アフラック生命の契約者専用サイトなどへの不正アクセス

経緯

アフラック生命は第一報の発表文（ITmedia NEWS掲載の写し）で、よりそうネットを、契約内容の確認や住所・電話番号の変更などの手続きがパソコンやスマートフォンで行えるサイトと説明した⁠［1］。第一報では、最初の不正アクセスは6月15日で、以降6月25日までに複数回、不正にアクセスされたことを確認したとしていた⁠［1］。同社は第二報（シンニチ保険WEBの再掲）で、さらなる調査の結果、不正アクセスによる情報漏えいが最初に発生したのは6月10日〔注1〕だったと改めた⁠［20］。

アフラック生命の7月31日の調査結果では、不正アクセスを受けたのは「オンライン相談」と「アフラックよりそうネット」のシステムだった⁠［21］。

アフラック生命は調査結果で、システムは不正アクセスを検知・遮断する機能を備えていたが、今回のアクセスの形式が通常の利用時と同様だったため、直ちに検知できなかったと説明した⁠［21］。短時間に大量のデータ照会があった場合に監視・制御する機能も不足していた⁠［21］。システム設計時のセキュリティレビューやリリース前の侵入テストは実施していたが、今回の手口に関するリスクを想定できていなかった⁠［21］。

ScanNetSecurityの8月20日の記事によると、「オンライン相談」は同社の代理店が使うシステムだ⁠［23］。

目次へ

時系列

目次へ

影響範囲

アフラック生命は第二報（シンニチ保険WEBの再掲）で、漏えいした個人情報の項目は第一報から変わっていないとした⁠［20］。顧客に注意を促すため、被保険者・受取人・第二連絡先の情報も含まれることを明記した⁠［20］。

第二報では、保険料振替口座の情報が含まれる顧客の数が約23万人から約22万人に改まった⁠［1、20］。マイナンバー、クレジットカード情報、メールアドレスは含まれていない⁠［20］。

第一報が挙げた代理店約4万店には、一部提携先と、過去に業務委託契約を結び現在は委託業務を行っていない代理店を含む⁠［1］。

アフラック生命が7月31日に公表した調査結果では、漏えいした個人情報は第二報の内容から変わっていない⁠［21］。同社は社内と外部専門機関の調査で、2つのシステム以外では同種または類似の情報漏えいはないことも確認した⁠［21］。

目次へ

対応と現状

アフラック生命は第一報で、不正アクセスの拡大を防ぐため、よりそうネットをはじめ一部のシステムを停止していると説明した⁠［1］。保険金・給付金の請求をはじめとする各種の問い合わせ・手続きは、コールセンター等で通常どおり受け付けている⁠［1、21］。停止中のシステムと手続きの方法を案内するページと、FAQのページを公開した⁠［5、6］。よりそうネットのサービス再開を案内するページも公開した⁠［7］。

シンニチ保険WEBが再掲した第二報によると、文書の発送は口座情報を含む顧客を優先し、二次被害の防止に向けて関係する金融機関と順次連携を始めた⁠［20］。情報の不正利用等は、第一報、第二報、7月31日の調査結果のどれでも確認されていない⁠［1、20、21］。

金融庁と親会社の届出

アフラック生命は第一報で、金融庁・警察等の関係機関へ既に報告したと説明した⁠［1］。同社は7月1日の公表文（シンニチ保険WEBの再掲）で、不正アクセスの手口等の事実関係、顧客への対応状況、原因分析と再発防止策等を金融庁に報告するとした⁠［19］。

SecurityWeekによると、親会社のAflac Incorporatedは米国証券取引委員会への届出で、今回の事象はAflac Japanの一部のシステムに限られ、米国事業に関わるシステムには影響しないと説明した⁠［18］。調査は第三者のサイバーセキュリティ専門家の支援を受けて続いていると報じた⁠［18］。

再発防止策と役員の報酬

アフラック生命は7月31日の調査結果で、再発防止策として4つの項目を挙げた⁠［21］。

• システムへのアクセス時の認証と、データ照会時の認可を強化する⁠［21］。
• アプリケーションとセキュリティ対策機器で、大量アクセスに対する監視と制御を強化する⁠［21］。
• 不正アクセスのリスクを多層的に分析してセキュリティ要件を最新化し、セキュリティレビューの実効性を高めるとともに侵入テストを強化する⁠［21］。
• 情報セキュリティ管理態勢の再評価で特定した課題に対し、人財の増強や体制の強化を含む対策を実施する⁠［21］。対策はセキュリティ標準・基準の再整備と、セキュリティレビュー、リリース前の検証、リリース後の監視体制、リリース後の継続的な改善活動の強化である⁠［21］。

責任の所在を明確にするため、情報セキュリティ管理態勢の強化について管理監督責任を有する役員4人が報酬の一部を自主返納するとした⁠［21］。代表取締役会長と代表取締役社長は、月額報酬の30%を1カ月返納する⁠［21］。取締役専務執行役員チーフ・デジタル・インフォメーション・オフィサーと常務執行役員チーフ・リスク・オフィサーは、月額報酬の20%を1カ月返納する⁠［21］。アフラック生命は、取締役会で決めた「経営上の重要リスク」の一つにサイバー攻撃のリスクを掲げ、高度化計画の実行や第三者評価の実施などで態勢の強化に取り組んできたと説明した⁠［21］。

代理店や団体の告知

目次へ

未公表の事項

• 攻撃者がシステムにアクセスした方法（利用者のIDの入手経路、なりすましや脆弱性の有無）
• 「オンライン相談」と「アフラックよりそうネット」のそれぞれから漏えいした人数
• 被保険者・受取人・第二連絡先の人数（第二報は顧客の数を契約者の人数で示した⁠［20］）
• 攻撃者と犯行声明の有無
• よりそうネットとオンライン相談の再開の日付（7月31日の調査結果では、再発防止策の確実な実行を前提として一日も早い再開を目指しているとした⁠［21］）

注

• 〔注1〕SecurityWeekによると、親会社の届出は、システムへの侵入を6月15日とした⁠［18］。
• 〔注2〕代理店のセキスイ保険サービスが掲載した顧客宛の文書は、項目に「勤務先等の所属集団名」を挙げた⁠［16］。東電生活協同組合の第二報も「所属先集団情報」を挙げた⁠［12］。

出典

更新記録

• 2026年7月1日：公開した。
• 2026年7月2日：東電生活協同組合の7月2日の告知（出典11）を加え、対応と現状の節を改めた。
• 2026年7月8日：東電生活協同組合の第二報（出典12）を加え、対応と現状の節と注を改めた。
• 2026年7月13日：アフラック生命保険の第二報（出典3）と新日本保険新聞社による第二報の再掲（出典20）を加え、リードと経緯・時系列・影響範囲・対応と現状・未公表の事項の節を改めた。
• 2026年7月14日：イードのFAQの記事（出典22）を加え、時系列の節を改めた。
• 2026年7月15日：ＦＰパートナーの告知（出典15）を加え、対応と現状の節を改めた。
• 2026年7月31日：アフラック生命保険の調査結果と再発防止策（出典4）と新日本保険新聞社による再掲（出典21）を加え、リードと経緯・時系列・影響範囲・対応と現状・未公表の事項の節を改めた。
• 2026年8月3日：東電生活協同組合の第三報（出典13）を加え、対応と現状の節を改めた。
• 2026年8月20日：イードの記事（出典23）を加え、経緯の節を改めた。
• 2026年10月20日：イードのFAQの更新の記事（出典24）を加え、時系列の節を改めた。

目次へ

関連記事

同じ当事者の資料を引く記事

• Boston Scientificのサイバーセキュリティインシデント（sec.gov）

  判明 2026年8月25日 公開 2026年8月30日 不正アクセス、システム停止、国外