セキュリティ

アフラック、438万人の個人情報漏洩。口座情報23万人分を含む

情報の灯台

2026年6月30日 21:3500

アフラック

アフラック生命保険が6月30日、契約者専用サイト「アフラックよりそうネット」への不正アクセスにより、約438万人分の個人情報が漏洩したと発表した。うち約23万人分には保険料振替口座の情報が含まれる。日本での大規模漏洩は2023年の委託先経由の130万人に続いて3度目。今回は委託先ではなく自社システムが直接破られており、流出した情報の種類も過去最悪の水準にある。

10日間、侵入に気づけなかった

アフラック生命保険が同日付で公開したプレスリリースと、親会社がSECに提出した8-K。両方を突き合わせると、時系列はこうなる。

不正アクセスが最初に発生したのは2026年6月15日（月）。以降、6月25日まで複数回にわたり侵入が繰り返された。アフラック側がこれを発見し、アクセスを遮断したのは6月25日。発見と同時に関連システムを停止し、外部のサイバーセキュリティ専門家を起用して調査を開始した。公式発表はそこから5日後の6月30日。金融庁と警察にはすでに報告済みとされている。

最初の侵入から検知まで10日。この間、アフラックのシステムは外部からの不正アクセスにさらされ続けていた。SECへの8-Kには、影響の全容が今後判明する可能性がある旨の注記が添えられている。被害規模がさらに拡大する余地を残している。

流出した情報の中身

アフラックのプレスリリースが列挙する漏洩情報は、氏名、生年月日、性別、住所、電話番号、証券番号、保障内容、保険料振替口座情報（金融機関名、支店名、預金種類、口座番号、口座名義など）。マイナンバーとクレジットカード情報は含まれていない。

438万人のうち、口座情報まで含まれるのは約23万人。加えて、代理店関連の情報（代表者氏名、住所、電話番号など）が約4万店分漏洩している。過去に業務委託契約を結んでいたが現在は委託業務を行っていない代理店も含まれる。

2023年の漏洩では、流出したのは姓のみ、年齢、性別、証券番号、保障額、保険料といった限定的な情報だった。フルネーム、住所、電話番号、銀行口座情報は含まれていなかった。今回はその全てが含まれている。

「よりそうネット」と、止まったサービス

侵入されたのは、契約者向けウェブサービス「アフラックよりそうネット」を含むシステム群。契約内容の確認や住所変更などの手続きをウェブ上で完結できるサービスとして運用されてきた。

不正アクセスの拡大を防ぐため、このサービスは現在停止中。さらに、よりそうネット経由で提供されていた関連サービスも軒並み停止している。人間ドック予約サービス、妊活コンシェルジュサービス、マネーフォワードとの連携機能、各種優待・相談サービスなどが含まれる。再開時期は未定。

保険金・給付金の請求やその他の手続きは、コールセンター（0120-5555-95）で通常どおり受け付けているとアフラックは説明している。

日本で3度目。繰り返される漏洩

アフラック生命保険が日本で大規模な個人情報漏洩を公表するのは、2023年1月、2025年4月に続いて3度目になる。米国本社の事案も加えれば、グループ全体ではさらに多い。

アフラック情報漏洩の経緯

	2023年1月	2025年2月	2025年6月	2026年6月
対象	委託先	委託先代理店	米国本社	自社システム
規模	約132万人	約510万件	約2650万人	約438万人
漏洩情報	姓年齢性別証券番号保険料	契約情報相談履歴	社会保障番号医療情報保険請求データ	氏名・住所電話番号証券番号保障内容口座情報
口座	なし	なし	対象外	約23万人分

2025年2月は保険見直し本舗グループへのランサムウェア攻撃。アフラック契約者を含む複数保険会社の顧客が対象で、規模は件数ベース。2025年6月の米国本社の事案は日本の契約者データを含まない

2023年1月、業務委託先の外部業者がサーバーへの不正アクセスを受け、がん保険加入者ら約132万人分の個人情報が外部サイトに掲載されていたことが判明した。チューリッヒ保険も同じ委託先を通じて約75万人分が漏洩し、合計200万人規模の事案となった。アフラックは同年7月に再発防止策を公表した。

2025年6月、今度は米国本社のアフラック・インコーポレーテッドがサイバー攻撃を受けた。攻撃者はソーシャルエンジニアリングの手法でネットワークに侵入し、顧客・従業員・代理店関係者ら約2650万人分の個人情報を窃取。社会保障番号、医療情報、保険請求データなど、機微性の高い情報が含まれていた。この攻撃には、保険業界を集中的に狙っていたサイバー犯罪集団Scattered Spiderが関与しているとみられている。ランサムウェアは使用されず、データの窃取のみが行われた。20件を超える集団訴訟、連邦議会での追及にも発展した。

委託先代理店の保険見直し本舗グループも2025年2月にランサムウェア攻撃を受けており、同年4月にアフラック契約者を含む約510万件の情報漏洩の可能性が公表された。

そして今回、2026年6月。委託先ではなく、日本法人が自ら運営するシステムが直接侵入された。

今回の攻撃者は誰か

公式発表では、侵入経路も攻撃者の正体も「調査中」とされている。SECへの8-Kでは、事案は「日本のシステムに限定」されており、米国事業のシステムにはアクセスされていないと明記されている。

2025年6月の米国本社への侵害がScattered Spiderの保険業界キャンペーンの一環だったことを考えると、同じグループが日本法人にも矛先を向けた可能性は否定できない。Scattered Spiderはソーシャルエンジニアリングを常套手段とし、ITヘルプデスクへの電話でのなりすましやSIMスワッピングなど、セキュリティ技術ではなく担当者の判断ミスを誘う手法で被害を広げてきた。今回の侵入手法は不明であり、別の攻撃者による可能性もある。

契約者が今すぐ確認すべきこと

アフラックは対象者に順次、書面で通知するとしている。438万人への通知には時間がかかる。届く前に確認できることがある。

保険料振替口座の入出金履歴を確認し、不審な取引がないか調べること。アフラックや金融機関を名乗る電話・メール・SMSには応じないこと。暗証番号やパスワードを聞かれた場合は詐欺の可能性が高い。不審な連絡や取引の懸念がある場合は、アフラックのコールセンター（0120-5555-95、月〜金9:00〜18:00、土9:00〜17:00）に連絡する。

438万人分の氏名・住所・電話番号・証券番号・口座情報。これらが攻撃者の手に渡っている場合、保険会社や銀行を装った精度の高いフィッシング詐欺が発生するリスクがある。流出した証券番号や保障内容を引き合いに出されれば、受け取った側が本物の連絡だと信じる可能性は高い。

アフラックのプレスリリースには「今回の事態を大変重く受け止めている。速やかな原因究明および再発防止策を実施する」と記されている。同じ表現は、2023年の漏洩後にも使われた。

参照元：afl-20260630