東京海上ダイレクトの「マイページ」に不正アクセス、契約者情報74件が漏えい — 経路のサービスとの接続を止めてWeb手続きを全面停止
東京海上ダイレクト損害保険は2026年11月5日、契約者向けの「マイページ」などのWebサービスに第三者の不正アクセスがあり、個人情報が漏えいしたと公表した。漏えいの可能性がある契約などは、現時点で74件。氏名や住所、契約内容に加え、保険金の支払いや問い合わせの対応履歴に含まれる事故相手方、傷病、口座の情報が含まれる可能性もある。同社は侵入の経路に使われたサービスとの接続を止め、自動車保険のWeb手続きをすべて一時停止した。件数は小さくても、外部とつないだ会員ページは、つなぎ先を止めると手続き全体が止まることを示す事例である。
背景
同社の公表によると、11月4日に「マイページ」への不審なアクセスを検知し、該当するIPアドレスからのアクセスを遮断した。原因と影響の範囲は調査中である。
漏えいの可能性がある情報は次のとおりである。
- 契約者と主な運転者の氏名、住所、生年月日、電話番号、メールアドレスなど
- 証券番号、契約車両の情報、補償内容などの契約情報
- 保険金の支払いや問い合わせの対応履歴に含まれる情報（事故相手方、傷病、口座の情報を含む可能性がある）
経路に使われたサービスの名称は公表されていない。同社はこのサービスとの接続を停止したことに伴い、「総合自動車保険（&e）」と「ドコモの自動車保険」について、Webサイトでの手続きと新規の見積もり・申し込みを一時停止している。再開の時期は未定で、安全を確認したうえで改めて知らせるとしている。
監督官庁へは報告済みである。対象となる契約者などは特定を進め、確認でき次第、個別に連絡する。公表の時点で、不正利用や二次被害、マルウェアへの感染は確認されていない。
リスクの全体像
74件という数字だけを見ると、被害は限られて見える。注意したいのは、漏れた可能性のある情報の中身である。事故の相手方や傷病の情報は、契約者本人だけでなく、契約と関係のない第三者の情報でもある。口座の情報と組み合わされると、保険会社を名乗るフィッシング詐欺や電話で、本物らしい話を作る材料になる。
もう一つの論点は、止めたときの影響の大きさである。会員ページは、ログイン、本人確認、決済、通知など、外部のサービスと組み合わせて作られることが多い。そのうち一つが侵入の経路になれば、つなぎ先を切るしかない。切った結果、見積もりから契約変更までのWeb手続きがまとめて止まり、問い合わせは電話窓口に集中する。
中小企業でも、予約、会員登録、問い合わせのページを外部のサービスとつないでいる例は多い。何とつながっていて、どこを切ると何が止まるかを把握していないと、事故の際に「止めるかどうか」の判断に時間がかかる。
チェックリスト
会員向けのページを外部のサービスとつないで運営している企業は、次の点を確かめる。
- 会員ページがつながっている外部のサービス（ログイン、決済、通知、顧客管理など）を一覧にしているか
- つなぎ先ごとに、そのサービスから会員のどの情報が見られるかを把握しているか
- 対応履歴や問い合わせの記録に、事故の内容、病気、口座など、本来の目的より重い情報が書き込まれていないか
- 不審なアクセスを検知したとき、どのつなぎ先を誰の判断で止めるかを決めているか
- Web手続きを止めたときに、電話やメールで受ける窓口と、会員への案内文を用意しているか
- 事故の連絡を装った詐欺に備え、自社から何をどの経路で連絡するかを会員に知らせているか
打ち手
まず、つなぎ先の一覧を作る。会員ページの裏にある外部のサービスを書き出し、それぞれについて、扱う情報、管理する担当者、契約先、停止の方法を1枚にまとめる。制作会社に作ってもらったサイトなら、制作会社に一覧を出してもらう。
次に、止める手順を先に決めておく。つなぎ先のどれかが経路になった場合に、どこまで止めるか、止めている間はどの窓口で受けるかを決める。判断する人と代わりの人も決める。事前に決めておけば、検知から遮断までの時間を短くできる。
最後に、記録に残す情報を減らす。問い合わせや対応の記録は、担当者が書きやすい分、重い情報がたまりやすい。口座番号や病名を自由記入の欄に書かない決まりを作り、古い記録は期限を決めて消す。
件数よりも、何とつながり、どこまで止まるかで被害の重さは変わる。
あわせて読みたい
- ツイキャスに不正アクセス、検知から15分でサービスを全停止 — 外部に触られた個人情報は7件、モイの第2報に学ぶ「止める判断」
- ソニー生命の契約者向けサイトに不正アクセス、代理店として扱ったメディケア生命の契約約38.5万件が漏えい — 他社の顧客情報を預かる代理店・販売店が確かめること
- アエナのECアプリで会員マイページが機械的に連続閲覧、最大81万7,215人の住所・電話番号・カード下4桁が対象 — パスワードが漏れなくても起きる会員アプリの点検点
Omamori AI の結論
- 事実: 東京海上ダイレクトの「マイページ」などに不正アクセスがあり、74件の契約者情報などが漏えいした。対応履歴の傷病や口座の情報も含まれる可能性がある。経路のサービスとの接続を止め、自動車保険のWeb手続きをすべて一時停止した。
- 判断軸: 会員ページが何とつながり、どこを止めると何が止まるかを把握しているかを問う。
- 打ち手: つなぎ先の一覧と停止の手順を作り、止めている間の窓口を決める。対応記録に重い情報を書かない決まりを作る。
経営者視点で考えるべきこと
会員ページを外部のサービスと組み合わせると、早く安く作れる。その代わり、どこか一つが破られたときに、自社の判断で止められる範囲と、止めたときの影響を事前に知っておく必要がある。経営者が確かめるべきことは3つある。自社の会員ページが、いくつの外部のサービスとつながっているか。不審なアクセスを見つけたとき、誰が何分で止める判断をするか。Web手続きが数日止まったとき、売上と顧客対応にどれだけの影響が出るかである。止める手順を決めておくことは、事故の後の説明でも、自社を守る材料になる。
