三井住友海上およびあいおいニッセイ同和損保などへの不正アクセスに伴う情報漏えいとサービス停止（約50.9万件）
公表日
三井住友海上とあいおいニッセイ同和損保などで、契約者情報が最大約50.9万件漏えいしたことが確認されました。氏名・住所・電話番号などが含まれ、Webサービスの停止が続いています。
対象者は？
あいおいニッセイ同和損保「ご契約者さま専用ページ」の登録顧客約44.4万件、三井住友海上「ご契約者さま専用ページ」の登録顧客約3.7万件、三井住友海上「MSコンパス」のセミナー申込者・問い合わせフォーム利用者約2.3万件、三井住友海上あいおい生命保険の顧客約5,300件（損保2社の専用ページに生命保険契約を表示する設定をしていた方）。情報は氏名、住所、電話番号、保険証券番号、メールアドレスなどです。あいおいニッセイ同和損保ではカード名義人とカード番号の下4桁（3件）、口座名義人名・金融機関名・口座番号の一部（19件）も含まれました。三井住友海上の専用ページ分には、カード情報・口座情報は含まれないと説明されています。
各社の公式サイトのお知らせで、対象かどうかを確認してください。個別の通知方法は、確認できた範囲では示されていません。
いますぐできること
- 公式サイトのお知らせで、自分が対象かどうかを確認する。
- 身に覚えのない電話・メール・郵便には、保険証券番号などを伝えず、公式の窓口に確認する。
- カードや口座の明細に不審な動きがないか確認する。
何が起きたのか
2026年11月2日、両社のシステムが外部から不正にアクセスされました。両社は翌3日から契約者向けのWebサービスを止め、4日に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受けたと発表しました。この時点では個人情報の流出は確認されていないと説明していましたが、その後の調査で情報の漏えいが確認され、6日に公表されました。9日には、三井住友海上が「MSコンパス」でも約2.3万件の漏えいがあったと発表しました。電話や代理店での相談・受付は続いています。
なぜ起きたのか・なぜ広がったのか
侵入の方法や攻撃した相手は、まだ発表されていません。件数が多くなった理由も公表されていません。
いまの状況2026-11-09 時点続報待ち
2026年11月9日8時時点で、三井住友海上は計14のサービス・機能を停止しています。再開時期は、確認できた範囲では発表されていません。侵入経路などの調査は続いており、続報待ちです。
企業として考えたいこと
自社の会員向けサイトで不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。があったとき、どの情報が何件含まれるかを短時間で把握でき、最初の発表を後から訂正する手順も決まっていますか。
技術的な要約
MS&ADインシュアランスグループの三井住友海上火災保険とあいおいニッセイ同和損害保険は、2026年11月2日に自社システムへの不正アクセスを検知し、顧客情報保護のため契約者向けWebサービス等を一時停止した。その後の影響調査により、あいおいニッセイ同和損保の「ご契約者さま専用ページ」登録顧客約44.4万件、三井住友海上の同ページ登録顧客約3.7万件および「MSコンパス」登録者約2.3万件、三井住友海上あいおい生命保険の約5,300件の計約50.9万件の情報漏えいが確認された。漏えい情報には氏名・住所・電話番号・保険証券番号などのほか、あいおいニッセイ同和損保の一部顧客におけるクレジットカード情報下4桁（3件）や口座番号の一部（19件）が含まれていた。両社はサービス停止対象を拡大して調査・対応を継続している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明原因や侵入経路は未公表。両社共通システムへの第三者からの不審なアクセス・不正アクセスと発表されている。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2026年11月3日以降、契約者向けWeb手続きサービス等を順次停止。11月6日時点で三井住友海上12サービス、あいおいニッセイ同和損保7サービスが停止し、11月6日には「MSコンパス」が一時閉鎖された。11月9日8時時点で三井住友海上は「MSコンパス」を含む計14サービス・機能の停止を継続。電話や代理店経由の相談・受付業務は継続。期間：2026-11-03から継続中
- データ
- 確定上限 509,300確定 509,300件氏名住所電話メールクレカ口座その他漏えい内訳は、あいおいニッセイ同和損保「ご契約者さま専用ページ」約44.4万件（うちクレジットカード名義人・下4桁が3件、口座名義人・金融機関名・下3桁を除く口座番号が19件）、三井住友海上「ご契約者さま専用ページ」約3.7万件（保険証券番号、氏名、住所、電話番号、メールアドレス等。クレカ・口座情報は含まれず）、三井住友海上「MSコンパス」約2.3万件（2023年11月〜2026年11月のセミナー申込者・問い合わせフォーム利用者）、三井住友海上あいおい生命保険約5,300件（損保2社の専用ページに生保契約を表示設定していた顧客）。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 三井住友海上火災保険およびあいおいニッセイ同和損害保険の自社共通システムへの不正アクセス。
時系列
- 2026-11-02
- 2026-11-03
- 2026-11-03
- 2026-11-03
- 2026-11-04
- 2026-11-04 08:00
- 2026-11-04 08:00三井住友海上火災保険が停止対象を更新し、「ご契約者さま専用ページ」「1DAY保険」など計9サービスの停止を公表。7
- 2026-11-05
- 2026-11-06あいおいニッセイ同和損保がシステムメンテナンスに伴う一部サービスの停止について案内を掲載。8
- 2026-11-06
- 2026-11-06 12:00
- 2026-11-09三井住友海上火災保険が、中堅・中小企業向け情報サイト「MSコンパス」への不正アクセスにより顧客情報約2万3,000件が漏えいしたと発表。停止対象は計14サービス・機能となる。7
技術解説
検知から情報漏えい確認までの公表の推移 事実
三井住友海上火災保険とあいおいニッセイ同和損害保険は、2026年11月2日に自社システムへの不正アクセスを受けた。両社は11月3日付でサービスの一時停止を公表し、11月4日午前8時時点の停止対象を更新した。11月4日には、自社システムが2日に不正アクセスを受けたと発表した。この段階では個人情報の流出は確認されておらず調査中と説明していた。その後11月6日、影響調査の過程で情報漏えいが発生したことを確認したと公表した。当初は流出を確認していないとしていたが、その後漏えいの確認へと訂正された経緯である。件数はあいおいニッセイ同和損保が約44.4万件、三井住友海上が約3.7万件、三井住友海上あいおい生命保険が約5,300件で、いずれも11月6日9時時点で把握している数字として公表された。11月9日には三井住友海上が「MSコンパス」で約2万3,000件の漏えいを発表した。
漏えいした情報の内訳 事実
あいおいニッセイ同和損保の約44.4万件には、クレジットカード名義人とカード番号の下4桁が3件、口座名義人名・金融機関名・口座番号（下3桁を除く部分）が19件含まれていた。三井住友海上の「ご契約者さま専用ページ」約3.7万件は、保険証券番号、氏名、住所、電話番号、メールアドレスなどが対象と説明されている。生命保険については、損保2社の専用ページに生命保険契約を表示するよう設定していた顧客の約5,300件が対象である。「MSコンパス」では、2023年11月〜2026年11月のセミナー申込者と問い合わせフォーム利用者が対象に含まれる。MSコンパスでは11月2〜3日に不正アクセスを検知し、3日に一部アクセスを制御、6日にサイト全体を一時閉鎖したと報じられている。報道では11月6日時点の合計を約48万件、約48万1千件などと伝えている。
サービス停止の拡大と業務への影響 事実
停止範囲は段階的に広がった。11月4日午前8時時点では、あいおいニッセイ同和損保が計6サービス、三井住友海上が計9サービスを停止対象として案内した。11月6日12時時点では、あいおいニッセイ同和損保が7サービス（ご契約者さま専用ページ、ワンデーサポーター、eとらべる海外旅行保険、Myエージェント、法人お客さまWebサービス、e-G1、ウェブサイトからの事故の連絡）、三井住友海上が12サービス（インターネット事故受付、MSコンパスなどを含む）となった。11月9日8時時点で、三井住友海上は「ご契約者さま専用ページ」「1DAY保険」「法人お客さまWebサービス」「MSコンパス」など計14サービス・機能を停止対象として掲載している。電話や代理店経由の相談・受付は継続されている。再開時期は、確認できた範囲では示されていない。
共通基盤とグループ連携に関する見方 解釈
両社は2027年4月1日に合併を予定しており、共通システムが不正アクセスを受けたと報じられている。共通基盤の存在が複数社・複数サービスの同時停止につながった可能性はあるが、侵入経路が公表されていないため、共通化と被害拡大の因果関係は断定できない。生命保険会社の顧客情報が損保2社の専用ページの表示設定を介して含まれた点は、グループ内の連携が影響範囲を広げうることを示す。MSコンパスは専用ページとは別のサイトであり、同時期に別系統でも不正アクセスが確認されたことから、複数の入口が狙われた可能性と、共通の原因があった可能性の両方が考えられる。どちらかは現時点で判断できない。
段階的な公表の評価と残る課題 解釈
漏えい件数は11月6日に一度公表され、その後11月9日にMSコンパスの約2万3,000件が追加された。調査の進展に応じて対象が増えており、今後も件数や対象サービスが変わる可能性がある。カードや口座に関わる情報が含まれる件数まで区別して示されたことは、利用者が自分への影響を判断する助けになる。一方で、侵入経路、攻撃者、悪用された脆弱性は公表されていない。専用ページから大量の登録情報が取得された方法も不明で、再発防止策の妥当性を外部から評価しにくい。調査中の事案として、続報の確認が必要である。
対応
- 封じ込め
- 2026年11月3日より契約者向け専用ページや各種オンライン手続きサービスを一時停止。11月3日に「MSコンパス」の一部アクセス制御を実施し、11月6日に同サイト全体を一時閉鎖した。
- 公表の仕方
- 2026年11月3日付でサービス一時停止について初報を出し、11月4日にシステムへの不正アクセス検知事実および停止対象サービスを公表。11月6日に「ご契約者さま専用ページ」等からの情報漏えい発生事実と漏えい件数を公表し、11月9日には三井住友海上が「MSコンパス」での情報漏えいおよび14サービス停止を公表した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 初期の「流出未確認」が後に訂正されうる前提で情報を出す | 初報・続報のテンプレートに「確認済みの範囲」「調査中の範囲」「時点（日時）」を必須項目として設け、漏えい確認時に過去の記述との差分を明示して訂正できる運用にする。ログ保全期間と調査完了の見込みを事前に定める。 |
| 共通基盤・グループ連携による影響範囲の拡大に備える | 複数社・複数サービスで共有する認証基盤やデータ連携を棚卸しし、サービス単位でID・権限・ネットワークを分離する。他社の契約情報を表示する連携設定は、取得できる項目と件数の上限をAPI側で制限する。 |
| 登録情報に含まれる決済・口座関連項目を最小化する | 会員ページに保存するカード番号は下4桁など表示用に限り、口座情報も必要最小限のマスキング済み値だけを保持する。項目ごとの保存要否をデータ棚卸しで見直し、不要なものは削除する。 |
| 停止範囲の拡大に耐える代替窓口を確保する | Web手続き停止が長引いても事故受付・契約手続きを代理店や電話で継続できるよう、手動受付手順と問い合わせ増加時の人員配置を訓練しておく。停止サービスの一覧は更新時刻付きで公開する。 |
| 周辺サイトも含めた同時侵害を確認する | 主要サイトで不正アクセスを検知したら、同一ネットワーク・同一認証情報・同一委託先を使うマーケティングサイトや問い合わせフォームも並行調査の対象とし、アクセスログの横断検索を行う。 |
自組織などでの確認項目
- 自組織の会員ページや契約者ページに保存している情報の項目と件数を把握しており、カード番号や口座情報の保持が必要最小限か確認できているか。
- グループ会社や他部門と共有するシステムで、他社・他部門のデータを表示する設定が、どの範囲の情報を取得できるか確認しているか。
- 不正アクセスの検知後に「流出は確認されていない」と公表した場合、後から漏えいが判明したときに訂正を出す手順と担当者が決まっているか。
未解明点
- 不正アクセスの侵入経路、悪用された脆弱性や認証情報の有無、攻撃者は何か。
- 「ご契約者さま専用ページ」と「MSコンパス」は同じ原因・同じ侵入経路によるものか。
- 漏えい件数は11月6日9時時点の数字と11月9日の追加分から、今後さらに増えるか。
- 停止中の14サービス・機能（三井住友海上）などの再開時期はいつか。
- 当局への報告内容と、対象者への個別通知の方法・時期はどうなっているか。
出典
- 1株式会社アクト2026-11-04研究者本文確認済
- 2サイバーセキュリティ.com2026-11-05報道本文確認済
- 3ヒューマンハッカー2026-11-06報道本文確認済
- 4読売新聞オンライン2026-11-04報道本文確認済
- 5ビジネス＋IT2026-11-05報道本文確認済
- 6時事通信2026-11-04報道本文確認済
- 7セキュリティ対策Lab2026-11-04報道本文確認済
- 8あいおいニッセイ同和損害保険株式会社2026-11-06公式本文確認済
- 9あいおいニッセイ同和損保2026-11-05公式本文確認済
- 10三井住友海上2026-11-06公式本文確認済
- 11日本経済新聞2026-11-04報道本文確認済
- 12三井住友海上火災保険株式会社2026-11-06公式本文確認済
- 13三井住友海上あいおい生命保険株式会社2026-11-06公式本文確認済
- 14あいおいニッセイ同和損害保険株式会社2026-11-06公式本文確認済
- 15FinTech Journal（SBクリエイティブ）2026-11-05報道本文確認済
- 16SBクリエイティブ株式会社2026-11-06報道本文確認済
- 17SmartScope2026-11-06報道本文確認済
- 18共同通信社2026-11-06報道本文確認済
- 19NHK2026-11-06報道本文確認済