ソニー生命のシステムに不正アクセス、代理店として扱ったメディケア生命の契約 約38.5万件が漏えい

事案の概要データ

図解：この事故の構造

何が起きたのか

ソニー生命保険は2026年10月28日、契約者専用サイト「お客さまWEBサービス」などのシステムが第三者による不正アクセスを受け、お客さま情報が漏えいしたと公表しました。

不正アクセスが判明したのは前日の10月27日です。被害拡大の防止を目的として、対象システムへの外部からのアクセスを遮断し、関係するサービスを停止しています。

漏えいが確認されたのは約38.5万件。詳細な原因は調査中とされています。

漏れたのは「代理店として扱った他社の契約」

この事案の特徴は、漏えいした情報の性質にあります。

漏えいが確認されたのは、ソニー生命が保険代理店として取り扱った、メディケア生命保険の保険契約に関する契約者および被保険者の情報です。

生命保険会社は、自社の商品だけでなく、他社の商品を代理店として販売することがあります。今回漏れたのは、その販売記録にあたるデータです。

項目は、氏名、生年月日、性別、住所、電話番号、証券番号、そしてご契約内容です。マイナンバー、クレジットカード情報、保険料振替口座情報は含まれていません。

「ご契約内容」が含まれている点が重いです。どの保険に、いくらで、いつから入っているか。これは本人の健康状態や家族構成、経済状況を推測させる情報です。

住所や電話番号は変更できますが、保険の契約内容は、その人の人生の情報です。漏えいしても取り戻せません。

判明の翌日に公表した

時系列はシンプルです。10月27日（火）に不正アクセスが判明し、10月28日（水）に公表しました。1日です。

この速さは評価できます。多くの事案では、件数の確定や原因の特定を待って、公表までに1〜2週間かかります。その間、利用者は何も知らされません。

ソニー生命は、原因が調査中の段階で「不正アクセスがあり、約38.5万件が漏えいした」と先に出しました。そして「確認状況等につきましては、あらためてお知らせいたします」と続報を約束しています。

分かったことから出すというやり方です。利用者は、早く知れば早く備えられます。自分を装った不審な電話やメールに警戒できます。

同時に、お客さまWEBサービスやソニー生命アプリなど、関係するサービスを止めています。顧客に不便をかけてでも、侵入経路を断つ判断です。

「事業を止める」判断を事前に決めておく

この事案で中小企業が持ち帰るべきなのは、止める判断です。

不正アクセスが判明したとき、システムを止めるかどうかで必ず迷います。止めれば業務が回らず、顧客にも迷惑がかかり、売上も落ちます。

しかし、動かし続ければ、その間もデータが流出し続けるかもしれません。

この判断を、事故が起きてから考えてはいけません。平時に決めておくことが必要です。

決めておくべきは3つです。1. 誰が止める判断をするか。 社長か、情報システム担当か。担当者が不在のときは誰か。

2. どういう状態になったら止めるか。 「不正アクセスの痕跡が見つかったら」「外部から指摘を受けたら」など、具体的に書きます。

3. 止めたとき、業務をどう回すか。 受注を電話とFAXで受ける、手書き伝票を使う。紙の手順書を作って、どこに置くかまで決めてください。

この3つを決めた紙が1枚あれば、判断に迷う時間が数時間は短くなります。その数時間が、流出件数を左右します。

対象になりうる人がやること

ソニー生命を通じてメディケア生命の保険に加入している方は、次の点に注意してください。

ソニー生命を装った連絡に応じない。 氏名、生年月日、住所、電話番号、証券番号、契約内容がそろって漏れています。この組み合わせがあれば、「ご契約内容の確認です」という電話は、本物にしか聞こえません。

同社は、メールや電話でパスワード、暗証番号、ワンタイムパスワード等を尋ねることはないと明記しています。

連絡が来るのを待つ。 対象者には順次連絡するとされています。自分から不審なサイトやリンクを経由して確認しようとしないでください。

不審な連絡を受けたら、公式の窓口に自分でかけ直す。 かかってきた電話の番号ではなく、保険証券や公式サイトに載っている番号を使ってください。

時系列で見る経過

• 2026年10月27日（火）当社システムに対して第三者から不正にアクセスされたことが判明
• 2026年10月対象システムへの外部からのアクセスを遮断。お客さまWEBサービス・ソニー生命アプリ等を一時停止
• 2026年10月28日（水）約38.5万件の漏えいを公表。金融庁へ報告済み
• 2026年10月28日時点お客さま情報が不正使用された事実は確認されていない
• （継続）原因および影響範囲の特定を進め、確認状況をあらためて知らせるとしている

中小企業が学ぶべきポイント

1. 保険の契約内容は、本人の健康状態・家族構成・経済状況を推測させる。住所と違って取り戻せない。
2. 代理店として扱った他社商品の販売記録も、自社が守るべき個人情報になる。
3. 原因が調査中でも、分かったことから公表する。利用者は早く知れば早く備えられる。
4. システムを止める判断は平時に決めておく。誰が、どういう状態で止め、業務をどう回すか。
5. 本件は判明の翌日に公表し、関係サービスを停止している。
6. 氏名・生年月日・住所・電話番号・証券番号・契約内容がそろうと、なりすまし電話が本物にしか聞こえなくなる。

出典・参考

• 【重要】当社システムに対する不正アクセスの発生および情報漏えいに関するお詫び - ソニー生命保険
• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope