日本の大手保険グループの一つを狙った一連のサイバー攻撃で、報告された情報流出件数が100万件を超えました。新たに、外部サービス事業者とビジネス情報ポータルの双方で被害が判明しています。
MS&ADインシュアランスグループ傘下の三井住友海上火災保険と三井ダイレクト損害保険は11月9日、新たに約29万6,000件の情報流出を公表しました。これによりグループ全体の合計は約101万件に達しました。
共同通信によると、今回の公表分は、グループ各社が11月6日までに報告していた約71万5,000件に上乗せされた形です。
各インシデントは別々のシステムで発生しており、相互の関連性は確認されていません。
外部事業者の侵害で保険関連情報27万3,000件が流出
今回新たに判明した情報の大半は、保険会社向けにロードサービスを提供する外部事業者、Prestige Core Solutionへのサイバー攻撃によるものです。
三井住友海上は 11月9日の発表で、同事業者が10月29日に不正アクセスを検知し、11月4日に同社へ報告したと説明しました。
この侵害により、三井住友海上の顧客情報約22万8,000件が流出しました。三井ダイレクト損保の顧客分を含めると、被害は約27万3,000件に上ります。
三井住友海上によると、流出した情報には次のものが含まれます。
- 顧客の氏名、住所、電話番号
- 車両登録番号、車台番号などの識別番号
- 事故・故障時のロードサービス対応記録
三井住友海上は、被害を受けた情報にクレジットカードや銀行口座の情報は含まれていないとしています。流出した情報の悪用も、両社は確認していません。
今回の事案は、顧客情報を外部事業者に預けるリスクを改めて示しました。約3,800万人の顧客に影響したと伝えられるManoManoのサードパーティ侵害も同様の事例です。
別件のMS Compassへの攻撃で2万3,000件が流出
三井住友海上は、中小企業向け情報ポータル「MS Compass」への不正アクセスも公表しました。
同社の 公式発表によると、11月2日から3日にかけて不審なアクティビティを検知し、約2万3,000件が流出しました。
流出した情報には、企業名、従業員の連絡先、役職、事業所住所、年間売上高、従業員数が含まれます。
三井住友海上は11月3日に影響を受けたシステムへのアクセスを制限し、11月6日にはMS Compassのウェブサイトを一時停止しました。
同社は外部のセキュリティ専門家と連携して侵入経路を調査しています。ロードサービス事業者の侵害との関連は確認されていません。
報告された流出件数が101万件に達した経緯
11月9日の公表分は、MS&AD傘下各社の契約者向けシステムへの不正アクセスという、先行して発生したインシデントに上乗せされたものです。
先行インシデントでは、氏名、連絡先、車両情報、保険契約記録など、さまざまな種類の顧客情報が流出しました。
|
インシデント・公表内容 |
報告された件数 |
|---|---|
| 11月6日までのMS&AD先行公表分 | 71万5,000件 |
| ロードサービス事業者の侵害 | 27万3,000件 |
| MS Compass（法人向けポータル）の侵害 | 2万3,000件 |
| 合計 | 101万1,000件 |
出典: 共同通信および三井住友海上火災保険の公表資料（2026年11月6〜9日）
この数字は別々のインシデントで報告された件数の合計です。101万人分の固有の個人情報が流出したとは限りません。
今回の公表は、サードパーティの侵害が及ぼしうる影響の大きさも浮き彫りにしています。別の事例では、Frontline Educationの情報漏えいで、外部ソフトウェアの脆弱性を突かれ、130万人以上の情報が流出しました。
被害を受けた顧客が取るべき対策
保険会社は流出情報の悪用を確認していません。ただ、顧客情報や車両情報は、標的型のフィッシングやなりすまし詐欺に使われるおそれがあります。
三井住友海上は、同社を名乗る不審なメール、ショートメッセージ、電話に注意するよう顧客に呼びかけています。
被害を受けた顧客は、次の対応を取ってください。
- 身に覚えのない連絡を確認する:公式の窓口から保険会社に問い合わせる
- 不審なリンクを避ける:パスワードや決済情報などの機微な情報の入力を求めるものは開かない
- 個人情報を使った詐欺に警戒する:実際の車両、契約、ロードサービスの依頼内容に触れた手口に注意する
- 公式のお知らせを確認する:対象サービスの最新情報や顧客への通知を確認する
保険会社は、準備が整い次第、対象の顧客に個別に連絡するとしています。
相次ぐ事案が示すサードパーティのセキュリティリスク
今回のMS&ADの公表は、無関係な業務を担う別々のシステムから、顧客情報が流出しうることを示しています。
セキュリティ担当者にとって、ロードサービスの事案は、外部事業者の監視、事業者が保有する顧客情報の最小化、明確な情報漏えい通知手順の整備が重要であることを裏付けるものです。
MS Compassへの侵入は、従業員の連絡先や企業情報を保管する法人向けポータルも守る必要があることを示しています。
こうした懸念は保険会社に限りません。企業はサードパーティのセキュリティリスクやサプライチェーンの脆弱性を定期的に評価し、顧客情報の流出につながる弱点を洗い出すべきです。
MS&ADの各インシデントについては調査が続いています。各社は、別々の侵害をつなぐ共通の原因を特定できていません。
その他のサイバーセキュリティニュース: mSecureは、暗号化された顧客データベースが盗まれたとされるセキュリティインシデントを受け、顧客にパスワードの変更、二要素認証のリセット、パスキーの確認を呼びかけています。
翻訳元: https://www.esecurityplanet.com/threats/news-msad-data-breach-japan-1-million-records-apac/
