アクサ損害保険「MyAXA」への不正アクセス
公表日
アクサ損害保険の契約者向けマイページ「MyAXA」が第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、関連するWebサービスが一時停止されました。
対象者は？
「MyAXA」の利用者（個人情報の流出有無や対象の情報項目、人数・件数は調査中で確定していません）。
現時点で個別の確認方法は案内されていません。不審な連絡やメール・SMSに注意してください。
いますぐできること
- 不審なメールやSMSに記載されたリンクを開かないようにしてください。
- 身に覚えのない連絡でパスワードや認証コードの入力を求められても、絶対に入力・提供しないでください。
何が起きたのか
アクサ損害保険が運営する契約者専用マイページ「MyAXA」に対し、第三者からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が確認されました。同社は情報保護のために必要なセキュリティ対策を行い、関連するWebサービスを一時的に停止しました。その後、安全性が確認できたとして2026年11月12日にサービスが再開されました。
なぜ起きたのか・なぜ広がったのか
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が行われた具体的な原因や侵入経路、被害が広がった理由などはまだ公表されておらず、詳細な調査が進められています。
いまの状況2026-11-12 時点続報待ち
関連するWebサービスは安全性を確認した上で再開されていますが、個人情報の流出有無や対象となる人数・件数などはまだ発表されていません。同社による詳細な調査が続けられています。
企業として考えたいこと
自社の顧客向けマイページやWebサービスで不正ログインの兆候を検知した場合、迅速に遮断しつつ安全に再開するための手順は整っていますか？
技術的な要約
アクサ損害保険株式会社は2026年11月12日、契約者向けマイページ「MyAXA」に対して第三者による不正アクセスがあったと発表した。同社は不正アクセスの検知後、情報保護のため直ちに必要なセキュリティ対策を講じるとともに関連するWebサービスを一時停止した。安全性を確認できたとして2026年11月12日にサービスを再開している。第一報の公表時点で個人情報の流出有無や対象の情報項目、件数・人数などは確定しておらず、経緯および影響範囲について詳細な調査が続けられている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明お客さま専用マイページ「MyAXA」に対する第三者による不正アクセスが確認されたが、具体的な侵入経路や手法は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 不正アクセス検知後にお客さま情報保護のため関連するWebサービスを一時停止。安全性が確認できたとして2026年11月12日に再開。
- データ
- 調査中上限 —確定 —第一報時点では個人情報流出の有無、対象の情報項目、人数・件数について確定した説明はなく、詳細な調査中とされている。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-11-12
- 2026-11-12
- 2026-11-12
技術解説
不正アクセスの検知とWebサービスの一時停止および再開の経緯 事実
アクサ損害保険株式会社は2026年11月12日、契約者向けマイページ「MyAXA」に第三者による不正アクセスがあったと発表した。同社は不正アクセスの検知後、情報保護のため直ちに必要なセキュリティ対策を講じるとともに、関連するWebサービスを一時停止していた。その後、安全性を確認できたとして2026年11月12日に関連Webサービスを再開した。公表時点の第一報では、個人情報の流出有無、対象の情報項目、人数や件数について確定した説明はなく、不正アクセスの経緯および影響範囲について詳細な調査が進められている。また、同社は利用者に対して不審なメールやSMSのリンクを開かず、パスワードや認証コードを入力・提供しないよう注意喚起を行っている。
迅速なサービス停止・再開と注意喚起からみる初期初動の評価 解釈
アクサ損害保険は不正アクセスを検知した直後に関連Webサービスを停止し、安全性を確認した上で同日中に再開を発表している。この初期対応は、被害の拡大を防ぐ遮断措置を速やかに行いつつ、利用者の利便性への影響を最小限にとどめようとしたものと評価できる。一方で、サービス再開の時点で具体的な侵入経路や影響範囲、個人情報流出の有無が確定していない段階であった。そのため、再開にあたっては潜在的な脆弱性や悪用手法に対する暫定対処が適切に完了していたのかどうかが問われる。公表文書において契約者に対しパスワードや認証コードの詐取・提供への警戒を強く呼びかけている点からは、フィッシング詐欺やクレデンシャルスタッフィング（パスワードリスト攻撃）など、認証情報の窃取・悪用を伴う手口を警戒した安全措置が講じられた可能性が考えられる。調査の進展に伴う詳細な情報開示が待たれる。
会員向けポータルにおける認証セキュリティと事後調査の課題 解釈
保険契約者のマイページは、契約内容や個人情報などの重要データが集約される拠点であり、攻撃者にとって高い価値を持つ標的となりやすい。今回のように詳細な侵入経路が調査中である段階では、正規の認証情報を悪用したなりすましログインなのか、あるいはWebアプリケーション側の脆弱性を悪用したものなのかによって、必要となる恒久対策は大きく異なる。もし認証情報の流用が疑われる場合、多要素認証（MFA）の導入や不審なログイン試行の検知・遮断ルールの強化が不可欠となる。また、一次対応としてサービスを速やかに再開したとしても、攻撃者がアクセスしたセッション履歴やログの追跡調査を網羅的に実施できなければ、隠れた情報流出を見逃すリスクが残る。今後の調査において、侵入の経緯や被害範囲がどこまで特定され、再発防止策としてどのような認証・監視の強化が示されるかが注目される。
対応
- 封じ込め
- 不正アクセスの検知後、情報保護のため直ちに必要なセキュリティ対策を講じ、関連するWebサービスを一時停止した。安全性を確認した上で再開した。
- 公表の仕方
- 2026年11月12日にWebサイト上で「当社のお客さま専用マイページ「MyAXA」への不正アクセスに関するお知らせ（第1報）」を公表し、注意喚起を行った。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 不正アクセス検知時の迅速なアクセス遮断と影響範囲の局所化 | Webアプリケーションや認証基盤において、異常なアクセスパターンやブルートフォース試行を自動検知した際に、該当セッションの無効化や特定IPアドレスからの通信遮断、必要に応じた関連APIエンドポイントのメンテナンス切り替えを即座に実行できる非常停止ワークフローを整備・自動化する。 |
| 会員向けマイページにおける多要素認証（MFA）の導入と適用強制 | マイページへのログインや契約情報変更、機微情報の照会などの重要操作に対し、SMSや認証アプリによるワンタイムパスワード（TOTP）やFIDO2/WebAuthn規格に準拠した多要素認証（MFA）を必須化し、万一ID・パスワードが漏洩した場合でも不正ログインを防止する。 |
| パスワードリスト攻撃・クレデンシャルスタッフィングへの多層防御 | ログインエンドポイントに対してレートリミット（接続頻度制限）を設定し、WAFやBot管理ソリューションを導入して分散型ブルートフォース攻撃を遮断する。また、既知の漏洩認証情報データベースとの照合を行い、一致した場合は強制パスワードリセットを要求する仕組みを実装する。 |
| インシデント発生時の利用者の二次被害防止に向けた迅速な注意喚起 | 被害調査中であっても、不審なフィッシングメールやSMSによるワンタイムパスワード等の騙取手口について、サービス画面上のバナー表示や公式通知を通じて具体的に注意を促し、不審なリンクを踏ませない・認証情報を入力させないための行動指針を速やかに周知する。 |
自組織などでの確認項目
- 自組織が提供する顧客向けWebサービスや会員ポータルにおいて、短時間の大量ログイン試行や分散IPからの不正アクセスを検知・自動遮断する仕組み（WAFやレートリミット、Bot対策）が導入されているか。
- 会員向けシステムにおいて、多要素認証（MFA）が提供されているか。また、パスワードの使い回しや漏洩認証情報を悪用したログインを検知・防御する対策が講じられているか。
- 不正アクセスを検知した際、影響を受けるサービスや通信を迅速に遮断しつつ、ログを保全してフォレンジック調査を実施できる手順および体制が確立されているか。
未解明点
- 不正アクセスの具体的な侵入経路（脆弱性の悪用、パスワードリスト攻撃、認証情報の漏洩など）は何か。また、個人情報の漏洩や改ざんなどの実被害は実際に発生したのか。
- 不正アクセスの検知からサービス停止、そして再開に至るまでにどのような技術的対策が講じられ、安全性が確認されたのか。
出典
- 1セキュリティ対策Lab2026-11-12報道本文確認済
- 2アクサ損害保険株式会社2026-11-12公式本文確認済