アフラック生命、システムに対する不正アクセスの発生および情報漏えいに関する調査結果と再発防止策を発表

アフラック生命は、同社のシステムが第三者による不正アクセスを受け、お客様や代理店（一部提携先を含む）の個人情報を含む一部の情報が漏えいしたこと（以下、「本事案」）について、6月30日に公表（以下、「第一報」）した。また、その後の調査状況やお客様への連絡の開始などについて、7月13日に公表（以下、「第二報」という）した。
同社は、本事案に関する調査を進め、7月31日、当該調査結果および再発防止策を金融庁へ報告した。
引き続き、お客様保護を最優先に対応するとともに、再発防止策を着実に実行し、情報セキュリティ管理態勢の一層の強化を図っていく。
1.経緯
「オンライン相談」および「アフラックよりそうネット」のシステムが第三者による不正アクセスを受け、お客様や代理店の個人情報を含む一部の情報が漏えいしたことが2026年6月25日に判明した。同日、不正アクセスによる情報漏えいの拡大を防ぐため、関連するシステムを停止した。
本事案の調査の結果、不正アクセスによる情報漏えいが最初に発生したのは2026年6月10日であることを確認している。
また、社内および外部専門機関による調査を行い、「オンライン相談」および「アフラックよりそうネット」以外のシステムにおいては、本事案と同種または類似の情報漏えいはないことを確認している。
2.漏えいした個人情報
調査の結果、漏えいした個人情報は以下のとおりである。なお、第二報の内容から変更はない。
（1）お客様関連の個人情報
①個人情報の項目
契約者氏名・生年月日・性別・住所・電話番号、被保険者氏名・生年月日・性別、受取人氏名、証券番号、保障内容、第二連絡先の情報*6、保険料振替口座（金融機関名、支店名、預金種類、口座番号、口座名義など）等
なお、マイナンバー、クレジットカード情報およびメールアドレスは含まれていない。
②漏えい件数
お客様数(*契約者の人数)：約440万人
うち、保険料振替口座情報が含まれるお客様数：約22万人
（2）代理店関連の個人情報
①個人情報の項目
代理店代表者氏名、代理店住所、代理店電話番号等
②漏えい件数
代理店数：約4万店（*過去に同社と代理店業務委託契約を締結し、現在は委託業務を行っていない代理店を含む）
3.お客様への対応
本事案について、該当のお客様には、7月10日からお詫びとお願いの文書をお送りしており、7月30日に発送を完了している。
また、一部のお客様については、保険料振替口座情報が漏えいしていることに鑑み、お客様保護の観点から、二次被害の防止に向けて関係する金融機関と順次連携している。
4.発生原因
本事案の調査の結果、「オンライン相談」および「アフラックよりそうネット」のシステムにおいて、今回の攻撃で使われたアクセスとデータ照会の手口に対する制御が不十分であったことが明らかになった。
当該システムでは、不正アクセスを検知・遮断する機能を備えていたが、今回のアクセスの形式が通常の利用時と同様であったことから、不正アクセスとして直ちに検知することができまなかった。また、短時間に大量のデータ照会があった場合に監視・制御する機能が不足していたことも確認された。
さらに、同社では、システム設計時のセキュリティレビューやシステムリリース前の侵入テストを実施していたが、今回の攻撃で使われた手口に関するリスクを想定できていなかった。
5.再発防止策
発生原因を踏まえ実行する再発防止策の概要は以下のとおりである。
（1）アクセスおよびデータ照会における制御の強化
システムへのアクセス時における認証およびデータ照会時の認可を強化する
（2）大量アクセスに対する監視と制御の強化
アプリケーションおよびセキュリティ対策機器における大量アクセスに対する監視と制御を強化する
（3）システム設計時のセキュリティレビューやシステムリリース前の侵入テストの強化
不正アクセスのリスクを多層的に分析し、セキュリティ要件を最新化することを通じて、セキュリティレビューの実効性の向上とともに、侵入テストの強化を図る
（4）情報セキュリティ管理態勢の強化
本事案を契機とした情報セキュリティ管理態勢の再評価を通じて特定した課題に対して、人財の増強や体制の強化を含む以下の対策を実施する
■セキュリティ標準・基準の再整備
■セキュリティレビューの強化
■システムリリース前の検証の強化
■システムリリース後の監視体制の強化
■システムリリース後の継続的な改善活動の強化
なお、再発防止策については、各施策の進捗および有効性を継続的にモニタリングするとともに、発生原因のさらなる深掘りを行い、必要に応じて追加的な施策を実行することで、実効性を確保していく。
6.システムの再開
「オンライン相談」および「アフラックよりそうネット」については、再発防止策の確実な実行を前提として、一日も早い再開を目指している*9。
なお、保険金・給付金の請求をはじめとする各種問い合わせ・手続きは、コールセンター等で通常どおり受け付けている。
7.責任の所在の明確化
同社は、これまでサイバー攻撃のリスクの増大に対応して情報セキュリティ管理態勢の強化に取り組んできたが、このたび同社システムへの第三者による不正アクセスにより、約440万人のお客様の個人情報（うち、約22万人のお客様の個人情報に保険料振替口座情報が含まれる）および約4万店の代理店の個人情報が漏えいしたことを大変重く受け止めており、責任の所在を明確にするため、情報セキュリティ管理態勢の強化について管理監督責任を有する以下の役員が報酬の一部を自主返納することとした。
■代表取締役会長　チャールズ・レイク氏：月額報酬の30%×1カ月
■代表取締役社長　古出眞敏氏：月額報酬の30%×1カ月
■取締役専務執行役員チーフ・デジタル・インフォメーション・オフィサー　二見通氏：月額報酬の20%×1カ月
■常務執行役員チーフ・リスク・オフィサー　長瀬昭氏：月額報酬の20%×1カ月
現時点では本事案に関わる情報の不正利用等は確認されていないが、不審な連絡を受けた場合や、保険料振替口座における不審な取引などの懸念が生じた場合には、以下の同社連絡先に連絡する。
同社は、テクノロジーの進化とともにサイバー攻撃のリスクが増大しているという認識のもと、取締役会で決定している「経営上の重要リスク」の一つとしてサイバー攻撃のリスクを掲げ、サイバー攻撃のリスクの状況をモニタリングするとともに、情報セキュリティ管理態勢の高度化計画の実行や、第三者評価の実施など、態勢の強化に取り組んできた。こうしたさまざまな強化の取り組みにもかかわらず、本事案が発生したことを大変重く受け止めている。
引き続き、お客様保護を最優先に対応するとともに、再発防止策を着実に実行し、情報セキュリティ管理態勢の一層の強化を図っていくことで、企業としての社会的責任を果たしていく。