報道本文確認済