📡 Signal｜ソニー生命、契約者サイトへの不正アクセスで約 38.5 万件漏えい

ソニー生命は10月28日、契約者向けサイト「お客さま WEB サービス」などのシステムが不正アクセスを受け、約38.5万件の個人情報が漏えいしたと発表した。漏えいしたのは、ソニー生命が保険代理店として扱ったメディケア生命の保険契約の、契約者と被保険者の情報だ。

同じ28日には、日本航空 (JAL) と日本トランスオーシャン航空が予約システムの委託先への不正アクセスを、経済産業省の電力・ガス取引監視等委員会が報告用サイトへの不正アクセスを公表した。三つの件に共通するのは、破られた場所と、情報の持ち主がずれていることだ。

ソニー生命: 漏れたのは他社の契約の情報

ソニー生命の発表によると、漏えいが確認された項目は氏名、生年月日、性別、住所、電話番号、証券番号、契約の内容だ。マイナンバー、クレジットカード、保険料の振替口座の情報は含まれていない。不正アクセスが判明したのは10月27日で、詳しい原因は調査中としている。

28日時点で、情報が不正に使われた事実は確認されていない。ソニー生命は外部からのアクセスを遮断し、28日午前8時から「お客さま WEB サービス」やソニー生命アプリなどを止めた。再開の時期は決まっていない。金融庁にはすでに報告し、対象の契約者には順次連絡する。

保険会社は自社の商品だけでなく、他社の商品を代理店として売ることがある。今回漏れたのはその代理店としての契約だ。破られたのはソニー生命のシステムで、情報の持ち主はメディケア生命の契約者になる。

JAL: 予約基盤の委託先から9万2000人

JAL と日本トランスオーシャン航空の件は、スペインの Amadeus が提供する旅客サービスシステムへの不正アクセスだ。各社の報道によると、外部から見られた形跡があるのは約9万2000人分の予約情報になる。

約9万人: 予約番号、氏名、搭乗日、搭乗区間、搭乗クラス
約2000人: 上記に加え、連絡先、パスポート番号、国籍、マイレージ番号など

対象は2023年8月10日から2026年9月23日までに Amadeus のシステム上にあった予約の一部で、Amadeus は10月23日に両社へ報告した。クレジットカード番号やパスワードの漏えいは確認されておらず、運航への影響もないという。

電力・ガス取引監視等委員会: 小売事業者の報告サイト

電力・ガス取引監視等委員会の件は、電力やガスの小売事業者が販売量などを報告するためのサイトが不正アクセスを受けたものだ。日本経済新聞によると、このサイトは延べ1100社が使い、運営を任された業者が27日未明に不正アクセスを確認した。事業者の財務情報などが流出した恐れがあり、委員会はサイトの運営を止めて原因を調べている。

破られる場所は、外側の層

三つの件で破られたのは、どれも組織の中核の帳簿そのものではない。契約者が見に来る窓口のサイト、各社が共有する予約の基盤、事業者が報告を出しに来るサイトだ。外とつながる層は利用者にとって便利な入口で、同じ理由で攻撃者にとっても入口になる。

しかも情報の持ち主と、システムの持ち主が一致しない。メディケア生命の契約者は、ソニー生命のサイトの守りに自分の情報を預けていた。JAL の乗客の情報は、スペインの会社のシステムに置かれていた。報告サイトに財務の数字を出した小売事業者は、委託業者の運用に頼っていた。

10月はこの並びが続いている。So-net の会員約258万件の漏えいはこちらで伝えた。自社を固めても、預け先と委託先の数だけ入口は残る。

次に見るもの

確認先は、ソニー生命が「あらためて知らせる」とした原因と影響範囲の続報と、止めているサービスの再開の告知だ。どちらもソニー生命の公式サイトの「お知らせ」に出る。メディケア生命が自社の契約者に向けて出す案内も、情報の持ち主の側の対応として見ておきたい。電力・ガス取引監視等委員会については、財務情報の流出が実際にあったかどうかの続報が分かれ目になる。

ことば

保険代理店 — 保険会社に代わって保険を売る立場。保険会社どうしでも他社の商品を代理店として扱うことがあり、今回ソニー生命はこの立場でメディケア生命の契約を扱っていた。
旅客サービスシステム (PSS) — 航空会社が予約・発券・搭乗の手続きを管理する仕組み。Amadeus などの会社が多くの航空会社に提供しており、委託先が破られると複数の会社の乗客に影響が及びうる。
電力・ガス取引監視等委員会 — 経済産業省に置かれ、電力とガスの市場の取引を監視する組織。小売事業者から販売量などの報告を受けており、今回はその報告用のサイトが狙われた。

🔗 一次ソース