不正アクセスによるアフラック情報漏えいで約440万人の個人情報が流出
情報漏えいの基本情報
アフラックの情報漏えいは契約者向けサイトなど2つのシステムが不正アクセスを受け、約440万人分の個人情報が流出した事案です。アフラックは6月30日と7月13日に、漏えいの経緯を公表しています。アフラック生命保険は7月31日に原因と再発防止策を金融庁へ報告し、同日に公表しました。
よりそうネットへの不正アクセスはいつ始まったのか
最初の不正アクセスは2026年6月10日に発生していたことが、その後の解析でわかっています。それ以降6月25日までのあいだに侵入が複数回くり返されていたとのこと。発覚のきっかけは、6月25日の午前6時30分にシステムのCPU（計算処理をおこなう装置）の負荷が高まったのを検知したことでした。
アフラック生命保険はシステムを調べて不正アクセスによる漏えいを確認し、被害拡大を防ぐため、その日のうちに関連システムを停止しています。侵入先は代理店が非対面で保険の設計や申込に使う「オンライン相談」と、契約者が契約内容を調べたり住所を変更したりする「アフラック よりそうネット」の2つです。他のシステムで同じ種類の漏えいが起きていないことは、社内と外部専門機関の解析で確認済みです。
"これまでの調査の結果、不正アクセスが最初に発生したのは2026年6月10日で、以降、2026年6月25日までに複数回、不正にアクセスされたことを確認しています。" — アフラック生命保険 FAQ「情報漏えいが発覚した経緯が知りたい」より公式情報を見る →
流出した個人情報と流出していない情報
流出したのは6月25日時点で登録されていた氏名や住所・証券番号・保障内容などで、約22万人分は保険料の振替口座まで含まれます。流出した内容は、その人の情報がどのシステムに登録されていたかによって異なるとのこと。公表された情報を、流出したものと流出していないものに分けると次のとおりです。
| 対象 | 内容 |
|---|---|
| 顧客（約440万人） | 契約者の氏名・生年月日・性別・住所・電話番号 |
| 顧客（約440万人） | 被保険者の氏名・生年月日・性別と受取人の氏名 |
| 顧客（約440万人） | 証券番号・保障内容・第二連絡先 |
| 顧客（うち約22万人） | 保険料の振替口座（金融機関・支店・口座の種類と番号・名義など） |
| 代理店（約4万店舗） | 代表者の氏名・代理店の住所と電話番号など |
| 流出していない | マイナンバー・クレジットカード情報・メールアドレス |
| 流出していない | よりそうネットのIDとパスワード |
第二連絡先とは契約者に連絡が取れないときのために指定した親族などの情報で、氏名や住所・電話番号を含みます。件数の約440万人は契約者の人数で、代理店の約4万店舗は含まれていません。
"約440万人の漏えい件数のうち、約22万人の方の口座情報も漏えいの対象でございます。／なお、マイナンバー、クレジットカード情報およびメールアドレスは含まれておりません。／よりそうネットのID・パスワードの漏えいはございません。" — アフラック生命保険 FAQ「口座情報も漏えいしたのか」「漏えいした情報は何か」「よりそうネットのID・パスワードも漏えいしたのか」より公式情報を見る →
アフラック生命保険の情報漏えい対象者は過去の契約者にも及ぶ
アフラックによると、漏えいの対象はよりそうネットの登録者に限らず、過去の契約者も該当する可能性があるとのこと。代理店の約4万店舗にも現在は業務委託をしていない代理店が含まれています。
お詫び文書は7月10日から順に該当者へ郵送されました。発送が終わったのは7月30日とのこと。届いたかどうか判断できなければ、専用ダイヤル（0120-332-856）で確認できます。
"漏えい対象者は、よりそうネットに登録されていた方に限りません。現在ご契約中のお客様、および過去にご契約いただいていた場合でも漏えいしたお客様に該当する可能性がございます。" — アフラック生命保険 FAQ「漏えいしたのは、よりそうネット登録対象者のみか」より公式情報を見る →
アフラック生命保険で顧客情報が漏えいした原因と再発防止策
アフラックが説明した3つの原因
原因は不正アクセスを通常の利用と見分けられなかったことと、大量のデータ照会を遮断する仕組みが不十分だったことにあります。アフラック生命保険は7月31日の発表でこの2点を原因と説明し、事前の検査で手口を想定できていなかったことも認めています。
短時間の大量照会による情報漏えいを検知できなかった原因
よりそうネットなど2つのシステムには不正アクセスを検知・遮断する機能がありましたが、今回のアクセスは通常の利用と同じ形式だったため直ちに検知できませんでした。短時間に大量のデータが照会されたとき、監視・制御する機能も不足していたとのこと。アフラック生命保険は、設計段階のセキュリティレビューと公開前の侵入テスト（侵入を試みる側の立場で実際に攻撃をしかけ、弱点を探す検査）も実施していました。
ただし今回の攻撃で使われた手口はどちらの検査でも想定外でした。侵入者が誰なのかや、どのような方法で照会したのかについては、アフラック生命保険は明らかにしていません。
"当該システムでは、不正アクセスを検知・遮断する機能を備えていましたが、今回のアクセスの形式が通常の利用時と同様であったことから、不正アクセスとして直ちに検知することができませんでした。／さらに、当社では、システム設計時のセキュリティレビューやシステムリリース前の侵入テストを実施していましたが、今回の攻撃で使われた手口に関するリスクを想定できていませんでした。" — アフラック生命保険 FAQ「情報漏えいの原因は何か」より公式情報を見る →
再発防止策として何を定めたのか
再発防止策は原因になった弱点をふさぐ4つの対策です。7月31日の発表に盛り込まれた中身は次のとおりです。
| 対策 | 内容 |
|---|---|
| アクセスと照会の制御 | アクセス時の認証とデータ照会時の認可（権限の確認）を強化する |
| 大量アクセスの監視 | アプリとセキュリティ対策機器で大量アクセスを監視・制御する |
| レビューと侵入テスト | リスクを多層的に分析してセキュリティ要件を最新にする |
| 管理態勢 | 人員増強・基準の再整備・公開後の監視体制の強化など |
認証はアクセスしてきた人が本人かどうかを確認する仕組みで、認可はその人がどのデータを見てよいかを判定する仕組みです。なお責任の所在を明確にするため役員も報酬の一部を自主返納しており、返納額は次のとおりです。
- 会長と社長: 月額報酬の30%を1カ月分
- 取締役専務執行役員と常務執行役員: 月額報酬の20%を1カ月分
"システムへのアクセス時における認証およびデータ照会時の認可を強化します" — アフラック生命保険「当社システムに対する不正アクセスの発生および情報漏えいに関する調査結果と再発防止策について」5. 再発防止策より公式情報を見る →
漏えいした口座情報は金融機関へ提供、契約者サイトも再開
10月1日時点の状況
10月1日時点では流出した口座情報を金融機関へ提供する対応が始まっており、停止していたよりそうネットも再開しています。金融機関への提供の対象になるのは口座情報が流出した約22万人分です。
口座情報はなぜ金融機関へ提供されたのか
アフラックは顧客の財産を守る目的で、漏えいした口座情報を口座のある金融機関へ提供し始めました。アフラック生命保険が金融機関へ提供するのは、支店名・預金種類・口座番号・口座名義の4つの情報です。ゆうちょ銀行の口座では、記号・番号・口座名義になります。
金融機関はもともとこれらの情報を持っており、受け取るのは対象の口座を特定するためです。受け取った金融機関では不正な取引の監視強化などを実施、または検討しているとのこと。提供の対象は漏えいが確認された口座に限られ、対応は金融機関ごとに異なります。
提供の根拠は個人情報保護法第27条第1項第2号で、目的は顧客の財産を守ることに限られます。アフラック生命保険は事前に個人情報保護委員会へ照会し、適法だと確認しています。提供された情報がこの目的以外に使われることはないとのこと。
"今回の金融機関への情報提供は、個人情報保護法第27条第1項第2号に基づき、お客様の財産保護を目的として行うもので、提供された情報が本目的以外に用いられることはありません。／提供項目：支店名、預金種類、口座番号、口座名義" — アフラック生命保険「金融機関への口座情報の提供について」より公式情報を見る →
よりそうネット再開後もコールセンターで受ける請求と契約変更
よりそうネットは9月28日に一部を除いて再開しましたが、請求と契約変更の2つは、今もコールセンターなどで受け付けています。再発防止策を実施し、安全性を検証したうえで再開しており、初回登録の方法も変わったとのこと。ただし、以前のログインIDとパスワードは、再開後もそのまま使うことができます。
9月28日現在でまだ利用できないのは、給付請求と契約変更にかかわる次の2つで、契約内容の閲覧など他の機能は利用できます。
- 支援金・祝金・長期給付無事故支払金の請求
- 受取人・指定代理請求人の登録や変更
この2つの窓口はコールセンター（0120-5555-95）などです。代理店が非対面の保険設計や申込に使うもう1つの侵入先「オンライン相談」について、アフラック生命保険は再開時期をまだ公表していません。
"よりそうネットの以下のお手続きは、現在ご利用いただけません（2026年9月28日現在）。／なお、これらのお手続き・お問い合わせは、コールセンター（0120-5555-95）等で通常どおり受け付けております。" — アフラック生命保険「よりそうネット」お詫びとお知らせより公式情報を見る →
情報漏えいの対象者が今できる対応と電話での問い合わせ先
本件の問い合わせ先
対象者がいま取れる行動は不審な電話やSMSに暗証番号を伝えないことと、気になることを専用ダイヤルへ問い合わせることの2つです。10月1日時点で不正利用は確認されていないものの、流出した情報を悪用した詐欺には注意が必要です。アフラック生命保険も契約者向けの注意点を公式FAQにまとめています。
漏えいに便乗した詐欺の電話やSMSには暗証番号を伝えない
アフラックや金融機関を装う電話やSMSが来ても、暗証番号を伝えたり送金の指示に従ったりしないことが基本です。アフラック生命保険によると、流出した情報だけで預金がすぐに引き出されるわけではなく、警戒すべきは流出した情報で信用させて暗証番号などを聞き出す詐欺だとのこと。公式FAQで説明されている注意点のうち、契約者が実行できるものは次のとおりです。
- 「口座を守るため」などと不安をあおられたら、指示に従わずに電話を切る
- SMS（携帯電話番号あてに届くショートメッセージ）のURLは開かず、公式アプリや公式サイトから操作する
- 暗証番号やワンタイムパスワードを誰にも伝えない
- ATMの操作や送金の指示に従わない
- 通帳やネットバンキングの明細で入出金を定期的に確認する
家族が被保険者や受取人として契約に関わっているなら、同じ注意点を家族にも伝えましょう。とくに、契約内容・証券番号・口座情報を聞き出そうとする連絡には注意が必要とのこと。暗証番号やパスワードが氏名・生年月日・電話番号などから推測しやすい場合は、流出した情報から当てられる恐れがあるため、見直しましょう。
"今回漏えいした情報のみで、直ちに預金が引き出されるものではございません。／暗証番号、ID／パスワード、ワンタイムパスワード、SMSで届く認証情報等について、第三者に決してお伝えにならないようお願いいたします。" — アフラック生命保険「個人情報漏えいに伴うご注意のお願い」より公式情報を見る →
コールセンター専用ダイヤルの受付時間とお詫び文書
本件の問い合わせ先はコールセンター専用ダイヤルの0120-332-856で、受付は月曜から金曜の9時から18時と土曜の9時から17時で、年末年始と祝日は休みです。不審な電話やSMSを受けたときや身に覚えのない取引があったとき、保険料の振替口座を変更したいときも、この専用ダイヤルへ連絡できます。
該当者に届くお詫び文書に書かれているのは、お詫びと流出した個人情報の内容・不審な取引への注意・問い合わせ先です。金銭的な補償と保険契約の解約については、10月1日時点で公表されていません。
不審な電話やSMSに暗証番号を伝えず、気になることを専用ダイヤルへ問い合わせることが、アフラック情報漏えいの対象者がいま取れる対応の基本です。よりそうネットのパスワードは流出しておらず、変更は必須ではないとのこと。推測されにくいパスワードに変更するなら、文字数や文字種を選んでランダムに作れるSOKUFUのパスワード生成ツールをお試しください。
"コールセンター専用ダイヤル：0120-332-856／月曜～金曜日9：00～18：00／土曜日9：00～17：00（年末年始・祝日を除く）" — アフラック生命保険「よりそうネット」お詫びとお知らせより公式情報を見る →
FAQ
- アフラックの情報漏えいで補償はありますか？
- 10月1日時点で、金銭的な補償は公表されていません。公表されている対応は、該当者へのお詫び文書の送付と専用ダイヤルでの問い合わせ受付です。お詫び文書の発送は7月30日に完了しています。
- 情報漏えいの対象者に含まれるかどうかは、どう確認できますか？
- コールセンター専用ダイヤル（0120-332-856）へ問い合わせれば、確認できます。該当者にはお詫び文書が7月30日までに発送されていますが、届いたかどうか判断できない場合も同じ窓口で受け付けています。
- よりそうネットは解約したほうがよいですか？
- よりそうネットのIDとパスワードやメールアドレスは流出しておらず、アフラック生命保険はそのまま使っても問題ないとしています。使うのをやめたい場合のIDの削除はコールセンターで受け付けています。保険契約そのものの解約については、公表されていません。
関連する記事
ニトリに不正アクセス、会員・購入者の情報が最大3,762万件が流出の可能性ニトリホールディングスは2026年11月9日、自社システムへの不正アクセスを発表しました。会員や購入者の氏名・住所・電話番号などを含む情報が、最大3,762万件流出した可能性があるとのこと。ログインパスワードとクレジットカード情報は含まれません。ニトリや配送事業者を装うメールやSMSのリンクにはアクセスせず、公式サイトで本物か確認しましょう。
ドトールの通販サイトに不正アクセス、会員2万4,762件が流出した可能性ドトールコーヒーの公式通販サイト「ドトール オンラインショップ」が不正アクセスを受け、会員2万4,762件の氏名や住所、電話番号、メールアドレスが流出した可能性があると発表しました。ログインパスワードとクレジットカード情報は流出していません。10月には従業員ら951名分の流出も公表しています。ドトールを装うメールやSMSのリンクにはアクセスしないでください。
イープラスのフェス専用アプリに総当たり攻撃、3,571件が漏えいイープラスは2026年10月30日、音楽フェス「ポルノ超特急2021」専用アプリで前方指定観覧エリアの申込み情報を管理するシステムが総当たり攻撃を受け、申込者3,571件の氏名・電話番号・メールアドレスが漏えいしたと公表しました。カード情報とパスワードは含まれず、9月のスマチケに続く2度目の漏えいです。
東京海上ダイレクトのマイページに不正アクセス、契約71件の情報が漏えい東京海上ダイレクト損害保険は、マイページとアプリへの不正アクセスで、契約71件分、関係者を含めて93人の情報が漏えいしたと発表しました。氏名や住所のほか、カード番号の下4桁と有効期限、事故内容も含まれます。&eとドコモの自動車保険はWebサイトでの受付を停止しています。契約者はカードの明細を確かめ、保険会社を装う連絡のリンクにはアクセスしないでください。