保険業界で相次ぐ不正アクセス　ライフネット生命・第一生命・Tokio Marine Xの事例から見る情報管理と業務継続の課題

2026年10月、保険業界で不正アクセスに関する公表が相次いだ。ライフネット生命ではKDDIとの連携システムを通じた顧客情報の漏えいの可能性が判明。第一ライフグループと第一生命では従業員・退職者約12.4万人の情報が対象となり、Tokio Marine X少額短期保険では一部サービスの停止に至った。3つの事案は影響を受けた情報やシステムの役割が異なる。各社の公表内容を整理し、保険会社や代理店が確認しておきたい情報管理と業務継続の論点を考える。

10月に続いた3つの公表　影響を受けたシステムはそれぞれ異なる

保険業務のデジタル化が進むなか、保険会社のシステムは契約管理や保険金請求だけでなく、外部企業とのサービス連携、人事管理、顧客向けの各種手続きなど、幅広い業務を支えている。

10月に公表された3つの事案では、こうした異なる用途のシステムが対象となった。

※各社の公表資料に基づく。第一ライフグループと第一生命の事案は9月24日に検知され、10月2日に最初の公表が行われた。Tokio Marine Xについては、公表時点で個人情報の漏えいは確認されていない。各事案の侵入経路や原因が共通していることを示す情報は確認できていない。

ライフネット生命：連携システムの脆弱性を通じてKDDIの顧客情報にアクセスされた可能性

ライフネット生命とKDDIは10月30日、両社が連携するシステムへの不正アクセスにより、KDDIが保有する顧客情報の一部が外部に漏えいした可能性があると発表した。

両社によると、ライフネット生命が不正アクセスを検知したのは10月23日。同日中にKDDIへ報告し、侵入が疑われる箇所に対して技術的な防御措置を実施した。KDDIは翌24日、ライフネット生命側のシステムからKDDI側のシステムへのアクセス経路を遮断した。

調査では、ライフネット生命の連携システムの一部機能に存在する脆弱性を通じて、第三者がKDDI側の顧客情報を取得した可能性が判明した。

漏えいした可能性がある情報は、氏名、郵便番号、電話番号、メールアドレス、会員識別子などで、情報の組み合わせごとに区分された合計は2万2,541件。一部には性別や生年月日も含まれる。

一方、パスワード、クレジットカード情報、口座情報、運転免許証などの本人確認情報は対象に含まれていない。また、ライフネット生命が保有する保険契約情報も漏えい対象ではないとしている。

両社は、不正アクセスの影響が両システムの連携範囲に限定されており、KDDIの通信・サービス設備やライフネット生命の他のシステムには影響がないと説明した。

ライフネット生命は、この連携システムを使用する「auの生命ほけん」について、申込受付を含む一部機能をメンテナンスしている。

10月30日の公表時点では、対象情報を悪用した二次被害は確認されておらず、両社は影響範囲の調査と再発防止策の検討を続けている。

今回の事案で注目されるのは、不正アクセスを受けたシステムを運用する企業と、漏えいの可能性がある情報を保有する企業が異なるという点だ。

保険商品を通信会社などのサービスと組み合わせて提供する場合、複数の企業がシステムを連携させることがある。

その際には、それぞれの企業が管理するシステムだけでなく、連携部分で扱う情報、アクセス可能な範囲、障害発生時にどの接続を遮断できるかも、重要な確認事項となる。

ただし、今回の公表資料だけで、両社の具体的な設計上の問題やセキュリティ管理態勢の不備を特定することはできない。

第一生命：従業員・退職者約12.4万人が対象　人事情報の保管範囲も課題に

第一ライフグループと第一生命は10月27日、従業員向け人事システムへの不正アクセスについて、外部専門機関を交えた調査結果を公表した。

両社のセキュリティ担当者が不正アクセスを検知したのは9月24日23時ごろ。検知後、対象システムを停止し、不正なアカウントの削除や通信の遮断などを行った。

10月27日の発表では、第三者に閲覧され、外部へ流出した可能性のある個人情報の対象者数を、従来の約12万人から約12.4万人に更新した。

内訳は、現役の従業員が約5.4万人、退職者が約7万人である。

対象となる情報には、カナ氏名、住所、電話番号、性別、従業員番号、入退社年月日、所属・職位、職務、在籍歴、資格情報などが含まれる。

ただし、すべての対象者について同じ情報が漏えいした可能性があるわけではない。両社によると、対象者のうち約9.6万人は住所と電話番号のみが対象となっている。

また、人事業務の委託先事業者2社の一部従業員259人についても、カナ氏名が対象情報に含まれていた。

両社は、保険契約者などの顧客情報への不正アクセスは確認されておらず、今回の事案に起因する二次被害も確認されていないとしている。

今後の対応として、アクセス管理・監視体制の強化に加え、個人情報を保有する範囲や保存期間の必要性を確認し、保存ルールを見直す方針を示した。

この事案は、保険契約者の情報だけでなく、従業員や退職者の個人情報もセキュリティ管理の対象になることを改めて示している。

特に、長期間保存された退職者情報については、業務上の保有目的や必要な保存期間を整理することが重要となる。

もっとも、退職者情報の保有自体が不適切だったと判断できるものではない。保存の必要性は、法令上の義務や人事・年金管理などの業務目的を踏まえて評価する必要がある。

Tokio Marine X：不正アクセスの可能性を受け、申込や契約者向けサービスを停止

Tokio Marine X少額短期保険は10月23日、保険契約情報を管理するシステムについて、第三者による不正アクセスの可能性を確認したと発表した。

顧客情報の安全を確保するため、関連する一部サービスを停止した。

対象として公表されたのは、カーローン返済支援保険、働くドライバー支援保険、所得減少に備える保険、ミニ医療ガン保険、みんな安心葬儀保険、熱中症保険、インフルエンザ保険の7種類。

停止したサービスには、新規申込受付のほか、契約者向けポータルを利用した登録情報の変更や保険契約確認証の閲覧などが含まれる。

一方、保険金請求の連絡や契約更新の受付は継続しており、クレジットカードによる保険料の引き落としも継続可能としている。

ただし、契約者ポータルが利用できないため、更新停止・再開の意向変更や、クレジットカード情報の変更などについては制約が生じた。

同社が引き受ける「ドコモの熱中症お見舞金保険」についても影響が及んだ。

NTTドコモ・フィナンシャルグループは10月23日、当初11月15日までを予定していた2026年度分の新規申込受付を、10月22日から前倒しで停止したと公表。ただし、既存契約の補償には影響がないと説明している。

Tokio Marine Xは10月23日の発表時点で、顧客の個人情報などの漏えいは確認されていないとしている。

この事案では、情報漏えいの有無に加えて、システム停止によって顧客が利用できなくなる手続きと、継続して利用できる手続きを区別することが重要になる。

また、保険商品の提供に複数企業が関わっている場合、引受事業者のシステム停止が、提携先での申込受付にも影響することが分かる。

なお、東京海上日動が10月21日に公表されたPHPの重大な脆弱性を受けてホームページを予防的に停止した事案とは、公表された経緯が異なる。東京海上日動は安全性を確認したうえでホームページを再開しており、両事案を同一の原因によるものと判断できる根拠は公表されていない。

3つの事案から見える、情報管理と業務継続の3つの論点

今回の3事案は、それぞれ異なるシステムで発生・検知されたものであり、同じ攻撃手法や原因によるものと判断することはできない。

また、漏えいの可能性がある情報の件数と、実際に情報流出が確認された件数は区別しなければならない。

そのうえで、保険会社や代理店が自社の管理態勢を確認する際には、次の3点が参考となる。

1．外部企業との接続部分を含めた管理

ライフネット生命とKDDIの事案では、連携システムを通じて、接続先が保有する情報にアクセスされた可能性が公表された。

自社システムの安全性だけでなく、外部サービスとの接続に利用する機能、認証・権限の設定、取得可能な情報の範囲などを把握できているかが確認事項となる。

代理店であっても、顧客管理システム、見積システム、外部の申込サービスなどを連携して利用している場合には、同様の視点が必要となる。

2．保有する個人情報の範囲と保存期間

第一生命などの事案は、人事システムに保存された現役従業員や退職者の情報が対象となった。

保険代理店では、契約者情報や見込客情報のほか、募集人の登録・届出、資格、研修履歴、退職者の情報など、さまざまな情報を管理している。

保存の根拠がある情報を必要な期間保持することは当然として、現在も保存する必要があるか、アクセスできる担当者は適切か、退職者のアカウントや権限が整理されているかを定期的に確認したい。

3．システム停止時の代替手続き

Tokio Marine Xの事案では、オンラインでの新規申込や契約者ポータルの利用に制限が生じる一方、保険金請求の連絡や契約更新の受付は継続された。

顧客向けシステムが停止した場合、保険代理店にとって重要なのは、何が利用できないかだけでなく、代わりにどのような手続きが可能かを把握することだ。

申込、契約内容の変更、更新、事故受付、保険金請求などは、それぞれ停止範囲や代替手段が異なる可能性がある。

代理店が保険会社からの障害案内を受け取る際には、対象となる商品・サービス、利用できない機能、代替窓口、顧客への案内方法を個別に確認することが実務上の備えになる。

金融庁も10月に注意喚起　サードパーティ管理とインシデント対応の点検を要請

金融庁は10月9日、金融機関等に対し、サイバーセキュリティ対策の強化に関する注意喚起を行っている。

インターネット上に公開された顧客向けサービスや業務システムへの不正アクセスが続いていることを踏まえ、サードパーティリスク管理やインシデント対応態勢を含む対策の点検を求めた。

さらに、経営陣のリーダーシップの下で、組織の規模や特性に応じた対応を行うことの重要性も示している。

金融庁が公表している「金融分野におけるサイバーセキュリティに関するガイドライン」でも、サイバー攻撃の防御・検知だけでなく、インシデント対応と復旧、サードパーティリスク管理が主要な項目として位置付けられている。

なお、10月9日の注意喚起は今回取り上げた3事案に対する個別の評価ではない。

情報漏えいへの対応だけでなく、保険業務を止めないための準備も

保険業界のサイバーセキュリティ対策というと、契約者情報の漏えい防止に目が向きやすい。

しかし、今回の公表事案では、外部企業との連携システム、人事システム、契約管理システムという異なる領域が対象となった。

情報の外部流出が確認されていなくても、安全確保のためにサービスを停止することがある。その結果、申込や変更などの手続きに影響が生じる場合もある。

保険会社や代理店に求められるのは、不正アクセスを防ぐための対策だけではない。

影響を受けた情報や業務を把握し、必要な措置を取りながら、顧客が利用できる手続きを正確に案内できるか。

情報管理と業務継続の両面から、平時の管理態勢を確認することが重要になる。

この記事の出典

• KDDI・ライフネット生命「ライフネット生命の一部システムへの不正アクセスによるKDDIお客さま情報の漏えいの可能性について」（2026年10月30日）
• 第一ライフグループ・第一生命「従業員向け人事システムへの不正アクセスに関する調査結果について」（2026年10月27日）
• Tokio Marine X少額短期保険「弊社システムにおける不正なアクセスの検知および一部サービスの一時停止について」（2026年10月23日）
• NTTドコモ・フィナンシャルグループ「ドコモの熱中症お見舞金保険の2026年度分新規申込受付の終了について」（2026年10月23日）
• 金融庁「現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について」（2026年10月9日）
• 東京海上日動「会社ホームページ再開のお知らせ」

情報確認日：2026年11月2日

※各事案の内容は、記載した公表時点の情報に基づく。調査結果、影響範囲、サービスの停止・復旧状況は、その後変更される場合がある。