アクサ損害保険ペット保険システムへの不正アクセス（最大約55.3万件の漏えいの可能性、口座情報約7.3万口座）
公表日
アクサ損害保険のペット保険システムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、最大約55.3万件の個人情報が漏えいした可能性があると公表されました。口座情報は最大約72,901口座分が含まれ、不正利用は現時点で確認されていないとされています。
対象者は？
ペット保険システムに登録されていた、既契約者・被保険者（解約含む）、お見積りや資料請求をされた方、自動車保険の契約者・見積者でペット保険システムに自動登録された方、賠償責任保険の被害者、動物医療機関・医療調査業務協力先、保険代理店です。情報は住所・氏名・性別・生年月日・電話番号・メールアドレス・口座情報などで、区分によって含まれる項目が異なります。どれも漏えいの可能性がある件数で、確定ではありません。
アクサ損害保険コンタクトセンター（0120-981-142、平日9:00〜18:00、土曜9:00〜17:00、日曜・祝日休み）に問い合わせてください。
いますぐできること
- ご自身が対象かどうか不安な場合は、コンタクトセンター（0120-981-142）に問い合わせる。
- ペット保険を使っていない自動車保険の契約者・見積者も対象に含まれた可能性があるため、公式のお知らせの内容を確認する。
何が起きたのか
2025年7月25日、アクサ損害保険はペット保険システムの一部が第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、情報が流出した可能性があると発表しました。サーバーで通常と違う不審なアクセスの痕跡が見つかり、この時点で外部からのアクセスは遮断済みでした。2025年10月24日の第2報では、調査の結果、3月19日〜4月21日の間に第三者が情報を抜き取ろうとしていた可能性があり、最大約55.3万件が漏えいした可能性があるとされました。2026年5月15日の第3報では、総件数は変わらないまま内訳が見直され、自動車保険の契約者・見積者の約6.4万件が別の区分として示されました。口座情報の漏えい可能性は、第2報の52,953口座から約72,901口座になりました。
なぜ起きたのか・なぜ広がったのか
侵入口や手口は、まだ発表されていません。被害の範囲が広がった背景として、自動車保険にアカウント登録している方がペット保険サイトにアクセスしたりコールセンターに問い合わせたりすると、利便性向上のためにその登録情報がペット保険システムへ自動登録される仕組みがあったことが公表されています。このため、ペット保険の見積りや資料請求をしていない自動車保険の契約者・見積者の情報も、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受けたシステムに含まれていました。
いまの状況2026-05-15 時点続報待ち
同社は、情報の不正利用の事実は現時点で確認されていないとしています。自動登録の仕組みは現在廃止されています。同社は継続的なモニタリングと詳細な調査を行っているとしています。漏えいが確定した件数、当局への対応、補償や再発防止策の詳しい内容は、まだ発表されていません。
企業として考えたいこと
自社でも、あるサービスの利用をきっかけに、利用者が意識しないまま別のシステムへ顧客情報が自動で登録・保管される仕組みがないか、確認できていますか。
技術的な要約
アクサ損害保険は2025年7月25日、ペット保険システムの一部が第三者による不正アクセスを受け、情報が流出した可能性があると公表した。第1報の時点で外部からのアクセスは遮断済みで、不審な動作の封じ込めも完了していた。2025年10月24日の第2報では、フォレンジックの結果、3月19日〜4月21日の間に第三者が情報を抜き取ろうとしていた可能性があり、最大約55.3万件の個人情報が漏えいした可能性があると公表した。2026年5月15日の第3報では、総件数は変わらないものの、自動車保険の契約者・見積者のうちペット保険システムに自動登録されていた約6.4万件（金融機関口座情報19,948口座を含む）が新カテゴリとして分離され、口座情報の漏えい可能性は合計約72,901口座となった。情報の不正利用の事実は現時点で確認されていないとされる。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表では、同社のサーバーで通常とは異なる不審なアクセスの痕跡が確認されたとされるのみで、侵入口・手口は公表されていない。
- 脆弱性
- CVE 非公表不明脆弱性やその製品名は公表されていない。なお、自動車保険のアカウント登録者がマイページからペット保険サイトにアクセスした場合などに登録情報がペット保険システムへ自動登録される仕組みがあり、見積り・資料請求をしていない自動車保険の契約者・見積者の情報も被害対象システムに含まれていた（現在は廃止）。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止に関する公表は確認できない。
- データ
- おそれ上限 553,000確定 —件氏名住所性別生年月日電話メール口座その他第2報で最大約55.3万件の漏えい可能性。第3報で総件数は変わらず内訳を修正。内訳は、既契約者・被保険者（解約含む）約14.3万件（住所・氏名・性別・生年月日・電話番号・メールアドレス・証券番号・保険金給付情報・交渉履歴・口座情報52,000口座）、お見積りや資料請求をされた方 約33.5万件（第2報では約39.9万件）、自動車保険の契約者・見積者で自動登録された方 約6.4万件（住所・氏名・性別・生年月日・電話番号・メールアドレス・口座情報19,948口座）、賠償責任保険の被害者 約1千件（口座情報381口座）、動物医療機関・医療調査業務協力先 約1万件（口座情報446口座）、保険代理店199件（口座情報126口座）。口座情報の漏えい可能性は合計約72,901口座（第2報は52,953口座）。不正利用の事実は現時点で確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 本件はアクサ損害保険自社のペット保険システムへの不正アクセスとして公表されている。なお、委託先の審調社のランサムウェア被害（2025-12-09公表）は別件の公表である。
時系列
- 2025-03-19フォレンジックの結果、この日から4月21日までの間に第三者が情報を抜き取ろうとしていた可能性が判明（情報抜き取りの可能性がある期間の始期）。2
- 2025-04-21情報抜き取りの可能性がある期間の終期。2
- 2025-07-25
- 2025-07-25
- 2025-10-24
- 2025-10-24第2報で対象者・件数の詳細を公表。既契約者・被保険者約14.3万件、お見積りや資料請求をされた方約39.9万件等を含む総件数を示した。1
- 2026-05-15
- 2026-05-15第2報の「お見積りや資料請求をされた方」に、自動車保険の契約者・見積者で自動登録された方が含まれていたことが判明。約6.4万件が新カテゴリとして分離され、お見積りや資料請求をされた方は約39.9万件から約33.5万件に変更された。1
- 2026-05-15新カテゴリに口座情報19,948口座が含まれ、口座情報の漏えい可能性は合計約72,901口座（第2報は52,953口座）となった。自動登録の仕組みは現在廃止されている。1
- 2026-05-18セキュリティ対策Labが第3報の内容を報道。1
- 2026-05-29ScanNetSecurityが第2報公表の内訳を修正した旨を報道。4
技術解説
公表の経過と件数の推移 事実
2025年7月25日の第1報で、ペット保険システムの一部が第三者の不正アクセスを受け、情報が流出した可能性があると公表された。同社サーバーで通常とは異なる不審なアクセスの痕跡が確認され、不審な動作の封じ込めは完了し、外部からのアクセスは遮断済みとされた。2025年10月24日の第2報では、社内および外部専門業者のフォレンジックの結果、3月19日〜4月21日の間に第三者が情報を抜き取ろうとしていた可能性があり、最大約55.3万件の個人情報が漏えいした可能性が判明したとされた。2026年5月15日の第3報で内訳が修正されたが、総件数は第2報と変わらない。不正利用の事実は現時点で確認されていないとされている。
第3報での内訳修正と口座情報の増加 事実
第3報では、第2報の「お見積りや資料請求をされた方」に、自動車保険の契約者・見積者でペット保険に関するシステム操作を通じて自動登録された方の一部が含まれていたことが新たに判明し、約6.4万件が新カテゴリとして分離された。見積り・資料請求の区分は約39.9万件から約33.5万件に変更された。新カテゴリには金融機関口座情報19,948口座が含まれる。口座情報の漏えい可能性は合計約72,901口座で、第2報の52,953口座（52,000+381+446+126）に19,948口座が加わった。既契約者・被保険者約14.3万件、賠償責任保険の被害者約1千件、動物医療機関等約1万件、保険代理店199件の各区分は第3報でも変更がない。数値はいずれも漏えいの可能性がある件数である。
自動登録の仕組みと対象システム 事実
自動車保険でアカウント登録している顧客がマイページからペット保険サイトにアクセスした場合、またはペット保険のコールセンターに問い合わせた場合に、お客様の利便性を高める目的で、登録情報がペット保険システムに自動的に登録される仕組みがあった。この仕組みにより、ペット保険の見積りや資料請求を一切行っていなかった自動車保険の契約者・見積者の情報も、今回の不正アクセスを受けたシステムに含まれることとなった。現在この自動登録の仕組みは廃止されている。新カテゴリの対象情報は、住所・氏名・性別・生年月日・電話番号・メールアドレス・金融機関口座情報である。第1報の段階では、同社サーバーで通常とは異なる不審なアクセスの痕跡が確認されたと説明されていた。
内訳修正が示すデータ把握の難しさ 解釈
第3報は総件数を変えず区分のみを組み替えたため、影響を受ける人の総数が増えたのではなく、どの区分に属するかの整理が進んだものと読める。一方で口座情報の可能性は約5.3万口座から約7.3万口座へ増えており、区分の整理が口座情報の件数の見え方を大きく変えた。自動登録のように、本人が意識しない形で別システムへ情報が複製される構造は、影響範囲の特定で見落としが生じやすい点だと考えられる。ただしこれは公表内容からの解釈であり、同社の調査の具体的な過程は公表されていない。個別の対応を評価する材料は限られており、組織の対応の良否を断じるものではない。
段階的な公表の読み方 解釈
本件は第1報、第2報、第3報と段階的に公表され、第1報は封じ込め済みの報告と可能性の提示、第2報はフォレンジックに基づく期間と最大件数、第3報は内訳の修正という役割だった。第2報から第3報までは約7か月あり、その間に区分の再確認が行われたとみられるが、理由や経緯は公表されていない。利用者の側からは、最大件数と確定件数を区別して読み、続報で内訳が変わりうることを前提にする必要がある。本件では確定件数は公表されておらず、「最大約55.3万件」「約72,901口座」はいずれも可能性の上限として扱うのが適切である。以上は公表資料の範囲での解釈である。
対応
- 封じ込め
- 第1報の時点で外部からのアクセスを遮断する措置は実施済みで、不審な動作を封じ込める措置も完了していた。継続的なモニタリングと詳細な調査を実施。自動車保険契約者の情報をペット保険システムに自動登録する仕組みは現在廃止されている。
- 公表の仕方
- 2025年7月25日に第1報、2025年10月24日に第2報、2026年5月15日に第3報を公表。第3報で内訳を修正し、新カテゴリ約6.4万件と口座情報19,948口座を追加で示した。問い合わせ窓口はアクサ損害保険コンタクトセンター（0120-981-142、平日9:00〜18:00、土曜9:00〜17:00、日曜・祝日休み）。「お客さまおよび関係者の皆さまに多大なご心配をお掛けすることとなり、深くお詫び申し上げます」と謝罪した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 別サービスの顧客情報が自動で複製されるデータフローは、被害範囲の把握を難しくする。 | システム間のデータ連携を一覧化したデータフロー台帳を作り、自動登録・同期の対象項目を最小限にする。連携先に口座情報など高機微の項目を渡さない設計にし、定期的に棚卸しする。 |
| 内訳の区分が後から変わると、公表済みの件数や口座数の説明も変わる。 | 各レコードに由来（登録経路・登録日・元システム）の属性を持たせ、検索可能にしておく。インシデント時に経路別・属性別の件数を即座に集計できるようにする。 |
| 口座情報が保険金給付や代理店取引など複数の関係者区分にまたがって保存されていた。 | 口座情報は業務システムと分離した専用ストアに置き、列単位の暗号化とアクセス制御・参照ログを実装する。解約後や用途終了後の保持期間を定め、自動削除ジョブで運用する。 |
| 情報抜き取りの可能性がある期間（3月19日〜4月21日）が、第1報（7月25日）より前だった。 | サーバーのアクセスログ・外向き通信ログを少なくとも1年程度保持し、異常なデータ転送量を検知するアラートを設定する。フォレンジックに必要なログを改ざん困難な別基盤に集約する。 |
| 見積り・資料請求のみの利用者の情報も長く保管され、被害対象に含まれた。 | 見積り・資料請求のみの未契約者データには保持期限を設け、期限到来で削除または匿名化する。保有目的ごとに保管システムを分け、不要な項目は取得しない。 |
自組織などでの確認項目
- 自社で、あるサービスの利用をきっかけに別システムへ顧客情報が自動登録・同期される仕組みはないか。台帳で連携対象の項目と保持期間を確認できるか。
- インシデント発生時に、顧客の区分別（契約者・未契約者・取引先・代理店など）かつ項目別（口座情報など）に影響件数を集計できるか。集計に必要な属性は保存されているか。
- 不審なアクセスの痕跡が見つかったとき、数か月前までさかのぼって抜き取りの有無を調べられるだけのログが、改ざんされない形で保存されているか。
- 見積りや資料請求だけで契約に至らなかった人の情報を、いつまで、どのシステムに保管しているか。削除ルールは実際に運用されているか。
未解明点
- 侵入口・手口、攻撃者の特定、侵入の開始日は公表されていない。
- 不審なアクセスを検知した日時は公表されていない。
- 漏えいが確定した件数は公表されておらず、公表数値はいずれも可能性の上限である。
- 当局への報告の有無や、再発防止策の具体的な内容は、確認できる範囲では示されていない。
- 委託先（審調社）のランサムウェア事案は別件として公表されており、本件との関係は本件の公表では示されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-05-18報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2025-07-29報道本文確認済
- 3ScanNetSecurity2025-11-11報道本文確認済
- 4ScanNetSecurity2026-05-29報道本文確認済
- 5アクサ損害保険株式会社2025-07-25公式本文確認済
- 6アクサ損害保険株式会社2025-12-09公式本文確認済
- 7アクサ生命保険株式会社2025-09-25公式本文確認済