日本最大級の保険グループをめぐる一連のサイバー攻撃により、報告されたデータ流出件数は100万件を超えた。今回の最新のインシデントでは、外部サービスプロバイダーと企業向け情報ポータルの双方が影響を受けている。
MS&AD Insurance Group傘下のMitsui Sumitomo InsuranceとMitsui Direct General Insuranceは11月9日、約29万6000件の追加流出を公表し、グループ全体の合計は約101万件となった。
によると 共同通信、今回の調査結果は、11月6日までにグループ各社が報告した約71万5000件に続くものだ。
インシデントは別々のシステムで発生しており、両者に関連性があるかどうかはまだ明らかになっていない。
第三者への侵害で保険関連情報27万3000件が流出。
今回新たに公表された情報の大半は、保険会社向けにロードサービスを提供している第三者プロバイダー、Prestige Core Solutionへのサイバー攻撃によるものだった。
11月9日の 公表資料で、Mitsui Sumitomoは、同プロバイダーが10月29日に不正アクセスを検知し、11月4日に同社へ通知したと説明した。
この侵害により、Mitsui Sumitomoの顧客情報約22万8000件が流出した。Mitsui Directの顧客情報も含めると、影響を受けたのは約27万3000件に上る。
Mitsui Sumitomoによると、流出した情報には次のものが含まれていた。
- 顧客の氏名、住所、電話番号
- 車両の登録番号および識別番号
- 事故対応および車両故障時のロードサービス記録
Mitsui Sumitomoは、影響を受けた情報にクレジットカード情報や銀行口座情報は含まれていないと説明した。保険会社は、流出したデータが悪用されたことを確認していない。
今回のインシデントは、外部プロバイダーに顧客情報を保管するリスクを浮き彫りにした。これは、ManoManoの第三者侵害と同様で、こちらでは約3800万人の顧客が影響を受けたと報じられている。
別のMS Compass攻撃で2万3000件が流出。
Mitsui Sumitomoはまた、中小企業向け情報ポータルであるMS Compassへの不正アクセスも公表した。
同社の 公式発表によると、11月2日から3日にかけて検知された不審な活動により、約2万3000件の情報が流出した。
影響を受けた情報には、企業名、従業員の連絡先、役職、事業所住所、年間売上高、従業員数が含まれていた。
Mitsui Sumitomoは11月3日に影響を受けたシステムへのアクセスを制限し、11月6日にはMS Compassのウェブサイトを一時閉鎖した。
同社は外部のセキュリティ専門家と協力して侵入を調査している。ロードサービスの侵害との関連性は確認されていない。
報告された流出件数が101万件に達した経緯。
11月9日の公表は、MS&AD傘下各社の契約者向けシステムで発生した不正アクセスに関わる過去のインシデントに加わるものだ。
これらのインシデントでは、氏名、連絡先、車両情報、保険契約記録など、さまざまな種類の顧客情報が流出した。
インシデントまたは公表内容 | 報告された件数 |
|---|---|
| 11月6日までに公表された過去のMS&AD関連情報 | 715,000 |
| ロードサービスプロバイダーへの侵害 | 273,000 |
| MS Compass企業向けポータルへの侵害 | 23,000 |
| 合計 | 1,011,000 |
出典：共同通信およびMitsui Sumitomo Insuranceの公表資料、2026年11月6～9日。
この数字は別々のインシデントで報告された件数の合計であり、必ずしも101万人の個人を意味するものではない。
今回の公表は、第三者への侵害が及ぼし得る影響も浮き彫りにしている。別のインシデントでは、Frontline Educationへの侵害により、外部ソフトウェアの脆弱性を通じて130万人を超える人々の情報が流出した。
影響を受けた顧客が取るべき対応
保険会社は流出情報の悪用を確認していないものの、顧客情報や車両情報が標的型フィッシングやなりすまし詐欺に使われる可能性がある。
Mitsui Sumitomoは、同社を名乗る不審なメール、テキストメッセージ、電話に注意するよう顧客に呼びかけている。
影響を受けた顧客は、次の対応を取るべきだ。
- 予期しないメッセージを確認する際は、公式の連絡先を通じて保険会社に問い合わせる。
- 不審なリンクを避ける。リンク先でパスワード、支払い情報、その他の機密情報を要求されても入力しない。
- 個人に合わせた詐欺に注意する。実際の車両、保険契約、ロードサービスの依頼に言及するものには警戒が必要だ。
- 公式のお知らせを確認する。影響を受けたサービスや顧客への通知に関する最新情報を確認する。
同社は、準備が整い次第、影響を受けた顧客に個別に連絡すると説明した。
複数のインシデントが第三者のセキュリティリスクを浮き彫りに
MS&ADによる今回の公表は、異なる業務機能を担うさまざまなシステムを通じて、顧客情報が流出し得ることを示している。
セキュリティチームにとって、今回のロードサービス関連インシデントは、外部プロバイダーを監視し、プロバイダーが保持する顧客情報を制限し、明確な侵害通知手順を整備する重要性を改めて示すものだ。
MS Compassへの侵入は、従業員の連絡先や企業情報を保管する企業向けポータルを保護する必要性も浮き彫りにしている。
こうした懸念は保険会社に限らない。組織は、顧客情報を流出させる可能性のある弱点を特定するため、第三者のセキュリティリスクとサプライチェーンの脆弱性を定期的に評価すべきだ。
MS&ADをめぐるインシデントの調査は続いており、各社は別々の侵害を結び付ける共通の原因を確認していない。
サイバーセキュリティ関連の別のニュースでは、 mSecureは顧客にパスワードの変更、二要素認証のリセット、パスキーの見直しを促し、暗号化された顧客データベースが盗まれたとされるセキュリティインシデントを受けて。