2026年11月6日、MS&ADインシュアランス グループの損害保険会社3社で、契約者情報などの個人情報が流出したことが公表されました。
対象となったのは、あいおいニッセイ同和損害保険、三井住友海上火災保険、三井ダイレクト損害保険です。
公表されている件数を合計すると、約71万件を超える規模になります。
流出した情報には、氏名、住所、電話番号、メールアドレス、保険証券番号、車両情報などが含まれています。
あいおいニッセイ同和損保では、一部の利用者についてクレジットカード番号の下4桁や口座情報の一部も対象となりました。
現時点で、漏えいした情報が不正利用された事実は確認されていないと各社は説明しています。
3社でどれだけの情報が流出したのか
今回公表された件数は、会社ごとに異なります。
あいおいニッセイ同和損保では、約44万4,000件の顧客情報が漏えいしました。
三井住友海上では、約3万7,000件です。
三井ダイレクト損保では、最大約23万4,000件の情報が対象となっています。
合計すると、約71万5,000件に上ります。
ただし、この数字は「71万5,000人」という意味ではありません。
各社が公表しているのは情報や登録データの件数であり、重複が含まれる可能性もあります。
そのため、記事では「約71万件の情報」と表現する方が正確です。
あいおいニッセイ同和損保では約44万4,000件
あいおいニッセイ同和損保では、11月2日夜に「ご契約者さま専用ページ」に対する不正アクセスを検知しました。
その後、お客さま情報の保護や被害拡大を防ぐため、翌3日深夜に関連サービスを停止しています。
調査の結果、約44万4,000件の情報が漏えいしたことが確認されました。
対象となる情報には、
・保険証券番号
・氏名
・住所
・電話番号
・メールアドレス
・専用ページID
などが含まれています。
また、ごく一部では、クレジットカード名義人とカード番号の下4桁、口座名義人や金融機関名、口座番号の一部も対象になりました。
ただし、クレジットカード番号の全桁やセキュリティコード、口座番号の全桁、暗証番号などは漏えいしていないとされています。
三井住友海上では約3万7,000件
三井住友海上でも、11月2日夜に「ご契約者さま専用ページ」への不正アクセスが確認されました。
同社も翌3日に関連サービスを停止し、ネットワークから切り離したうえで調査を進めています。
11月6日時点で確認された情報漏えいは約3万7,000件です。
対象となったのは、
・保険証券番号
・氏名
・住所
・電話番号
・メールアドレス
などです。
こちらについては、クレジットカード情報や口座情報は含まれていないと公表されています。
三井ダイレクト損保では最大約23万4,000件
三井ダイレクト損保では、11月4日早朝に第三者によるWebサイトへの不正アクセスを検知しました。
被害拡大を防ぐため、Webサイトやアプリでの手続きを停止し、調査を進めています。
対象となる情報は最大約23万4,000件です。
漏えいした情報には、
・契約者の氏名
・住所
・電話番号
・生年月日
・メールアドレス
・記名被保険者情報
・車両情報
・保険契約の条件や補償内容
などが含まれています。
クレジットカード情報や口座情報、マイページのログインパスワードは対象に含まれていないとされています。
「カード番号の下4桁」だけなら問題ないのか
今回、あいおいニッセイ同和損保では、一部の利用者についてクレジットカード番号の下4桁が漏えいしています。
下4桁だけでクレジットカード決済を行うことはできません。
そのため、カード番号全体やセキュリティコードが漏えいした場合と比べると、直接的な決済被害につながる可能性は低いと考えられます。
ただし、だからといって完全に意味のない情報ではありません。
氏名や住所、電話番号、保険会社名などと組み合わせることで、本人確認を装った詐欺やフィッシングに利用される可能性があります。
例えば、
「ご契約情報の確認が必要です」
「カード情報の更新をお願いします」
といった連絡が届いた場合、実際の契約情報の一部を知られていることで、受信者が信用してしまうことも考えられます。
情報漏えいでは、一つ一つの情報だけでなく、複数の情報が組み合わされたときのリスクを考える必要があります。
保険会社が狙われると影響が大きくなる理由
保険会社は、利用者に関する多くの情報を保有しています。
氏名や連絡先だけでなく、住所、契約内容、車両情報、事故情報など、サービスによって扱う情報は幅広くなります。
そのため、システムが侵害された場合、流出する情報の種類が多くなる可能性があります。
また、保険会社からの連絡は、契約更新や事故対応、保険金支払いなど、利用者にとって重要な内容が多くあります。
こうした特徴は、攻撃者がフィッシングやなりすましを行う際にも悪用される可能性があります。
企業側だけでなく、利用者側でも、情報漏えい発生後の不審な連絡には注意が必要です。
異常を検知した後、サービスを止める判断も重要
今回、あいおいニッセイ同和損保と三井住友海上では、不正アクセスを検知した後、関連サービスを停止し、ネットワークから切り離しています。
三井ダイレクト損保でも、Webサイトやアプリの手続きを停止しました。
サービス停止は利用者に不便を与えるため、企業にとって簡単な判断ではありません。
一方で、不正アクセスが継続している可能性がある状態でサービスを動かし続ければ、被害が拡大するおそれがあります。
そのため、インシデント発生時には、
・どの段階でサービスを停止するのか
・誰が判断するのか
・どのシステムを切り離すのか
・利用者への案内をどう行うのか
といった対応を事前に決めておくことが重要です。
事故が起きてから対応方法を考えるのではなく、平常時から準備しておく必要があります。
原因が分からない段階で決めつけない
2026年11月10日時点では、各社とも外部専門機関によるフォレンジック調査などを進めています。
そのため、どの脆弱性が悪用されたのか、認証情報が盗まれたのか、どのような攻撃手法が使われたのかについて、現時点で断定することはできません。
ニュースを見ると、
「脆弱性があったのではないか」
「パスワードが漏れたのではないか」
と考えたくなるかもしれません。
しかし、公式発表で原因が明らかになっていない段階では、推測と事実を分けて考える必要があります。
CyberCrewでも、公開情報を扱う際は、確認できた事実と推測を明確に分けることを重視しています。
企業は外部公開システムを把握できているか
契約者向けのマイページや見積もりサイトなど、インターネットからアクセスできるシステムは、攻撃者からもアクセスできる場所です。
そのため、企業側では、自社がどのようなシステムを外部に公開しているかを把握しておく必要があります。
古いシステムや使われていないサブドメインなどが残っていると、管理が行き届かないまま攻撃対象になることもあります。
Webサイトだけでなく、
・契約者向けマイページ
・管理画面
・API
・クラウドサービス
・VPN
・リモートアクセス環境
なども含めて確認することが重要です。
脆弱性診断やペネトレーションテストで確認できること
CyberCrewでは、Webサイトや業務システムにセキュリティ上の弱点がないかを確認する脆弱性診断を提供しています。
また、実際の攻撃者に近い視点で、システムへどこまで侵入できるのかを確認するペネトレーションテストも実施しています。
脆弱性診断では、個々のシステムに存在する問題を確認します。
ペネトレーションテストでは、一つの問題を起点として他のシステムや重要な情報まで到達できないかなど、より実際の攻撃に近い形で検証します。
今回の事案について、これらのテストを実施していれば必ず防げたと断定することはできません。
一方で、インターネット上に公開されているシステムの弱点を事前に把握し、攻撃経路を減らしておくことは、企業の基本的なセキュリティ対策の一つです。
情報漏えい後の監視も考えておく
一度外部に持ち出された情報が、その後どこで利用されるのかを完全に把握することは難しくなります。
メールアドレスや認証情報などが、後になってダークウェブなどで公開・売買されるケースもあります。
CyberCrewでは、企業のドメインやメールアドレスなどに関連する流出情報を検知・監視するサービス「ALIENGATE（エイリアンゲート）」を提供しています。
流出した認証情報などが確認された場合、対象アカウントの調査やパスワード変更といった対応につなげることができます。
ただし、すべての情報漏えいを検知できるわけではありません。
侵入されないための対策、異常を早く発見するための監視、流出後の情報を確認する仕組みは、それぞれ役割が異なります。
複数の対策を組み合わせることが重要です。
対象となる利用者は不審な連絡に注意
3社はいずれも、現時点で情報が不正使用された事実は確認されていないとしています。
ただし、情報漏えいが発生した後は、企業を装った不審なメールやSMS、電話などに注意が必要です。
特に、
「保険契約の確認」
「個人情報漏えいに伴う本人確認」
「クレジットカード情報の再登録」
などを理由に、リンク先でパスワードやカード情報を入力させる手口には注意してください。
不審な連絡を受けた場合は、そのメッセージに記載されたURLからアクセスするのではなく、各保険会社の公式サイトや公式アプリから案内を確認する方が安全です。
まとめ
MS&ADインシュアランス グループの3社では、不正アクセスによって合計約71万件を超える顧客情報が流出しました。
あいおいニッセイ同和損保では約44万4,000件、三井住友海上では約3万7,000件、三井ダイレクト損保では最大約23万4,000件です。
流出した情報は会社によって異なり、氏名や住所、電話番号、メールアドレス、保険契約情報などが含まれています。
今回のような大規模な情報漏えいでは、被害件数だけでなく、どの情報が漏れたのか、どのシステムが攻撃されたのか、どのような二次被害につながる可能性があるのかを見ることが重要です。
企業側では、インターネットに公開しているシステムを把握し、定期的な安全性確認と、異常を検知した際の対応体制を整えておく必要があります。
※本記事は2026年11月10日時点の各社公式発表および報道などの公開情報をもとに、株式会社CyberCrewが独自に整理・解説したものです。現在も調査が継続しているため、件数や影響範囲などが更新される可能性があります。
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
