損保ジャパン「SMILING ROAD」問い合わせ対応の委託先（スカラコミュニケーションズ i-ask）への不正アクセス（延べ約6万件の漏えいのおそれ、同一委託先で最大5社・最大713,126件）
公表日
損保ジャパンの法人向けドライブレコーダー「SMILING ROAD」の問い合わせ対応を委託している会社が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、延べ約6万件の顧客情報が漏れた可能性があります。
対象者は？
SMILING ROADのよくある質問・お問い合わせ機能を利用した損保ジャパンの顧客が対象です。問い合わせ単位の延べ約6万件で、同じ人の複数回の問い合わせを含むため約6万人ではありません。氏名、電話番号、住所、メールアドレス、勤務先情報、ドライバーID、運転アラート情報、機器情報、申込番号、問い合わせ内容などが含まれます。口座、クレジットカード、マイナンバーカードの情報は含まれないとされています。
対象の方には損保ジャパンから個別に連絡があります。連絡が難しい場合は、今回の公表が連絡の代わりになります。不明な点は、お客さま専用窓口（0120-268-567、平日9:00〜17:00）に問い合わせられます。
いますぐできること
- 損保ジャパンや関係者を名乗る不審な電話・メールに注意し、リンクや添付ファイルを開かない。
- 不安なときは、メールや電話の内容に返信せず、公式窓口（0120-268-567）に確認する。
何が起きたのか
2026年10月2日の夜から3日の朝にかけて、スカラコミュニケーションズが運営するFAQシステム「i-ask」の管理サイトに第三者が不正にログインしました。サーバーに不正なプログラムが置かれ、同じサーバー上の利用企業の問い合わせ情報が取得された可能性があります。同社は3日朝に監視アラートで気づき、8時頃に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を遮断しました。損保ジャパンは3日に連絡を受け、7日に公表しました。同じ委託先の影響は最大5社、延べ最大713,126件に及びます。
なぜ起きたのか・なぜ広がったのか
第三者がi-askの管理サイトにログインできた理由として、ログイン情報の入手経路は公表されていません。同じサーバー上に複数の利用企業のデータがあったため、複数の会社に影響が及びました。損保ジャパン自社のシステムへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。は確認されていません。
いまの状況2026-10-10 時点続報待ち
2026年10月10日時点で、損保ジャパンは不正利用やインターネット上への公開を確認していません。損保ジャパンはSC社と原因を調べ、委託先管理のあり方を検証して強化策を決めるとしています。SC社は多要素認証の導入などを再発防止策に挙げています。補償についてはまだ発表されていません。
企業として考えたいこと
自社が顧客対応を外部に委託しているとき、委託先の管理画面の認証や、他社とのデータ分離の状況を把握していますか。
技術的な要約
損害保険ジャパンは2026年10月7日、事業者向け通信機能付きドライブレコーダー「SMILING ROAD」の問い合わせ対応で利用する委託先スカラコミュニケーションズ（SC社）のサーバーが不正アクセスを受け、顧客情報が漏えいした可能性があると公表した。不正アクセスは2026年10月2日20時33分頃から10月3日8時1分頃に発生し、第三者がFAQシステム「i-ask」の管理サイトへ不正ログインしてサーバー上に不正なプログラムを設置、同一サーバー上の利用企業のデータベースから問い合わせ情報を取得した可能性がある。損保ジャパン分は問い合わせ単位の延べ約6万件（同一顧客の重複を含み約6万人ではない）で、氏名・住所・電話番号・メールアドレス・勤務先情報・ドライバーID・運転アラート情報・問い合わせ内容などが対象だが、口座・クレジットカード・マイナンバーカードの情報は含まれないとしている。同じ委託先の影響は最大5社・延べ最大713,126件に及び、大和証券、シチズン時計、東武鉄道、オリックス生命にも波及した。損保ジャパン自社システムへの不正アクセスや情報の不正利用・ネット上への公開は確認されておらず、SC社と連携した原因究明と委託先管理の検証が続いている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 管理画面/API公表で確認SC社の発表によると、第三者がi-askの管理サイトへ不正にログインし、サーバー上に不正なプログラムを設置した。ログイン認証情報の入手経路は公表されていない（SmartScope記事）。
- 脆弱性
- CVE 非公表不明i-ask（スカラコミュニケーションズ）脆弱性やCVEは公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 損保ジャパン自社システムへの不正アクセスは確認されていない。業務停止に関する公表は確認できない。
- データ
- おそれ上限 60,000確定 —件氏名住所電話メールその他損保ジャパン分は問い合わせ単位の延べ約6万件で、同一顧客の複数回の問い合わせを重複して含むため約6万人ではない。内訳は氏名、電話番号、住所、メールアドレス、勤務先情報（法人名・部門名・業種・代理店名等）、ドライバーID、運転アラート情報（種別・発生日時）、利用機器情報（ドライブレコーダーのシリアル番号等）、申込番号、問い合わせ内容（件名・本文）。金融機関の口座、クレジットカード、マイナンバーカードの情報は含まれないとしている。不正利用やインターネット上への公開・拡散は10月7日時点で未確認。SC社全体では最大5社・延べ最大713,126件で、実人数は確認中。
- 波及先
- 5 社
- 大和証券（約22万件、うち約11万人分の氏名・メールアドレス・口座番号等）
- シチズン時計（約10万人）
- 損害保険ジャパン（延べ約6万件）
- 東武鉄道
- オリックス生命
- 金銭影響
- —
- サプライチェーン
- 損保ジャパンは問い合わせ対応を委託するSC社のi-ask環境が侵害された影響を受けた。5社とも自社ではなく委託先システムへの不正アクセスと説明しており、委託先は同一のSC社である。起点はSC社。
時系列
- 2026-10-02 20:33
- 2026-10-03
- 2026-10-03 08:00
- 2026-10-03
- 2026-10-05
- 2026-10-06
- 2026-10-06
- 2026-10-07
- 2026-10-07
- 2026-10-07
- 2026-10-10＠ITが同じ委託先の影響を受けた5社の対応を整理して報道。1
技術解説
攻撃の構造：委託先FAQシステムの管理サイトから同一サーバーへ 事実
公表によると、第三者は2026年10月2日20時33分頃から10月3日8時1分頃にかけて、スカラコミュニケーションズ（SC社）のFAQシステム「i-ask」の管理サイトへ不正にログインした。その後、サーバー上に不正なプログラムを設置し、同一サーバー上で稼働していた利用企業のデータベースから問い合わせ情報を取得した可能性がある。損保ジャパン自社のシステムへの不正アクセスは確認されていない。SC社は10月3日朝、データベースの監視アラートを契機に調査を開始し、同日8時頃に不正アクセスを遮断した。ログイン認証情報の入手経路は公表されていない。i-askの脆弱性やCVEも公表されていない。
影響範囲：損保ジャパン分と委託先全体の数字 事実
損保ジャパン分は問い合わせ単位の延べ約6万件で、同一顧客の複数回の問い合わせを重複して含むため、約6万人を意味しない。対象は氏名、電話番号、住所、メールアドレス、勤務先情報、ドライバーID、運転アラート情報、ドライブレコーダーのシリアル番号、申込番号、問い合わせ内容などである。金融機関の口座、クレジットカード、マイナンバーカードの情報は含まれないとしている。SC社全体では最大5社、延べ最大713,126件の漏えいの可能性があり、実際の人数は確認中である。いずれも「可能性」であり、流出が確定した件数は公表されていない。10月7日時点で不正利用やインターネット上への公開・拡散は確認されていない。
同一委託先を通じた複数社への波及 事実
大和証券（10月5日公表。約22万件、うち約11万人分）、シチズン時計（10月6日公表。約10万人）、損保ジャパン（10月7日公表）、東武鉄道、オリックス生命の5社が、同じSC社への不正アクセスの影響を受けたと報じられている。5社とも自社ではなく委託先のシステムへの不正アクセスと説明している。大和証券ら5社の発表ではi-askと明記されていないが、公表内容を照らし合わせるとi-askとみられると報じられた。公表はSC社と各社が数日の間に順次行った。件数の単位（件・人）は社ごとに異なり、単純には合算できない。
解釈：共用環境と管理サイト認証が焦点になる 解釈
以下は公表内容からの解釈である。複数の利用企業のデータベースが同一サーバー上にあり、管理サイトへの不正ログインが他社分のデータ取得の可能性につながった。SC社が再発防止策として管理者認証の強化、多要素認証の導入、環境間の分離を挙げている点も、この構造に対応している。ただし認証情報の入手経路が非公表のため、侵入の原因を断定することはできない。委託元から見ると、自社に直接の侵害がなくても、委託先の管理画面とテナント分離の状況が自社の顧客情報のリスクを左右する。損保ジャパンが委託先管理のあり方の検証を表明している点は、この論点に向き合う姿勢といえる。
対応
- 封じ込め
- SC社が10月3日朝のデータベース監視アラートを契機に調査を開始し、同日8時頃に不正アクセスを遮断、経路の遮断などの緊急対応を実施。SC社は再発防止策として管理者認証の強化、多要素認証の導入、環境間の分離、監視体制の強化、第三者による定期的な脆弱性診断などを挙げている。
- 公表の仕方
- 損保ジャパンは2026年10月7日に公表。対象者には個別に連絡し、困難な場合は公表をもって連絡に代える。詐欺（損保ジャパンや関係者を装う電話・メール）への注意喚起、継続監視、SC社と連携した原因究明、委託先管理のあり方の検証と管理強化策・実施時期の決定を表明。お客さま専用窓口は0120-268-567（平日9:00〜17:00）。
- 当局対応
- 個人情報保護委員会（シチズン時計とSC社が報告したと報じられている。損保ジャパンの報告についてはfactsに記載なし）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先の管理サイトの認証が、委託元の顧客情報の守りを左右する | 委託先の管理画面に多要素認証を必須にし、IP制限やSSO連携を契約・監査項目に入れる。管理者アカウントの棚卸しと、ログイン異常の検知ルールも定期的に確認する。 |
| 複数の利用企業が同じサーバーやデータベースを共用すると、1社の侵害が他社に及ぶ | テナントごとにDBの認証情報・ネットワーク・ホストを分離する。管理サイトを本番データ環境から切り離し、DBへのアクセス元を限定する。 |
| DBの監視アラートが早期の遮断につながった | DBへの異常なクエリ、大量取得、新規プロセスの生成を検知するアラートを整備し、検知から遮断までの手順を演習で確認する。 |
| 件数は「延べ」「可能性」「人数」の区別を明示しないと誤解を招く | 公表文では延べ件数と実人数、上限と確定を分けて記載する。名寄せの完了時期を示し、更新時に差分を明記する。 |
| 問い合わせ本文に機微情報が書き込まれる前提で保管範囲を決める | 問い合わせフォームに口座・カード番号を書かないよう注意書きを出し、本文のマスキングや保存期間の上限を設ける。 |
| 委託先事案では委託元・委託先の報告と公表の分担を事前に決めておく | 委託契約に、事故の連絡期限、個人情報保護委員会への報告の担当、公表の調整手順を明記する。 |
自組織などでの確認項目
- 自組織の委託先の管理画面は多要素認証になっているか。管理者アカウントの一覧を最後に確認したのはいつか。
- 委託先で顧客情報が漏えいした場合、委託先から自組織への連絡期限や連絡経路を契約で定めているか。
- 問い合わせフォームや問い合わせ履歴に、口座番号やカード番号など高機微の情報が書き込まれていないか。保存期間は適切か。
- 委託先が複数の顧客のデータを同じサーバーで扱っていないか。テナント分離の方式を把握しているか。
未解明点
- i-askの管理サイトへのログイン認証情報はどのように入手されたのか。
- 不正に設置されたプログラムの内容と、実際に取得されたデータの範囲はどこまでか。
- SC社全体で延べ最大713,126件に当たる実人数は何人か。
- 損保ジャパンが個人情報保護委員会に報告したかどうか、報告の内容はどうか。
出典
- 1＠IT（アイティメディア）2026-10-10報道本文確認済
- 2INTERNET Watch2026-10-07報道本文確認済
- 3NHK2026-10-07報道本文確認済
- 4NHK2026-10-07報道本文確認済
- 5セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-07報道本文確認済
- 6SmartScope2026-10-07報道本文確認済
- 7損害保険ジャパン株式会社2026-10-07公式本文確認済
- 82026-10-07公式本文確認済