契約者サイトが標的、口座情報23万人分も漏洩

アフラック生命保険は6月30日、契約者専用サイト「アフラック よりそうネット」などのシステムが第三者の不正アクセスを受け、顧客約438万人分の個人情報が流出したと発表した。

漏洩した情報は氏名、生年月日、性別、住所、電話番号、証券番号、保障内容など。このうち約23万人分には、保険料振替口座の情報も含まれていた。金融機関名、支店名、口座番号、口座名義が対象となる。マイナンバーとクレジットカード情報は含まれていない。

顧客情報に加え、代理店約4万店分の代表者氏名や住所、電話番号も流出した。現在の委託業務を終えた代理店も対象に含まれるという。

アフラック生命は2024年度末時点で保有契約件数が約2,218万件に上る。438万人という数字は、契約者のおよそ5人に1人にあたる計算だ。

6月15日に始まった不正アクセス、発覚まで10日

時系列を振り返る。不正アクセスが最初に発生したのは6月15日。以降、25日までの間に複数回にわたって不正な侵入が繰り返されていた。

アフラック側が異変を把握したのは6月25日。同日中に不正アクセスを遮断し、関連するシステムを停止した。「アフラック よりそうネット」のサービス停止画面には「6/25（木）15:00より、ご利用いただけない状況でございます」との案内が掲載されている。

発覚までに10日。この間、攻撃者はシステムに繰り返しアクセスしていたことになる。原因は調査中で、アフラックは金融庁と警察に報告済みだとしている。30日時点で情報の不正利用は確認されていないという。

2023年に130万人、2025年には米国で2,265万人

アフラックの情報漏洩は今回が初めてではない。

2023年1月、業務委託先の米国企業が不正アクセスを受け、がん保険の加入者ら約130万人分の個人情報が流出した。姓、年齢、性別、証券番号、契約情報などが外部サイトに掲載されていたことから発覚している。日経クロステックによると、チューリッヒ保険でも同じ委託先を通じて約75万件が漏洩し、合計約200万件規模の事案となった。

2025年6月には、米国本社のAflac Incorporatedがサイバー攻撃を受けた。ZDNet Japanの報道によると、攻撃者はソーシャルエンジニアリングの手法でネットワークに侵入。顧客や従業員ら約2,265万人分の個人情報が窃取された可能性があるとされた。

今回は外部委託先ではなく、自社が運営するシステムへの直接的な不正アクセスだった。保険業界を取り巻くセキュリティリスクが、年を追うごとに深刻さを増している構図が浮かぶ。

アフラック「セキュリティ体制のさらなる強化に努める」

アフラック生命は30日のプレスリリースで「現時点で情報の不正利用は確認されていない」と説明した。TBSの報道によれば、同社は「不正アクセスに対するセキュリティ体制のさらなる強化に努める」とコメントしている。

「アフラック よりそうネット」は停止中だが、保険金・給付金の請求や各種手続きはコールセンターで通常どおり受け付けているという。対象となる顧客には、順次お詫びと通知の文書を送付するとしている。

Xでは「入ってるんだけど…」不安と怒り

発表直後、「アフラック」はXのトレンドに浮上した。

「母と私アフラック入っているんだが…大丈夫なのか」「アフラック何やってんの 銀行口座まで」といった契約者の動揺が目立つ。2023年の漏洩も経験した利用者からは「アフラックの契約者情報の流出、私、今回2回目。1回目の時はアフラックからの一枚の書式で事実経過の報告。契約窓口の代理店に意見を伝えるも、それっきり。2回目の今回の対応は？」と、具体的な不満も投稿されている。

「おっさんがスーツ着て並んで謝罪、で終わり。個人情報ダダ漏れ社会＝日本」「最近流出がメッチャ多くないか？」など、保険業界全体のセキュリティ体制に疑問を投げかける投稿も少なくない。口座情報の漏洩を受けて「詐欺に使われそう」と警戒する声も広がる。

438万人という規模は、保険会社の情報漏洩としては過去最大級にあたる。3年余りで3度の漏洩を経験した企業が、どのような再発防止策を打ち出すのか。金融庁の対応も含め、今後の動きが問われる。

[文/構成 by さとう つづり]