住友生命保険の委託先NTTデータへの不正アクセス（Vitality利用者約8万人の個人情報漏えい）
公表日
住友生命保険の委託先であるNTTデータのシステムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、「Vitality」関連サービスを利用した約8万人の個人情報が漏えいしました。
対象者は？
「住友生命Vitality体験版・企業型」および「Vitalityスマート（福利厚生タイプ含む）」の現在または過去の利用者約8万人（保険契約自体の情報や歩数データは含まれていません）。
住友生命が開設した専用のお問い合わせ窓口（フリーダイヤル 0120-550-997、平日9:00〜17:00）で確認できます。
いますぐできること
- 住友生命やNTTデータを名乗る不審な電話、メール、郵便物に注意し、パスワードやクレジットカード情報を教えないでください。
- 念のため、クレジットカードの利用明細に身に覚えのない請求がないか定期的に確認してください。
何が起きたのか
2026年11月2日、NTTデータが受託・運用している住友生命の「Vitality」関連サービスのシステムで第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が確認されました。翌11月3日に外部からの通信を遮断し、申込受付などのサービスを一時停止しました。調査の結果、過去および現在の利用者約8万人の氏名、住所、電話番号、生年月日、メールアドレスなどが漏えいし、そのうち約1000人は一部を伏せたクレジットカード番号も含まれていたことが判明しました。
なぜ起きたのか・なぜ広がったのか
NTTデータが構築・運用する受託システムに対して第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が行われたことによるものですが、詳しい侵入経路や原因については調査中とされています。
いまの状況2026-11-10 時点続報待ち
対象サービスの新規申込受付や利用者のカード情報変更手続きなどは一時停止されています。なお、保険契約本体やVitalityアプリの利用には影響がなく、発表時点で漏えい情報の不正利用やインターネット上への拡散は確認されていません。
企業として考えたいこと
自社が外部事業者に開発・運用を委託しているシステムにおいて、万が一インシデントが起きた際に迅速な報告と遮断判断ができるルールや体制が整っているでしょうか。
技術的な要約
住友生命保険は2026年11月9日、システムの構築・運用を委託しているNTTデータのシステムが第三者による不正アクセスを受け、「Vitality」関連サービスの利用者約8万名分の個人情報が外部に漏えいしたと発表した。2026年11月2日にNTTデータが不正アクセスを確認し住友生命へ報告、翌3日に外部からのアクセス遮断とサービスの一時停止措置を実施した。漏えいした情報には氏名、住所、電話番号、生年月日、メールアドレスのほか、約1000名分のマスキング済みクレジットカード番号が含まれる。保険契約情報や歩数データ等の漏えいはなく、公表時点で情報の不正利用やネット上への拡散は確認されていない。
攻撃の分類
- 侵入口
- 委託先経由公表で確認住友生命がシステムの構築・運用を委託しているNTTデータの受託システムに対する第三者の不正アクセス。侵入経路や脆弱性の詳細については調査中とされている。
- 脆弱性
- CVE 非公表不明不正アクセスの原因や詳細な経緯については公表時点で調査中とされている。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2026年11月3日より、対象2サービスの新規申込受付、利用者の解約・カード情報変更、団体管理ポータルの利用を一時停止。なおVitalityアプリ利用やVitality保険の新規申込・手続きには影響なし。期間：2026-11-03〜
- データ
- 確定上限 80,000確定 80,000人氏名住所電話生年月日メールクレカ対象者は「住友生命Vitality体験版・企業型」「Vitalityスマート（福利厚生タイプ含む）」の現在および過去の利用者約8万名。漏えい情報は氏名、住所、電話番号、生年月日、メールアドレス、一部マスキング済みクレジットカード番号（約1000名）のいずれか。保険契約情報や歩数データは含まれない。
- 波及先
- 0 件
- 金銭影響
- —
- サプライチェーン
- 業務委託先であるNTTデータが構築・運用する受託システムへの不正アクセスにより、委託元である住友生命の顧客情報が漏えいした。
時系列
- 2026-11-02
- 2026-11-03
- 2026-11-03
- 2026-11-09
- 2026-11-09
- 2026-11-09
- 2026-11-09
- 2026-11-10
技術解説
不正アクセスの検知と受託システムにおける被害範囲 事実
2026年11月2日、住友生命がシステムの構築・運用を委託しているNTTデータのシステムにおいて、第三者による不正アクセスが確認され、同日中に住友生命へ報告された。翌11月3日にはNTTデータが外部からのアクセスを遮断し、サービスを一時停止した。住友生命も同日より「住友生命Vitality体験版・企業型」および「Vitalityスマート（福利厚生タイプ含む）」の新規申込受付、利用者の解約やカード情報変更、団体ポータルの利用を停止した。11月9日の公表時点で、過去および現在の利用者約8万名分の氏名、住所、電話番号、生年月日、メールアドレスの漏えいが確認され、このうち約1000名分には一部マスキングされたクレジットカード番号が含まれていた。保険契約に関する情報や歩数データは漏えい対象に含まれておらず、公表時点で情報の不正利用やインターネット上への拡散は確認されていない。
周辺系・受付サービスを介したサプライチェーンリスク 解釈
本事案は、委託先が構築・運用する受託システムの侵害が委託元の顧客データ漏えいに直結したサプライチェーン侵害の典型例である。標的となったのは保険契約の基幹系システムではなく、健康増進プログラムの体験版や単独利用版といった周辺の申込受付サービスであった。こうしたサービスは利用の敷居を下げる目的で一般のWeb環境に公開されることが多く、外部からの攻撃に晒されやすい。一方で、申込受付には氏名や連絡先、決済情報などの機微な個人情報が集約されるため、攻撃者にとって高い標的価値を持つ。検知翌日には通信遮断とサービス停止を行っており迅速な一次対応がなされたといえるが、委託先が管理する公開システムのセキュリティ統制が委託元のブランドや顧客保護に直結する現実を示している。
機微情報のマスキング効果と不要データ保持の課題 解釈
漏えい対象となった約8万名のうち、クレジットカード番号が含まれていた対象者が約1000名にとどまり、かつ一部がマスキングされていた点は、決済被害のリスクを抑制する上で有効に機能したと評価できる。トークン決済の活用や画面表示・DB格納時における適切なマスキング処理が施されていたことがうかがえる。一方で、漏えい対象者に「過去の利用者」が含まれていた点は注意を要する。サービスを解約した利用者の個人情報がシステム内に長期間保持されていた場合、侵害発生時の被害規模を不必要に拡大させる要因となる。退会後の保存期間を明確に定め、不要となった個人情報や決済関連ログを自動的に削除・匿名化するデータライフサイクル管理の徹底が求められる。
対応
- 封じ込め
- 不正アクセス確認の翌日である2026年11月3日に、NTTデータが外部からのアクセスを遮断してサービスを一時停止した。住友生命は安全が確認できるまで新規申込受付や利用者の解約・カード情報変更、団体ポータルの利用を停止した。
- 公表の仕方
- 2026年11月9日に住友生命およびNTTデータの双方が公式ウェブサイトでプレスリリースを公表し、対象サービス、漏えい規模（約8万名）、クレジットカード番号一部流出（約1000名）、二次被害の有無等を発表した。住友生命は同日より専用の電話問い合わせ窓口を開設した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 受託・委託システムにおける不正アクセス検知と緊急時エスカレーションの迅速化 | 委託先システムにおいてWAFやEDR、SIEMによるリアルタイム検知アラートを整備し、侵害検知から24時間以内に委託元への一次報告と外部通信遮断を実施できる緊急インシデント対応SLAを契約・手順書に明記する。 |
| クレジットカード情報など高機微データの非保持化およびマスキングの徹底 | Webシステムでの決済処理においてトークン決済方式を採用してサーバ側にカード番号を保存しない構成とし、管理上やむを得ず保持・表示する場合も国際基準（PCI DSS等）に準拠した厳格なマスキングと暗号化を適用する。 |
| サービス解約者・過去利用者のデータ保持最小化（データライフサイクル管理） | 体験版や解約済みユーザーの個人情報について保存期間ポリシーを策定し、契約終了後一定期間が経過したデータをバッチ処理等で自動消去または復元不能な形式で匿名化する仕組みを実装する。 |
| 周辺系Web窓口と基幹システムの論理的・物理的分離の維持 | 申込受付や体験版などの外部公開システムを基幹データベースや基幹ネットワークから厳格にセグメンテーション分離し、公開環境が侵害されても保険契約等の最重要情報へ横展開（ラテラルムーブメント）できないアーキテクチャを維持する。 |
自組織などでの確認項目
- 自社のサービスや顧客情報を扱っている業務委託先のシステムで不正アクセスが発生した場合、即座に報告を受け一次対応を判断できるエスカレーション経路や体制が確立されているか。
- 過去の退会者やキャンペーン・体験版の利用者の個人情報・決済情報が、利用終了後も長期間データベース内に残存していないか。
- 顧客向けWebシステムで扱うクレジットカード情報や個人情報が適切にマスキング・トークン化され、万が一データが外部流出しても悪用できない設計になっているか。
未解明点
- NTTデータの受託システムに対して攻撃者が初期侵入を行った具体的な経路や、悪用された脆弱性・認証不備の技術的詳細は何か。
出典
- 1株式会社アクト2026-11-10研究者本文確認済
- 2ITmedia NEWS2026-11-10報道本文確認済
- 3ビジネス＋IT2026-11-09報道本文確認済
- 4ABCテレビ2026-11-09報道本文確認済
- 5ITmedia NEWS2026-11-10報道本文確認済
- 6日本経済新聞2026-11-09報道本文確認済
- 7ニッキンONLINE2026-11-09報道本文確認済
- 8株式会社NTTデータ2026-11-09公式本文確認済
- 9新日本保険新聞社2026-11-09報道本文確認済
- 10住友生命保険相互会社2026-11-09公式本文確認済