三井住友海上あいおい生命保険：当社グループ会社への不正アクセスに伴う情報漏えいについて

MS&ADグループの契約者専用ページをめぐる事案の経緯と広がりを整理する。

三井住友海上火災保険の発表によれば、11月2日の夜間に「ご契約者さま専用ページ」への不正アクセスを検知し、翌3日の深夜に顧客情報の保護、被害拡大の防止、影響調査のため関連サービスを自ら停止した。その後の調査で情報漏えいの事実を確認したという [s3]。同社は11月4日に不正アクセスを公表しており、11月6日に影響調査の結果として漏えいの確認を発表した [s3]。専用ページはネットワーク環境から切り離され、サービス停止以降に外部からの不正アクセスはないと説明している [s3]。

影響は三井住友海上あいおい生命保険の分にとどまらない。act1.co.jp によれば、三井住友海上の漏えい件数は約3.7万件で、保険証券番号、氏名、住所、電話番号などが含まれる [s3]。クレジットカード情報と口座情報は含まれないとされる [s3]。三井住友海上あいおい生命保険の約5,300件は、三井住友海上とあいおいニッセイ同和損保の専用ページで自分の生命保険契約を表示するよう設定していた顧客が対象である [s3]。

全体の規模について、時事通信は、三井住友海上火災保険、あいおいニッセイ同和損害保険、三井住友海上あいおい生命保険の3社が11月6日に、不正アクセスで計約48万6,300件の顧客情報が漏えいしたと発表したと報じた [s4][s5]。NHKの報道によれば、三井住友海上とあいおいニッセイ同和損保の2社で流出は合わせて約48万件にのぼる [s3]。時事通信によれば、3社は契約者専用ページで共通のシステムを利用している [s4]。同じ基盤の利用が、複数社に同時に影響が及んだ背景とみられる。

あいおいニッセイ同和損保は、自社サイトのお知らせを11月6日に更新し、契約者専用ページのほか、海外旅行保険の申し込みや法人向けWebサービスなどの停止を続けている [s3]。業務面では、顧客向けの手続きや申し込みの窓口に影響が出ている。act1.co.jp は、同社分の漏えい件数について同社の公式発表は執筆時点で確認できていないとしている [s3]。

三井住友海上と三井住友海上あいおい生命保険の両社は、漏えいした情報が不正に使われた事実は現時点で確認していないとしている。原因と影響範囲は、外部の専門機関によるフォレンジック調査で調べている [s3]。

注意喚起について、act1.co.jp は、証券番号、氏名、住所、連絡先がまとまった情報は、保険会社を装って契約内容の確認や手続きをかたる詐欺に悪用されるおそれがあると指摘した。三井住友海上も、同社を装ったメール、SMS、電話への注意を呼びかけている [s3]。

同種事案との関連では、リスク対策.com が10月27日付で、Webシステムからの個人情報漏えいが企業規模を問わず相次いでいること、広く使われるプログラミング言語PHPの重大な欠陥が公表され政府が修正対応を呼びかけたことを伝えている [s4]。ただし、今回の侵入経路や原因との関係を示す記述はなく、原因は調査中である [s3][s4]。