アフラック生命で438万人分の個人情報流出 23万人分に銀行口座情報も

アフラック生命保険は、契約者専用サイトなど同社のシステムが外部からの不正アクセスを受け、顧客約438万人分の情報が流出したと6月30日に発表しました。流出したのは、氏名、住所、電話番号、生年月日に加え、保険の保障内容などの契約情報で、一部には銀行口座の情報も含まれています。

同社によると、6月15日から25日にかけて複数回の不正アクセスがあり、25日にシステムの異常を検知したことから調査を進めた結果、広範な情報流出が判明したとされています。 25日中にはアクセスの拡大を防ぐため関連システムを停止し、現在は外部専門家を交えて原因究明と被害範囲の特定を進めていると説明しています。

漏えい対象には、顧客だけでなく代理店も含まれ、約4万店の代表者の氏名や店舗住所などの情報も流出したとされます。一方で、現時点では流出した情報が実際に不正利用された事例は確認されていないとし、契約者に対しては個別に状況説明と注意喚起を行う方針です。

アフラック生命保険は、「事態を重く受け止め、セキュリティー体制の強化に努める」とコメントし、金融庁や警察にも事案を報告したとしています。保険料振替などに用いられる銀行口座情報が含まれていることから、今後は金融機関や関係当局と連携した監視体制の強化も求められそうです。

高まる個人情報保護への懸念、保険業界にセキュリティ強化の圧力

今回の情報流出は、長期契約を前提とする生命保険会社において、氏名や住所、契約内容に加え銀行口座情報まで広範に漏えいした点で、顧客の信頼を大きく揺るがす事態です。契約者専用サイトは利便性向上の観点から各社で整備が進んでいますが、同時にサイバー攻撃の標的になりやすく、セキュリティ対策の甘さがあれば重大な事故につながることを今回の事案は示しています。

保険会社は多くの個人情報と金融情報を一括して管理しているため、ひとたびシステムが破られると被害が大規模化しやすい構造にあります。今回、アフラック生命保険は不正アクセスを検知した後、当日中にシステム停止を行ったものの、不正アクセスが10日間にわたり続いていたことを踏まえると、監視体制や異常検知の仕組みが十分だったのか検証が求められます。

金融庁はこれまでも、金融機関や保険会社に対し、サイバーセキュリティと個人情報保護の強化を繰り返し要請してきましたが、相次ぐ情報漏えい事案により、ガイドラインの実効性をどう高めるかが課題となっています。今回の事案を受け、保険業界全体でのシステム監査や、委託先を含めたセキュリティ水準の見直しが加速する可能性があります。

顧客側には、口座の出入金明細の確認や、不審な連絡に対する注意が必要となる一方で、事案の主体はあくまで事業者側の管理責任にあります。長期契約を預かる企業として、再発防止策の具体的な内容とその実施状況を透明性高く公表し、安心してサービスを利用できる環境をどう取り戻すのかが、今後の焦点になりそうです。