Signal
📡 Signal｜MS&AD 系4社、不正アクセスで約72万件が流出
三井住友海上とあいおいニッセイ同和が契約者ページの情報漏えいを発表。4社で約72万件で、原因と経路は調査中。
三井住友海上火災保険とあいおいニッセイ同和損害保険は11月6日、自社の「ご契約者さま専用ページ」への不正アクセスで顧客情報が漏えいしたと発表した。件数はあいおいニッセイ同和が約44.4万件、三井住友海上が約3.7万件。日本経済新聞によると、三井ダイレクト損害保険の約23.4万件と三井住友海上あいおい生命保険の約5,000件を加え、MS&AD グループ4社で約72万件になる。
保険証券番号と氏名、住所、電話番号がそろうと、保険会社を名乗る連絡の材料になる。両社は現時点で不正な使用は確認していないとしているが、原因と侵入の経路はまだ調査中だ。
4社で異なる漏えいの中身
各社の発表と報道で確認できる範囲は次のとおりだ。
| 会社 | 件数 | 主な項目 |
|---|---|---|
| あいおいニッセイ同和損保 | 約44.4万件 | 保険証券番号、氏名、住所、電話番号、メールアドレス、専用ページ ID |
| 三井ダイレクト損保 | 約23.4万件 | 氏名、住所、電話番号、車両の情報、契約内容 (日本経済新聞) |
| 三井住友海上 | 約3.7万件 | 保険証券番号、氏名、住所、電話番号、メールアドレス |
| 三井住友海上あいおい生命 | 約5,000件 | 項目は報道で確認できず |
あいおいニッセイ同和の発表によると、決済に関わる情報は少数だが含まれる。クレジットカードの名義人と番号の下4桁が3件、口座の名義人名と金融機関名、下3桁を除く口座番号が19件だ。カード番号の全桁とセキュリティコード、口座の暗証番号とインターネットバンキングの認証情報は漏えいしていないという。三井住友海上はカードと口座の情報は含まれないとしている。
三井ダイレクトは、自動車保険の加入を検討しただけの人も対象に入ると日本経済新聞は伝える。見積もりを取っただけで契約していない人も、確認の必要がある。
発表で分かること、分からないこと
経緯は2社で同じ文面だ。11月2日の夜に不正アクセスを検知し、翌3日の深夜に関連サービスを自ら止めた。その後の調査で漏えいを確認し、専用ページはネットワークから切り離したので、停止以降の外部からの不正アクセスはないという。件数は11月6日午前9時時点で、今後の調査で変わりうる。
経路はまだ分からない。今週はメール配信のアララを経由した流出が金融や小売に広がっているが、両社の発表はアララに触れておらず、専用ページへの不正アクセスと説明している。別の経路かどうかは断定できないので、同じ連鎖に数えて読まないほうがいい。ただ国家サイバー統括室が相次ぐ漏えいで攻撃側の AI 使用の可能性を指摘した直後に、大手損保の自社のページが破られたことは重い。
契約者が今日すること
両社は、会社を装ったメール、SMS、電話に注意し、記載のリンクを開かず、パスワードやカード情報を入力しないよう呼びかけている。対象者には順次、個別に案内するという。問い合わせ窓口は三井住友海上が0120-560-559、あいおいニッセイ同和が0120-705-101だ。
専用ページの再開時期は示されていない。契約内容の確認や手続きが止まっている間に届く「確認のお願い」は、案内を装う連絡の形になりやすい。
次に見るもの
確認先は両社の公式サイトの「大切なお知らせ」と「重要なお知らせ」だ。外部の専門機関によるフォレンジック調査の結果として、原因と侵入の経路、件数の確定、専用ページの再開時期の3点が出るかを見る。三井ダイレクトと三井住友海上あいおい生命の発表も、各社のお知らせで項目を確かめたい。
ことば
- 保険証券番号 — 保険の契約ごとに付く番号。契約の確認や事故の連絡に使う。氏名や住所とそろうと、本人や保険会社をかたる連絡に使われるおそれがある。
- フォレンジック調査 — 不正アクセスの跡をログやサーバーのデータから調べ、侵入の経路や盗まれた範囲を特定する調査。外部の専門機関に頼むことが多く、結果が出るまで時間がかかる。
🔗 一次ソース
