ソニー生命保険への不正アクセスによる代理店取扱顧客情報漏えい（約38.5万件）
公表日
ソニー生命保険の契約者向けシステムが第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、代理店として扱うメディケア生命保険の契約者・被保険者情報約38.5万件が漏えいしました。
対象者は？
ソニー生命保険を通じてメディケア生命保険の契約を結んだ契約者および被保険者（約38.5万件）。氏名、生年月日、性別、住所、電話番号、証券番号、契約内容が対象です。マイナンバー、クレジットカード情報、口座情報は含まれていません。また、ソニー生命自身の保険契約や他代理店でのメディケア生命契約は対象外です。
ソニー生命保険から対象となる顧客に対して順次連絡が行われます。また、不審な連絡への問い合わせ先としてカスタマーセンターに臨時のフリーダイヤルが開設されています。
いますぐできること
- ソニー生命やメディケア生命を装って暗証番号やワンタイムパスワードを聞き出そうとする不審なメール、SMS、電話に注意し、それらの情報を絶対に伝えないでください。
- 不審な案内や連絡が届いた場合は、本文中のURLを開かず、公式に案内されている問い合わせ窓口（カスタマーセンターの臨時フリーダイヤル等）へ確認してください。
何が起きたのか
2026年10月27日にソニー生命保険の契約者向けシステムで不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が判明しました。同社は直ちに外部からの接続を遮断し、翌28日午前8時から契約者用Webサイトやアプリなど6つのサービスを停止しました。調査により、同社が保険代理店として取り扱っていたメディケア生命保険の契約者・被保険者情報約38.5万件の漏えいが確認され、金融庁への報告と公表が行われました。
なぜ起きたのか・なぜ広がったのか
契約者専用サイトなどのシステムに対する不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が原因ですが、侵入経路や悪用された脆弱性などの具体的な手口については公表されておらず、調査中とされています。
いまの状況2026-10-29 時点続報待ち
被害拡大を防ぐため「お客さまWEBサービス」やアプリなど6サービスの停止が続いており、復旧時期は未定です。漏えいした情報の不正使用は確認されておらず、対象者への連絡や原因究明の調査が進められています。
企業として考えたいこと
自社が代理店や委託先として他社から預かっている顧客データについて、外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。に対する防御や、万一の停止時における事業影響を把握できていますか？
技術的な要約
ソニー生命保険株式会社は2026年10月28日、契約者専用サイト「お客さまWEBサービス」などのシステムが第三者による不正アクセスを受け、顧客の個人情報が漏えいしたと発表した。漏えいが確認されたのは、同社が保険代理店として取り扱うメディケア生命保険株式会社の契約者および被保険者の情報約38.5万件である。漏えい項目には氏名、生年月日、性別、住所、電話番号、証券番号、契約内容が含まれ、マイナンバーやクレジットカード情報、振替口座情報は含まれていない。同社は被害拡大防止のため対象システムへの外部アクセスを遮断し、契約者向けWebサービスやアプリなど6サービスの利用を一時停止した。発表時点で情報の不正使用は確認されておらず、金融庁への報告を済ませるとともに原因や影響範囲の調査を継続している。
攻撃の分類
- 侵入口
- 不明契約者専用サイト「お客さまWEBサービス」などのシステムが不正アクセスを受けたが、侵入経路、悪用された脆弱性、手口および時期の詳細は調査中であり公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 被害拡大防止の緊急メンテナンスとして、2026年10月28日8時より「お客さまWEBサービス」「ソニー生命 アプリ」「ダイレクト請求サービス」「申込内容控WEB」「書類確認WEB」「為替レート照会システム」の6サービスの提供を一時停止。復旧時期は未定。期間：2026-10-28から継続中
- データ
- 確定上限 385,000確定 385,000件氏名生年月日性別住所電話番号その他ソニー生命が保険代理店として取り扱ったメディケア生命保険の保険契約に関する契約者および被保険者の情報約38.5万件（氏名、生年月日、性別、住所、電話番号、証券番号、契約内容）。マイナンバー、クレジットカード情報、保険料振替口座情報は含まれていない。ソニー生命自身の保険契約およびメディケア生命の他代理店募集契約の情報は対象外。
- 波及先
- 1 組織
- メディケア生命保険株式会社（代理店委託先であるソニー生命からの契約者・被保険者情報約38.5万件の漏えい、およびシステムメンテナンスによる「マイページ新規利用登録」の停止）
- 金銭影響
- —
- サプライチェーン
- 保険代理店業務の委託を受けていたソニー生命のシステムが不正アクセスを受け、委託元であるメディケア生命保険の保有契約者・被保険者情報約38.5万件が漏えいした。
時系列
技術解説
不正アクセスの判明と外部アクセス遮断の経緯 事実
2026年10月27日、ソニー生命保険株式会社において契約者専用サイト「お客さまWEBサービス」などのシステムに対する第三者からの不正アクセスが判明した。同社は被害拡大を防止するため、対象システムへの外部からのアクセスを遮断する措置を講じた。翌10月28日午前8時からは緊急メンテナンスとして、「お客さまWEBサービス」「ソニー生命 アプリ」「ダイレクト請求サービス」「申込内容控WEB」「書類確認WEB」「為替レート照会システム」の計6サービスの利用を一時停止した。同日、ソニー生命保険および業務委託元であるメディケア生命保険株式会社がそれぞれ事案を公表した。ソニー生命保険は金融庁への報告を済ませるとともに、カスタマーセンターに臨時のフリーダイヤルを開設して顧客対応を開始した。公表時点で停止された各種サービスの復旧時期は未定とされている。
漏えいが確認された代理店取扱顧客情報の範囲と項目 事実
本件で漏えいが確認されたのは、ソニー生命保険が保険代理店として取り扱っていたメディケア生命保険株式会社の保険契約に関する契約者および被保険者の個人情報約38.5万件である。公表された漏えい項目は、氏名、生年月日、性別、住所、電話番号、証券番号、契約内容である。一方で、マイナンバー、クレジットカード情報、保険料振替口座情報などの情報は漏えい対象に含まれていないことが確認されている。また、ソニー生命保険自身の保険契約情報や、メディケア生命保険においてソニー生命以外の代理店で取り扱われた契約者情報は今回の漏えいの対象外とされている。さらに、公表日である2026年10月28日時点において、漏えいした情報が不正に使用された事実は確認されていないと発表されている。
代理店業務の受託環境侵害に伴うサプライチェーンリスク 解釈
本件は、保険代理店業務を受託する企業のシステム侵害が、委託元企業の顧客情報大規模漏えいへと直結したサプライチェーン型のインシデントといえる。委託元であるメディケア生命保険にとっては、自社の基幹システムが直接侵入を受けていなくても、販売受託先であるソニー生命保険のシステムを通じて約38.5万件に及ぶ契約者・被保険者情報が外部流出する結果となった。また委託元においても「マイページ新規利用登録」の一時停止を余儀なくされるなど、波及的な影響が生じている。業務提携や販売代理を行う企業においては、受託先環境で取り扱う顧客データの保管範囲を必要最小限に制限する設計や、外部公開機能に対する厳格なアクセス制御が不可欠である。さらに、受託先で侵害が発生した際のエスカレーション基準や初動対応体制を事前に合意しておく重要性を示している。
対応
- 封じ込め
- 不正アクセスの判明後、被害拡大防止のため対象システムへの外部アクセスを遮断。2026年10月28日8時より緊急メンテナンスとして「お客さまWEBサービス」「ソニー生命 アプリ」「ダイレクト請求サービス」「申込内容控WEB」「書類確認WEB」「為替レート照会システム」の6サービスの提供を一時停止した。
- 公表の仕方
- 2026年10月28日にソニー生命保険および委託元のメディケア生命保険がそれぞれ事案を公表。漏えい対象者への順次連絡方針を示すとともに、両社を装った不審なメール・SMS・電話への注意喚起を実施し、ソニー生命はカスタマーセンターに臨時フリーダイヤルを設置した。
- 当局対応
- 金融庁
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 受託・提携システムにおける委託データの最小化とアクセス制御 | 代理店や受託先システムに蓄積・参照可能な委託元顧客データを必要最小限に制限し、過去データ等の不要な蓄積を防ぐ定期パージ処理や、担当業務に応じた最小権限でのロールベースアクセス制御（RBAC）を徹底する。 |
| 不正アクセス検知時における迅速なサービス遮断手順の整備 | 公開システムやAPIに対する異常検知時、影響を受ける関連サービス群を迅速にネットワークから切り離せるよう、アクセス遮断の自動化スクリプトや緊急メンテナンス時の切り戻し手順をあらかじめ策定・検証しておく。 |
| 契約情報等の漏えいに伴う標的型詐欺への早期注意喚起体制 | 氏名や住所に加えて保険証券番号や契約内容が漏えいした場合、それらを悪用した精巧ななりすまし連絡が発生しやすいため、初動公表と同時に「暗証番号やワンタイムパスワードを電話やメールで尋ねることはない」旨の明確な注意喚起を多角的に発信する。 |
| 複数公開サービスを横断するインフラのセグメンテーション | 契約者向けWebサイト、モバイルアプリ、手続き受付画面などの複数サービスが同一基盤を利用している場合、単一の侵害が全サービス停止や広範な情報流出へ波及しないよう、ネットワークセグメンテーションとマイクロサービス間の認可境界を強化する。 |
自組織などでの確認項目
- 自社が代理店や受託先として他社から預かっている顧客データについて、不要な過去データが残存していないか、またアクセス権限は必要最小限に分離されているか。
- 公開WebサービスやAPIで不正アクセスを検知した際、関連するサブシステムを含めて迅速に外部接続を遮断できる運用手順や体制が整っているか。
- 顧客の連絡先や契約属性が漏えいした事態を想定し、自社を装ったなりすましやフィッシング詐欺に対する注意喚起と専用窓口の設置手順が準備されているか。
未解明点
- 不正アクセスを受けた具体的な侵入経路（公開システムの脆弱性悪用や認証情報の不正利用など）や、侵入から検知までの具体的な期間はいつからであったか。
- 契約者専用Webサービスなどのログイン情報への影響や、ソニー生命保険自身の契約者情報に対する閲覧・アクセスの有無についての調査結果はどうであるか。
出典
- 1株式会社アクト2026-10-29報道本文確認済
- 2@SOHO編集部2026-10-29報道本文確認済
- 3GitHub2026-10-29研究者本文確認済
- 4瀬戸内海放送2026-10-28報道本文確認済
- 5KSB瀬戸内海放送2026-10-29T11:18+09:00報道本文確認済
- 6ライブドアニュース (TBS NEWS DIG)2026-10-28報道本文確認済
- 7メディケア生命保険株式会社2026-10-28公式本文確認済
- 8NHK2026-10-28報道本文確認済
- 9時事通信2026-10-29報道本文確認済
- 10読売新聞オンライン2026-10-28報道本文確認済
- 11
- 12NOVAIST2026-10-29報道本文確認済
- 13セキュリティ対策Lab2026-10-29報道本文確認済
- 14リスク対策.com2026-10-28報道本文確認済