損害保険ジャパン：当社事業者向けサービスで使用する外部委託先システムへの不正アクセスによるお客さま情報漏えいの可能性について

スカラコミュニケーションズ（SC社）側の公表や関連企業の発表を整理した piyolog によれば、SC社は10月3日朝にデータベースの監視アラートを契機に調査を開始し、同日8時頃に不正アクセスを遮断して、該当する利用企業には同日中に第一報を行った [s4]。損保ジャパンは公表によれば、3日にSC社から連絡を受けた [s3]。SC社は6日、親会社の株式会社スカラとともに公表している [s4]。損保ジャパンの公表は7日で、日本経済新聞とNHKも同日に約6万件（NHKは「のべ6万件」）の漏えいの可能性を報じた [s5][s6]。

侵入の手口について、piyolog が整理したSC社の公表では、2026年10月2日20時30分頃から3日8時頃にかけて、第三者がFAQシステム「i-ask」の管理サイトに不正にログインし、SC社が管理するサーバー上に不正なプログラムを設置したうえで、同一サーバー上で稼働していた利用企業の環境のデータベースから問い合わせ情報を取得した可能性があるという。ただし、不正ログインの経緯について公表されているのは、管理サイトへの不正ログインという点までである [s4]。時間帯は、大和証券とシチズン時計がSC社の説明として2日20時33分頃から3日8時1分頃と記載しており、損保ジャパンの公表と一致する [s4][s3]。

影響は損保ジャパン1社にとどまらない。piyolog によれば、対象は同一サーバー上の利用企業向け環境（最大5社）の問い合わせ情報で、件数は最大713,126件に上る。これは問い合わせ単位の延べ件数で、同一顧客による複数回の問い合わせを重複して含み、実際の対象人数は名寄せ作業中だという。利用企業名についてSC社は公表を控えるとしている [s4]。10月8日までに、大和証券、シチズン時計、損保ジャパン、オリックス生命保険が漏えいの可能性を公表し、東武鉄道はSC社提供サービスの利用を公表した [s4]。大和証券は約11万名分（個人を特定できる情報のない問い合わせ等を含む合算で約22万件）、シチズン時計は約10万名分、オリックス生命保険は約26,500件とされる [s4]。東武鉄道については、閲覧・取得の形跡は確認されていないとSC社から報告を受けたという [s4]。大和証券については、岩手銀行と四国銀行も自行サイトで顧客に注意喚起を掲載した [s4]。

SC社は6日の公表時点で、不正ログインに使われたアカウントのパスワード変更、攻撃元IPアドレスからのアクセス遮断、設置された不正プログラムの隔離、全環境の管理者アカウントのパスワード変更、アップロードファイルをプログラムとして実行できないようにする設定変更を実施した。外部専門機関とのフォレンジック調査は進行中で、多要素認証の導入等による管理者認証の強化、環境間の分離、監視体制の強化、第三者による定期的な脆弱性診断を講じるとしている [s4]。

損保ジャパンは、顧客の氏名や問い合わせ内容を使って同社や関係者を装う詐欺の電話・メールが行われるおそれがあるとして、不審な連絡のリンクや添付ファイルを利用しないよう呼びかけた。また、情報がインターネット上に公開・拡散された事実は確認されていないが監視を継続し、委託先管理のあり方を検証して管理強化策と実施時期を決定するとしている [s3]。bsrweb.jp は、本件を委託先のシステム障害が自社の顧客情報リスクに直結するサプライチェーン上の脆弱性の表れと論じ、ドライバーIDを事業者が運転評価や安全運転指導に使うことから「機微な情報と言える」と評した [s7]。