ソニー生命の契約者向けサイトに不正アクセス、代理店として扱ったメディケア生命の契約約38.5万件が漏えい — 他社の顧客情報を預かる代理店・販売店が確かめること
ソニー生命保険は2026年10月28日、契約者専用サイト「お客さまWEBサービス」などのシステムが第三者の不正アクセスを受け、顧客情報約38.5万件が漏えいしたと公表した。漏れたのはソニー生命自身の保険ではなく、同社が保険代理店として販売したメディケア生命保険の契約者と被保険者の情報である。他社の商品を売り、その顧客情報を預かっている代理店・販売店・取次店は、自社が同じ立場になったときに誰へ何を説明するかを、今のうちに決めておきたい。
背景
ソニー生命の公表によると、経緯は次のとおりである。
- 2026年10月27日（火）：自社システムへの第三者の不正アクセスが判明
- 判明後：対象システムへの外部からのアクセスを遮断し、お客さまWEBサービスやソニー生命アプリなど関係するサービスを停止
- 10月28日：公表。金融庁へは報告済み
漏えいが確認された情報は次のとおりである。
- 対象：ソニー生命が保険代理店として取り扱ったメディケア生命保険の契約に関する、契約者と被保険者
- 項目：氏名、生年月日、性別、住所、電話番号、証券番号、契約内容
- 件数：約38.5万件
- 含まれないもの：マイナンバー、クレジットカード情報、保険料の振替口座情報
侵入の経路や原因は調査中とされ、10月28日時点で情報が不正に使われた事実は確認されていない。対象者には順次連絡するとしている。
リスクの全体像
この件で目を引くのは、情報の持ち主と漏らした会社が違う点である。メディケア生命の契約者から見れば、契約した保険会社とは別の会社のシステムから自分の情報が漏れたことになる。保険に限らず、携帯電話の販売代理店、住宅設備の取次店、ITサービスの再販業者など、他社の商品を売る中小企業は多い。申込書や契約内容を自社のシステムや共有フォルダに保存していれば、漏えい時には自社の顧客と委託元の両方に説明する責任を負う。
個人情報保護法では、1,000人を超える漏えいなどが起きた場合、国への報告と本人への通知が義務づけられている。代理店として預かった情報でも、漏らした会社が報告と通知の当事者になる。委託元との契約に、事故時の連絡期限や費用の負担が書かれていることも多く、初動が遅れると取引そのものを失いかねない。
二次被害の面では、氏名、住所、電話番号、証券番号、契約内容がそろっていることが問題になる。証券番号と契約内容を正確に言い当てる連絡は、受け取った側には本物の保険会社からの連絡にしか見えない。「保険料の未払い」「給付金の手続き」「契約内容の確認」を口実にしたフィッシングのメールやSMS、電話が想定される。ソニー生命も、同社を装ったメール・SMS・電話に注意するよう呼びかけ、パスワードや暗証番号、ワンタイムパスワードをメールや電話で尋ねることはないとしている。
チェックリスト
他社の商品を販売・取次し、その顧客情報を預かっている企業は、次の点を確かめる。
- 委託元（メーカー・保険会社など）の顧客情報を、どのシステムやフォルダに、何件保存しているか
- その情報に社外からアクセスできる画面（顧客向けサイト、販売店ポータル、リモート接続）はあるか。ログインに二要素認証を求めているか
- 委託元との契約書に、漏えい時の連絡先、連絡期限、費用負担がどう書かれているか
- 漏えいが起きたとき、委託元への連絡、本人への通知、個人情報保護委員会（業種によっては所管官庁）への報告を、誰が担当するか決まっているか
- 契約が終わった顧客や、販売を終えた商品の顧客の情報が、消されずに残っていないか
- 社員と顧客に、自社や委託元を名乗る不審な連絡への注意を伝える文面と窓口を用意しているか
打ち手
まず、預かっている他社の顧客情報を棚卸しする。委託元ごとに、保存場所、件数、項目、保存期間を1枚の表にまとめる。契約が終わって不要になった情報は、委託元の取り決めに沿って消す。持っていない情報は漏れない。
次に、社外から入れる入口を絞る。顧客向けサイトや販売店ポータル、リモート接続の管理画面について、二要素認証の有無、退職者や異動者のアカウントの残り、管理者アカウントの共用を確かめる。外部の業者に運用を任せている場合は、ログを何日分残しているか、異常をどうやって知らせてくれるかも聞いておく。
最後に、事故時の連絡手順を紙1枚に書く。委託元の担当窓口、本人への通知の文面、報告先、問い合わせ窓口の電話番号を、担当者名と一緒に決めておく。ソニー生命は判明の翌日に件数と項目を公表し、臨時のフリーダイヤルを設けた。中小企業が同じ速さで動くには、事前の準備が欠かせない。
あわせて読みたい
- メール配信サービス「ブラストメール」から全契約者の情報が持ち出し、配信も停止 — メルマガを外部サービスに頼る中小企業の初動
- アバハウスに不正アクセス、注文内容と一致する「返金」詐欺メールが届く — 通販事業者が最初の72時間でやること
- skyticketで約1,464万件が流出、3つの別経路が同時期に判明 — 管理機能・業務システム・ログイン不要の予約ページを自社でも棚卸しする
Omamori AI の結論
- 事実: ソニー生命の契約者向けサイトなどへの不正アクセスで、同社が代理店として扱ったメディケア生命の契約者・被保険者の情報約38.5万件が漏えいした。マイナンバー、カード情報、振替口座情報は含まれていない。
- 判断軸: 他社の顧客情報を預かる代理店は、漏えい時に自社の顧客と委託元の両方へ説明する当事者になる。どこに何件あり、事故時に誰が動くかを答えられるかを問う。
- 打ち手: 預かり情報を棚卸しして不要分を消し、社外からの入口に二要素認証をかける。委託元・本人・当局への連絡手順を紙1枚に決めておく。
経営者視点で考えるべきこと
代理店の仕事は、委託元の商品を売ることだけでなく、委託元の顧客を預かることでもある。今回のように自社のシステムから他社の顧客情報が漏れると、謝る相手は自社の顧客だけでは済まない。委託元からの信頼を失えば、代理店契約そのものが続かなくなる。経営者が確かめるべきことは3つある。他社から預かった顧客情報がどこに何件あるか、社外から入れる入口が守られているか、事故の翌日に委託元と本人へ連絡できる体制があるかである。1つでも答えに詰まるなら、次の契約更新を待たずに委託元と手順をすり合わせておきたい。
