事案の概要データ
| 公表日 | 2026年11月6日（ソニーフィナンシャルグループおよびソニー少額短期保険） |
|---|---|
| 不正アクセスの期間 | 2026年10月20日〜21日 |
| 対象 | 契約管理システムの開発・テスト環境 |
| 原因 | Webシステムに存在した脆弱性の悪用（脆弱性の種類・手口・システム構成は二次被害防止のため非公表） |
| 件数 | 108件 |
| 対象者 | ソニー少額短期保険の従業員、業務委託先・再委託先の従業員。退職者を含む |
| 漏えいした情報 | 氏名、性別、生年月日、メールアドレス、郵便番号、住所、電話番号 |
| 対象外の情報 | クレジットカード情報、口座情報、マイナンバー |
| 顧客情報 | 本番環境への攻撃は成立せず、顧客の個人情報が取得された事実は確認されていない |
| 顧客向けサービス | 申し込み、マイページ等は通常どおり利用可能 |
| 初動・報告 | 対象環境の外部アクセスを遮断。2026年10月21日に関東財務局へ届出（個人情報保護委員会への報告を兼ねる） |
| 退職者への通知 | 個別連絡が難しい人については、公式発表を通知に代える |
図解：この事故の構造
何が起きたのか
ソニーフィナンシャルグループ株式会社は2026年11月6日、子会社のソニー少額短期保険株式会社が利用する契約管理システムの開発・テスト環境に不正アクセスがあり、従業員や委託先・再委託先の従業員などの個人情報108件が外部に取得されたと公表しました。
攻撃は2026年10月20日から21日にかけて発生し、Webシステムに存在した脆弱性が悪用されたと説明されています。
漏えいしたのは、テストデータとして保持されていた氏名、性別、生年月日、メールアドレス、郵便番号、住所、電話番号です。クレジットカード情報、口座情報、マイナンバーは含まれません。
本番環境への攻撃は成立しておらず、顧客の個人情報が取得された事実は確認されていません。 保険の申し込みやマイページなど、顧客向けサービスは通常どおり利用できるとしています。
テストデータに、実在の人の情報が入っていた
108件という数字は、本サイトが扱う事案のなかで最も小さい部類です。それでも取り上げる理由が、ここにあります。
テスト環境に保存されていたのは、当時のテスト入力者が入力した「実在する従業員等の個人情報」でした。
開発の現場では、動作確認のためにデータを入れます。そのとき、架空の名前を考えるより、自分や同僚の名前を入れるほうが早いのです。
「山田太郎」「テスト 太郎」と入れればよいところを、自分の氏名・住所・電話番号をそのまま入力する。 住所の入力チェックや郵便番号の自動入力が正しく動くか確かめるには、実在する住所のほうが都合がよいという事情もあります。
そして、そのデータは消されずに残ります。 テストが終わっても、誰も消す担当になっていないからです。
本サイトでは同じ11月に、同じ構造の事案を2件扱いました。チームスピリット（ソフトウェア開発用サーバーに不正ログインされ、保管されていた認証情報でクラウド環境からデータを取得）、セレス「ポイントインカム」（開発環境に置かれていた会員情報のバックアップ約1万1,100人分）。
開発・テスト環境は、本番環境より守りが緩い。 「社内だけだから」「お客様のデータは入っていないから」という前提で運用されます。本件は、その前提が崩れた例です。
中小企業がシステムを外注するときに聞くこと
自社でシステムを開発していない中小企業にとって、これは外注先の話になります。だからこそ、聞いておく価値があります。
制作会社・開発会社に、次の3つをそのまま聞いてください。
1. 「テスト環境に、実際のお客様のデータや、当社の従業員のデータを入れていませんか」
2. 「テスト環境は、インターネットから見られる状態になっていますか」
3. 「開発が終わったあと、テスト環境とテストデータはどうなりますか」
3が最も大切です。開発が終わっても、テスト環境がそのまま動き続けていることが珍しくありません。誰も使わず、誰も更新せず、誰も見ていない状態で、インターネットにつながったまま残ります。
本サイトでは11月に、消防庁の安否情報システム（平時はほとんど使われないシステムで不正アクセス）も扱いました。使われていないシステムは、攻撃者にとって最も入りやすい場所です。
そして、自社でも同じことが起きていないか確認してください。
・「テスト用」と名前をつけたファイルやフォルダに、本物の顧客データが入っていませんか。
・研修やマニュアル作成のために作った「サンプルデータ」が、実在の顧客の情報ではありませんか。
・展示会やデモのために用意した画面に、本物の名前が出ていませんか。
テスト用のつもりで入れた本物の情報は、本物として漏れます。
なお、同社は10月21日に関東財務局へ届出し、これが個人情報保護委員会への報告を兼ねると説明しています。金融業など監督官庁がある業種では、報告先が2つになることがある点も覚えておいてください。
時系列で見る経過
- 2026年10月20日〜21日契約管理システムの開発・テスト環境に外部から不正アクセス。Webシステムの脆弱性が悪用される
- 2026年10月21日対象環境の外部アクセスを遮断。関東財務局へ届出（個人情報保護委員会への報告を兼ねる）
- 2026年11月6日ソニーフィナンシャルグループおよびソニー少額短期保険が公表。108件の流出。本番環境への攻撃は成立せず
中小企業が学ぶべきポイント
- テスト環境に保存されていたのは、テスト入力者が入力した実在の従業員等の個人情報だった。
- 架空の名前を考えるより自分や同僚の名前を入れるほうが早いため、実データが入りやすい。
- テストが終わってもデータは消されない。消す担当が決まっていないから。
- 開発・テスト環境は本番より守りが緩い。「社内だけ」「お客様のデータはない」という前提で運用される。
- 外注先に「テスト環境に実際のデータを入れていませんか」と聞く。
- 「テスト環境はインターネットから見られますか」「開発後はどうなりますか」も聞く。
- 開発が終わってもテスト環境が動き続けていることが珍しくない。使われていないシステムは入りやすい。
- 自社の「テスト用」ファイル、研修用のサンプルデータ、デモ画面に本物の情報が入っていないか確認する。
- 金融業など監督官庁がある業種では、報告先が2つになることがある（本件は関東財務局への届出が委員会報告を兼ねる）。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。