生命保険契約照会システム、延べ3万7,929件の個人情報が閲覧可能な状態に　設定不備は約5年間

生命保険協会は2026年9月14日、生命保険契約照会システムで個人情報が外部から閲覧可能な状態となっていた事案の調査結果を公表した。対象は延べ3万7,929件、重複を除くと2万7,407件。運用開始から約5年間続いた権限設定の不備と、アクセスログの調査結果、再発防止策を整理する。

生命保険協会は2026年9月14日、「生命保険契約照会システム」で、外部から特定の操作を行うことにより利用者の個人情報を閲覧できる状態となっていた事案について、調査結果と再発防止策を公表した。

対象となる個人情報は延べ3万7,929件、重複を除いた対象は2万7,407件だった。

対象となったのは、2021年7月1日から2026年7月27日までの間に、WEB申請、書面申請または電話申請により、同システムにアカウント登録された利用者だ。一般の生命保険契約者全体を対象とした事案ではない。

原因はゲストユーザーへの権限設定

生命保険協会によると、原因は、システムにログインしていない「ゲストユーザー」に、他の利用者の個人情報を参照できる権限が誤って付与されていたことだった。

この設定不備は、システムの運用を開始した2021年7月1日から、一時利用停止となった2026年7月27日まで継続していた。

生命保険協会は、運用開始時の確認・検証と、その後の定期的な点検が十分ではなかったとの認識を示している。

また、本件は生命保険協会内部の点検によって発見されたものではなく、7月29日の第一報によれば、外部のセキュリティ専門機関からの指摘によって判明した。

閲覧可能な状態となっていた情報は、氏名、生年月日、住所、電話番号、メールアドレス、システム上の内部管理用IDだった。

一方、戸籍謄本や死亡診断書などの提出書類と、生命保険契約の有無に関する情報は外部から閲覧可能な状態にはなっていなかった。

生命保険契約の内容や保険金額、クレジットカード情報、口座情報などについては、同システムでは取得・保有していないとしている。

外部からのアクセスは確認　ただし実際の情報取得は特定できず

今回の事案では、「閲覧可能な状態だった」ことと、「対象となった個人情報が実際に第三者に取得された」ことを分けて考える必要がある。

生命保険協会は、保存されていた直近1年分のアクセスログを検証した結果、外部からのアクセスがあったことを確認した。

一方で、そのアクセスによって個人情報が実際に取得されたと特定するまでには至っていない。

また、2026年9月14日の公表時点で、本件に起因すると考えられる被害申告や、対象となる個人情報の不正利用も確認されていない。

ここで注意したいのが、検証できたアクセスログの期間だ。

権限設定の不備は2021年7月から約5年間続いていた一方、今回検証されたアクセスログは保存されていた直近1年分である。このため、設定不備が存在した約5年間の全期間について、個人情報取得の有無を確認できたわけではない。

したがって、「2万7千人超の個人情報が流出した」と断定するのは正確ではない。

現時点では、延べ3万7,929件、重複を除く2万7,407件の個人情報が外部から閲覧可能な状態にあり、直近1年分のログでは外部アクセスが確認されたものの、実際に個人情報が取得されたとは特定されていない、と整理するのが適切だ。

対象者には8月20日から通知

生命保険協会は、対象となった全ての利用者に対し、2026年8月20日から本件のお知らせとお詫びの文書を発送している。

再発防止策は3項目

生命保険協会は今回の原因を踏まえ、再発防止策として、システム設定に関する確認の強化、システムリスク管理の強化、システム運営に関する確認・検証態勢の強化に取り組むとしている。

今回公表された資料では、この3項目が示されている一方、点検頻度や具体的な検証方法などの詳細までは記載されていない。

WEB申請は9月15日午前9時に再開

生命保険協会はシステム改修と安全性の検証を行い、WEB申請の再開に必要な安全性が確保されたとして、2026年9月15日に受付を再開した。

現在の生命保険協会の案内ページでは、9月15日午前9時にシステムを再開したとしている。なお、WEB申請の停止期間中も、書面申請と災害時の電話申請は利用可能だった。

生命保険契約照会制度は、ご親族等が死亡した場合や認知判断能力が低下した場合に、その人が保険契約者または被保険者となっている生命保険契約の有無を、生命保険協会の会員生命保険会社に確認する制度だ。

問われるのは「権限を設定したか」ではなく「継続的に検証できているか」

今回の事案で注目すべきなのは、単に一つの権限設定を誤ったという点だけではない。

設定不備がシステムの運用開始から約5年間継続し、生命保険協会自身も、運用開始時の確認・検証とその後の定期的な点検が十分ではなかったと認めている点にある。

保険会社や保険代理店の実務に引き直せば、顧客情報を扱うシステムやSaaS、クラウドサービスなどについて、アクセス権限を一度設定して終わりにするのではなく、「認証されていない利用者から参照できないか」「権限変更後も意図した制御が維持されているか」を継続的に確認する仕組みが重要になる。

今回の公表資料から直接確認できるのは生命保険契約照会システムの管理上の問題であり、特定の外部ベンダーなどの責任が示されているわけではない。その点を切り分けたうえで、権限管理、定期点検、ログ保存、異常検知などを含めたシステム管理態勢を改めて点検する契機となる事案といえる。