損保ジャパン、事業者向けサービスで使用する外部委託先システムへの不正アクセスによりお客さま情報漏えいの可能性

損保ジャパンが事業者向け通信機能付きドライブレコーダー「SMILINGROAD（スマイリングロード、以下「SR」）」において、お客さまからの問い合わせ対応で利用している株式会社スカラコミュニケーションズ（以下「SC社」）のシステムのサーバーが、第三者によって不正にアクセスされ、同社のお客さま情報が漏えいした可能性があることが判明した。なお、同社のシステムに対する不正アクセスは確認されていない。
1．事案の概要
損保ジャパンは、主にSRを導入している企業の従業員からのよくある質問・問い合わせ機能として、SC社が提供するサービスを利用している。損保ジャパンは10月3日、SC社から、同社サーバーに対する不正アクセスにより、損保ジャパンのお客さま情報が漏えいした可能性があることの連絡を受けた。SC社によると、不正アクセスは10月2日20時33分頃から3日8時1分頃にかけて行われ、その後、不正アクセス経路の遮断などの緊急対応を実施している。
また、現時点では本件によるお客さま情報が不正利用された事実は確認されていない。
2．対象となるデータの項目および件数
今回不正アクセスを受けたのは、SRにおけるよくある質問・問い合わせ機能として利用しているSC社のサーバーに保存されていた情報に限定される。SC社からの報告により、漏えいした可能性のある問い合わせ単位の延べ件数、情報の項目については以下の通りである。
（1）漏洩した可能性のある問い合わせ単位の延べ件数
約6万件（同一のお客さまによる複数回の問い合わせを重複して含む。）
（2）情報の項目
氏名、電話番号、住所、メールアドレス、勤務先に関する情報（法人名・部門名・業種・代理店名等）、ドライバーID※、運転アラートに関する情報（種別・発生日時）、利用機器の情報（ドライブレコーダーのシリアル番号等）、申込み番号、問い合わせ内容（件名・本文）
※ドライバーID：SRのサービスを利用される事業者がドライバーごとに識別し、運転の振り返りや安全運転指導に活用するIDである。
（3）含まれない情報
金融機関の口座、クレジットカード、マイナンバーカード情報は含まれていない。
3．お客さまへの対応・案内
漏えいの可能性のある情報の対象となるお客さまに対しては、個別に連絡する。個別の連絡が困難なお客さまについては、同社からの公表をもって連絡に代える。
また、お客さまの氏名や問い合わせ内容等を利用し、同社または関係者を装った電話・メールによる詐欺等が行われるおそれがある。不審な連絡に記載されたリンクや添付ファイルは利用せず、身に覚えのない連絡については、お客さま専用窓口まで問い合わせるよう、呼びかけている。
4．今後の対応と再発防止策
現時点までに本件情報がインターネット上に公開・拡散された事実は確認されていないが、同社は今後も継続した監視を実施し、必要な措置を講じていく。SC社によると不正アクセス経路の遮断などの緊急対応を実施済みであり、今後、同社はSC社と連携し原因の究明を進め、再発防止策の徹底を厳格に求めるとともに、同社の委託先管理のあり方を検証し、管理強化策と実施時期を決定していく。