hokan：「hokan出納」への不正アクセスによる情報漏えいに関するお知らせ（第一報）

経緯について、公表によれば、株式会社hokanは2026年10月19日、「hokan出納」への不正アクセスで保険代理店から預かる情報の一部が漏えいしたと発表し、漏えいの事実は10月14日22時28分頃に判明した [s4]。ただし、委託元の一社である株式会社ほけんの匠は同日付の第1報で、不正アクセスは令和8年（2026年）9月24日19時24分から同日深夜にかけて発生したと記している [s6]。同社によれば、9月24日19時26分に通常の利用では発生しない不審なアクセスに伴う異常の通知があり、直ちに調査が始まった。攻撃元IPアドレスの遮断、アカウント登録機能の一時停止、不正作成アカウントの停止・削除は、翌9月25日0時01分までに完了した [s6]。9月24日・25日の時点では流出の可能性は見当たらず、アクセス記録と保管データの照合を続けるなかで、10月14日22時28分にデータの窃取が確認され、10月15日にhokanから同社へ報告があった [s6]。つまり、侵入から窃取の確認までに約3週間を要した経過になる。一方、hokanの公表は攻撃開始日時を説明していないと、rocket-boys.co.jpは指摘している [s4]。また、事案まとめサイトの記載でも、不正アクセスの日時は公式資料に明記がないとされている [s5]。

侵入経路について、公表によれば、同社が認証基盤として利用するシステムのアカウント登録機能を通じて、海外のIPアドレスから不正アクセスがあった [s4]。ほけんの匠は、このアカウント登録機能が悪用され、不正に作成されたアカウントを通じて、本来アクセス権限のない組織にアクセスされたと説明している [s6]。rocket-boys.co.jpは、公表からは具体的な設定不備やソフトウェアの脆弱性は読み取れず、海外IPの使用だけで攻撃者の所在や所属を特定することもできないとしている [s4]。攻撃者によるリークサイトへの掲載や、攻撃者側の主張を示す情報は、今回の出典には含まれていない。

影響について、hokanの公表では影響が確認された利用企業は2社である [s4]。ほけんの匠は、そのうち一社とみられる委託元として、流出した情報を具体的に示している。生命保険手数料明細は顧客数約5,100名、損害保険精算明細は顧客数約13,300名で、項目には契約者名、証券番号、契約日、保険料、手数料などが含まれる [s6]。クレジットカード番号、銀行口座番号、病歴等は含まれていないとの報告を受けているが、同社は引き続き精査中としている [s6]。同社は対象の顧客へ郵送でお詫びと案内を行う方針で、同社や関係者を装った不審な連絡やメールが届く可能性があるとして注意を促している [s6]。hokan自身の公表では、「hokan CRM」「hokan People」への不正アクセスや二次被害は10月19日時点で確認されていない [s4]。hokanは外部専門機関とともにアクセス記録、漏えい対象データ、攻撃手法を調べており、新たな事実が判明すれば追加で公表するとしている [s4]。

専門家・当局の見解として、IPAの「情報セキュリティ10大脅威 2026［組織編］」では、「サプライチェーンや委託先を狙った攻撃」が2位に選ばれた [s3]。同書はクラウド利用時の対策として、選定前の事前調査、インシデント発生時の責任範囲の明確化、設定の見直しを挙げている [s3]。本件は委託先のクラウドサービスを経由して委託元の顧客情報が流出しており、この論点に当てはまる。また、2026年10月9日付で内閣官房国家サイバー統括室が、ウェブシステムの脆弱性の悪用、外部サービス事業者等を経由した侵害、堅牢性を欠くデータ管理などによる個人データの窃取事案が複数確認されているとして注意喚起を出した。厚生労働省老健局がこれを踏まえた通知を発している [s7]。この注意喚起が本件を直接対象としたものかどうかは、出典からは読み取れない。