AssuranceAmerica、データ漏洩で約700万人分のドライバー情報が流出

AssuranceAmericaは、今年初めに攻撃者が同社のIT環境への不正アクセスを行ったことを受け、約700万人に影響が及ぶデータ漏洩が発生したと公表しました。 

メイン州司法長官府への届け出によると、今回のAssuranceAmericaのデータ漏洩は6,998,886人に影響を及ぼしたとされています。 

同社は、14の米国州にまたがる9,500以上の独立系代理店を通じて自動車保険、賃貸住宅保険、商業用自動車保険を提供しており、2026年3月17日に不審な活動を検知したと述べています。

同社の調査により、攻撃者は同社の従業員1名を標的としており、それによってIT環境の一部への不正アクセスが引き起こされたことが判明しました。 

侵入の過程で、脅威アクターは顧客情報を含むデータファイルをコピーしていました。 

AssuranceAmericaデータ漏洩の要点

• AssuranceAmericaのデータ漏洩により、約700万人分の個人情報および保険関連情報が流出
• 攻撃者は従業員アカウントの侵害を経てアクセスを取得しており、ID関連攻撃のリスクの高さを示す事例
• 流出した可能性のあるデータには、氏名、連絡先情報、保険契約詳細、保険金請求データ、車両情報、運転免許証番号が含まれる
• AssuranceAmericaはインシデントの封じ込め、セキュリティ管理体制の強化、影響を受けた個人への通知を実施
• 組織は、ID保護の強化、フィッシング耐性のあるMFAの導入、机上演習にとどまらないシミュレーションによるインシデント対応計画のテストにより、同様の漏洩リスクを軽減できる

AssuranceAmericaのデータ漏洩で流出した情報とは

同社によると、盗まれたファイルにはさまざまな組み合わせの個人情報および保険関連情報が含まれていた可能性があるとしています。具体的には以下の通りです。

• 氏名および連絡先情報
• 自動車保険の契約・口座情報
• 運転者および車両に関する情報
• 保険金請求関連情報
• 運転免許証番号

同社は攻撃者の特定やランサムウェアの関与を確認していないものの、流出したデータによって、なりすまし被害、保険金詐欺、標的型フィッシングのリスクが高まる可能性があります。 

AssuranceAmericaの対応

今回の保険データ漏洩の発覚を受け、AssuranceAmericaはいくつかの封じ込め・是正措置を講じました。通知内容によると、同社は以下を実施しています。

• 侵害された従業員の認証情報を無効化
• ネットワーク内の不正なセッションを強制終了
• 影響を受けたシステムを隔離
• 法執行機関への通報
• 影響を受けたシステム全体のパスワードをリセット
• 強化された監視・脅威検知機能を導入
• 従業員向けにサイバーセキュリティ意識向上のための追加トレーニングを実施

また同社は、影響を受けた顧客に対し、金融口座の監視、信用情報の確認、不審な活動を発見した場合の金融機関への即時報告を呼びかけています。

保険業界は依然として狙われやすい標的

AssuranceAmericaのインシデントは、大量の個人を特定できる情報(PII)、契約記録、金融データを保有する保険会社をサイバー犯罪者が狙う最新の事例です。

つい先月には、保険会社のAflacが、日本法人に関わる別のデータ漏洩を公表しており、攻撃者が数百万人の顧客の個人情報や口座情報にアクセスしたとされています。

保険会社が業務のデジタル化を進める中、フィッシングや認証情報窃取といった従業員を狙う攻撃は、依然として脅威アクターが初期アクセスを獲得する最も一般的な手口の一つとなっています。 

組織は、以下の対策を講じることで同様のインシデントのリスクを軽減できます。 

• フィッシング耐性のあるMFAを導入し、従業員アカウントおよび特権アカウントの保護を強化する。
• ゼロトラストの原則と最小権限アクセスにより、ID保護を強化する。
• 不審なアカウント活動や不正アクセスの試みを継続的に監視する。
• フィッシングやソーシャルエンジニアリングに焦点を当てたセキュリティ意識向上トレーニングを定期的に実施する。
• エンドポイント検知ツールを導入し、侵害の兆候をエンドポイント上で継続的に監視する。
• 定期的な机上演習やシミュレーションを通じて、インシデント対応計画をテスト・更新する。
• 機密データを転送時および保存時に暗号化し、インシデント発生後の復旧を支える、信頼性が高くテスト済みのイミュータブルなバックアップを維持する。

結論

AssuranceAmericaは漏洩を受けてセキュリティ強化に向けた措置を講じているものの、今回のインシデントは、単一の侵害されたアカウントが大規模なデータ流出につながりかねないことを改めて示しています。

漏洩の通知を受けた個人は、金融口座や信用情報の動向を注意深く監視するとともに、流出した情報を悪用したフィッシング攻撃にも警戒する必要があります。

ID関連攻撃への対策として、多くの組織は、IDを継続的に検証し不正アクセスを制限するゼロトラストソリューションを活用しています。 

Ken Underhill

Ken Underhillは、IT、サイバーセキュリティ、リスクマネジメントの分野で25年以上の経験を持つ、受賞歴のあるサイバーセキュリティ専門家、ベストセラー著者、テクノロジーリーダーです。彼のキャリアはネットワーク管理、インシデント対応、ペネトレーションテスト、起業と多岐にわたり、組織のリスク軽減とコンプライアンス確保を実地で支援してきた経験を持っています。Kenは元看護師・戦闘医療兵でもあり、この経歴を活かして複雑なサイバーセキュリティのトピックを、世界中の幅広い読者にも理解しやすいコンテンツへと落とし込んでいます。
複数のサイバーセキュリティ企業をイグジットさせてきた創業者として、Kenは長年にわたり組織のセキュリティ体制強化、リスク管理、複雑なテクノロジー課題への対応を支援してきました。彼の専門分野は、サイバーセキュリティ戦略全般、クラウドセキュリティ、インシデント対応、リスク管理、セキュリティ意識向上、そして企業に影響を及ぼす新興の脅威にまで及びます。KenはまたAIセキュリティおよびリスクに関して、複数のスタートアップのアドバイザーも務めています。
現場での豊富な経験に加え、Kenは TechnologyAdvice のサイバーセキュリティニュースレター執筆者として、サイバーセキュリティのニュースやトレンド、ビジネス・IT専門家向けの実践的なベストプラクティスを発信しています。Kenは教育者としても活動しており、これまでに200万人以上が彼の講座を受講してきました。Global Cybersecurity 40 under 40(2度受賞)、Women’s Society of CyberjutsuのCyber Champion Award、2019年SC Media Outstanding Educator Awardを受賞しています。またKenは、Minorities in Cybersecurity、Black Girls Hack、退役軍人のセキュリティ業界への転身を支援するWhole Cyber Human Initiativeといった団体でボランティア活動も行っています。
KenはWestern Governors University でサイバーセキュリティ・情報保証学の修士号を、Strayer University で情報システム学(サイバーセキュリティマネジメント専攻)の学士号を取得しています。保有資格には、Certificate of Cloud Security Knowledge(CCSK)、Certified Ethical Hacker(CEH)、Computer Hacking Forensic Investigator(CHFI)があり、デジタルフォレンジックの非常勤講師も務めた経験があります。Kenはまた、2020年から2022年にかけてサイバーセキュリティ関連のストリーミングテレビ番組を持ち、世界中で月間20万人以上の視聴者を獲得していました。
彼の実績や見解は、Forbes、Reader’s Digest、Medium、TechRepublic、Fox、NBC、CBS、Dark Reading、MSN Moneyをはじめとする主要メディアで取り上げられており、サイバーセキュリティ、選挙セキュリティ、プライバシーの分野で信頼される発信者としての地位を確立しています。