東京海上ダイレクトのマイページに不正アクセス、契約71件の情報が漏えい

契約71件分、関係者を含め93人の情報が漏えい

東京海上ダイレクト損害保険は、総合自動車保険「&e」とドコモの自動車保険を提供する損害保険会社です。東京海上ダイレクトは11月5日、契約者向けのマイページなどが第三者の不正アクセスを受け、契約者の個人情報が漏えいしたと公表しました。対象は11月9日時点で、契約71件分、関係者を含めて93人にのぼります。

漏えいした内容は、契約者によって異なります。そのため東京海上ダイレクトは、何が漏えいしたかを対象者に個別に連絡しています。

漏えいした情報（東京海上ダイレクトの11月9日時点の公表より）

分類	漏えいした情報	含まれない情報
契約者情報	氏名、住所、電話番号、生年月日、メールアドレス、免許証の色	免許証番号など、色以外の免許証情報
車両情報	車名、登録番号、所有者など	—
保険契約の内容	補償内容、保険金額、保険等級、年齢条件など	—
クレジットカード	カード会社名、カード番号の下4桁、有効期限	名義人、セキュリティコード
事故情報	事故日時、場所、内容、保険金支払額、事故相手方の氏名など	傷病に関する情報、口座情報
アプリ情報	契約期間中に取得した運転記録	—

国内では、不正アクセスによる情報漏えいの公表が相次いでおり、各社が公表した件数と原因は、時系列一覧で確かめることができます。

マイページとアプリに保存されていた情報が対象

マイページとアプリから漏えいした情報には、氏名や住所、生年月日に加えて、免許証の色、車名と登録番号、補償内容や保険等級まで含まれます。 マイページは契約者向けのページで、東京海上ダイレクトアプリの情報も漏えいの対象です。免許証情報は色だけで、免許証番号などは含まれないとされています。

カード番号の下4桁と有効期限、事故情報も含まれる

カード番号は下4桁だけで名義人とセキュリティコードは含まれない一方、事故相手方の氏名やアプリが取得した運転記録まで含まれます。 クレジットカード情報は、カード会社名とカード番号の下4桁、有効期限です。事故情報としては事故日時、場所、内容と保険金支払額が漏えいし、傷病に関する情報と口座情報は対象外とされています。

11月4日に不審なアクセスを検知し、侵入経路を遮断

東京海上ダイレクトは11月4日、マイページに不審なアクセスがあることに気づき、そのアクセス元のIPアドレスを遮断しました。マイページは第三者による不正アクセスを受けており、保存されていた契約者の個人情報が外部へ流出したことが調査でわかっています。その後、侵入経路となったサービスとの接続も停止しましたが、サービス名は非公表です。

不正利用とマルウェア感染は確認されていない

漏えいした情報の不正利用や二次被害、マルウェアへの感染は、いずれも東京海上ダイレクトの公表時点で見つかっていません。ただし、これは11月9日時点の確認結果で、侵入原因と影響範囲は調査中です。

監督官庁への報告などの対応を公表

東京海上ダイレクトは監督官庁へ報告し、不正アクセスへの監視体制を強化して、マイページ等へアクセスする経路を遮断しています。

&eとドコモの自動車保険はWebサイトでの受付を停止中

経路となったサービスとの接続を停止した影響で、総合自動車保険「&e」とドコモの自動車保険では、Webサイト経由の受付がすべて一時停止となりました。したがって、&eやドコモの自動車保険に入っている契約者は、契約変更や事故の連絡をWebサイトではなく電話で伝える必要があります。

新規の見積もりと申し込みも受け付けていない

これから加入を考えている人もWebサイトで見積もりを取れず、再開時期はセキュリティ確認と安全性の検証を終えてから公表されます。 公表先は東京海上ダイレクトのサイトで、再開日は未定です。

契約変更や事故の連絡は電話で受け付ける

事故受付とロードサービスの電話窓口は、24時間365日対応しています。 Webサイトが使えない間の連絡先として、東京海上ダイレクトは用件別の電話番号を公表しました。契約継続と契約内容変更の受付時間は、9時〜18時（年末年始を除く）です。

用件別の電話窓口（東京海上ダイレクトの11月5日のお知らせより）

用件	電話番号	受付時間
契約継続や契約内容の変更	0120-469-714	9時〜18時（年末年始を除く）
事故受付	0120-097-050	24時間365日
ロードサービス	0120-655-227	24時間365日
受付済みの事故	事故対応サービスセンター	9時〜17時（土日祝日と年末年始を除く）
その他の問い合わせ	0120-063-040	10時〜18時（土日祝日と年末年始を除く）

契約者とマイページを運営する企業は何をすればいい？

今回の漏えいでは、契約者の氏名や連絡先とカード情報の一部が外部へ流出し、東京海上ダイレクトが接続していた外部サービスが侵入経路になりました。そのため、契約者はカードの利用明細と個別連絡の内容を確かめ、マイページを運営する企業は外部サービスとの連携を確認する必要があります。

立場ごとの備え（東京海上ダイレクトの公表とIPAの資料より）

立場	備え
東京海上ダイレクトの契約者	カードの利用明細を定期的に確かめる。保険会社を装う連絡のリンクにはアクセスせず、電話窓口で確かめる。心当たりのない着払いは受け取らない
マイページを運営する企業	連携する外部サービスを洗い出してログとアカウントを確かめる。API連携の管理状況を見直し、残す情報を必要最小限にする

契約者として：カードの明細を確かめ、保険会社を装う連絡に注意

氏名や住所、電話番号が漏えいしているため、東京海上ダイレクトを装う連絡が届いたら、記載のリンクではなく正規窓口から確かめましょう。 漏えいした氏名や連絡先はリストにまとめられて闇サイトなどで売られ、なりすましメールや詐欺電話に使われる場合があるためです。

カードの利用明細を定期的に確かめる

カード情報が漏えいしたときは、カード会社に連絡して不正利用の確認や利用停止、再発行を相談します。当面の間は利用明細を定期的に見て、身に覚えのない決済が無いかを確かめましょう。

東京海上ダイレクトを装う連絡のリンクにアクセスしない

漏えいした情報には事故内容や保険金支払額も含まれるため、契約者の事情を知っているかのような連絡が届く恐れがあります。突然届くメールやSMSは詐欺と考え、記載のリンクにはアクセスせず、正規のサイトを調べてから問い合わせると確実です。Webサイトが停止している間も、電話窓口の一覧にある電話番号へかければ、東京海上ダイレクトに直接確かめることができます。

心当たりのない着払いの郵便物は受け取らない

氏名と住所がそろって漏えいした契約者には、詐欺を狙った不審な郵便物が届く恐れがあります。不審な郵便物には注意し、心当たりのない着払いは受け取らないでください。

マイページを運営する企業として：連携先からの侵入に備える

今回は、東京海上ダイレクトが接続していた外部サービスが侵入経路となりました。したがって、マイページを運営する企業は、自社システムだけでなく、連携している外部サービスにも侵入口がある前提で確認する必要があります。

IPAは10月9日、事業者に速やかな確認を呼びかけました。最近の不正アクセスによる漏えいは、外部公開しているアプリケーションやサービスの侵害か、アカウントの侵害が起点になっている傾向がみられるためです。

マイページと連携する外部サービスを洗い出し、ログを確かめる

最初に、マイページが利用している外部サービスをすべて洗い出し、サービスごとのログに異常が無いかを確認しましょう。ログイン失敗の量や、ログイン元のIPアドレス、ログインした時間を平時と比較することが、異常を見つける手がかりになります。

API連携の管理状況を見直し、アカウントの異常を確かめる

API連携などアプリケーションの構成要素ごとに管理状況を見直し、作った覚えのないアカウントや、削除や無効化をしたのに有効に戻っているアカウントが無いかを確かめましょう。

マイページに残す契約者情報を必要最小限にする

今回は、各契約者のマイページに残っていた情報が漏えいしました。使わなくなった契約者情報をマイページに残さなければ、不正アクセスを受けても流出する情報はその分少なくなります。