アフラック生命、サイバー攻撃で漏洩した口座情報を金融機関へ提供　約22万人が情報漏洩 対象

アフラック生命保険株式会社は2026年8月24日、6月に発生した同社システムへの不正アクセスによるサイバー攻撃について、漏えいが確認された顧客の保険料振替口座情報を該当する金融機関へ提供し始めたと公表しました。

提供するのは、支店名、預金種類、口座番号、口座名義で、ゆうちょ銀行の場合は記号、番号、口座名義です。アフラックは、金融犯罪の防止と顧客の財産保護を目的とした対応で、金融機関では対象口座の突合や不正取引の監視強化などが実施、または検討されているとしています。

今回の不正アクセスでは、顧客約440万人の個人情報が漏えいし、このうち約22万人について保険料振替口座情報も漏えいしました。8月24日時点で、本件に関わる情報の不正利用は確認されていません。

アフラック生命の口座情報提供に関するサマリー

• 確認済み：アフラック生命は2026年8月24日、漏えいが確認された保険料振替口座情報を該当金融機関へ提供していることを公表しました。
• 確認済み：提供対象は「漏えいが確認された口座情報のみ」です。
• 確認済み：提供項目は支店名、預金種類、口座番号、口座名義です。ゆうちょ銀行の場合は記号、番号、口座名義です。
• 確認済み：金融機関はすでに保有している口座情報ですが、漏えい対象口座を突合するためにアフラックから提供を受けます。
• 確認済み：金融機関では、不正取引の監視強化などの対応が実施、または検討されています。
• 確認済み：すべての金融機関で一律に同じ対応を行うものではなく、各金融機関の情報取扱方針などを踏まえて個別に対応しています。
• 確認済み：アフラックは個人情報保護法第27条第1項第2号に基づき、顧客の財産保護を目的として情報を提供するとしています。
• 確認済み：アフラックは事前に個人情報保護委員会へ照会し、今回の情報提供が適法であることを確認したとしています。
• 確認済み：今回の不正アクセスでは顧客約440万人の個人情報が漏えいし、うち約22万人には保険料振替口座情報が含まれています。
• 確認済み：漏えい情報には契約者の氏名、生年月日、住所、電話番号、証券番号、保障内容なども含まれます。
• 確認済み：マイナンバー、クレジットカード情報、メールアドレス、「アフラック よりそうネット」のID・パスワードは漏えいしていません。
• 確認済み：8月24日時点で、本件に関わる情報の不正利用は確認されていません。
• 未確認：金融機関ごとの具体的な監視方法や、何行に情報提供したかは公表されていません。

項目	内容
最新公表日	2026年8月24日
対象組織	アフラック生命保険株式会社
インシデント	「オンライン相談」「アフラック よりそうネット」への不正アクセスと情報漏えい
最初の情報漏えい	2026年6月10日
発覚日	2026年6月25日
漏えいした顧客数	約440万人
うち口座情報を含む顧客数	約22万人
代理店関連	約4万店分
金融機関への提供対象	漏えいが確認された保険料振替口座情報のみ
提供項目	支店名、預金種類、口座番号、口座名義。ゆうちょ銀行は記号、番号、口座名義
提供目的	金融犯罪防止、顧客の財産保護
金融機関側の対応	不正取引の監視強化などを実施、または検討
法的根拠	個人情報保護法第27条第1項第2号
個人情報保護委員会	情報提供について事前照会し、適法性を確認したとアフラックが説明
不正利用	8月24日時点で確認されていません
再発防止	認証・認可、大量アクセス監視、セキュリティレビュー・侵入テスト、管理態勢を強化

8月24日、漏えい口座情報の金融機関への提供を明示

アフラック生命は8月24日、「金融機関への口座情報の提供について」とする新たな案内を公開しました。

同社は、顧客保護の観点から金融犯罪を防止するため、漏えいした顧客の保険料振替口座情報を該当する金融機関へ提供していると説明しています。

提供される情報は、支店名、預金種類、口座番号、口座名義です。ゆうちょ銀行の場合は、記号、番号、口座名義が対象となります。

今回提供している口座情報は、金融機関側がすでに保有している情報です。アフラックは、漏えいした口座を金融機関側で突合できるようにするため、対象情報を提供しています。

金融機関では、提供された情報を基に顧客保護のための不正取引監視の強化などが実施、または検討されているとしています。

ただし、アフラックは「すべての金融機関で一律の取り扱いではない」と説明しています。金融機関ごとの情報取扱方針などを踏まえ、個別に対応しています。

約22万人の口座情報漏えい、7月時点では「金融機関と連携」と公表

今回初めて口座情報漏えいが判明したわけではありません。

アフラックは7月13日の第二報で、漏えいした顧客数を約440万人、このうち保険料振替口座情報が含まれる顧客を約22万人と公表していました。

7月31日に公表した調査結果でも、口座情報が漏えいした顧客について、二次被害防止に向けて関係する金融機関と順次連携していると説明しています。

8月24日の更新では、この「金融機関との連携」の具体的な内容として、漏えいした口座情報そのものを金融機関へ提供していること、提供項目、法的根拠、金融機関側で想定される対応が明確になりました。

個人情報保護法27条1項2号に基づき提供

通常、個人情報取扱事業者が個人データを第三者へ提供する場合は、原則として本人の同意が必要です。

一方、個人情報保護法第27条第1項第2号では、「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき」について、本人同意の原則に対する例外を定めています。

アフラックは今回の金融機関への情報提供について、この規定に基づき、顧客の財産保護を目的として行っていると説明しています。

また、同社はあらかじめ個人情報保護委員会へ照会し、金融機関への情報提供が適法であることを確認したとしています。提供された情報は金融犯罪防止・財産保護の目的以外には利用されないと説明しています。

ここで重要なのは、約22万人の全口座について無条件に外部提供するという説明ではない点です。FAQでは、情報提供の対象は「漏えいが確認された口座情報のみ」とされ、金融機関ごとの方針などを踏まえて個別に対応するとしています。

6月10日から25日まで複数回の不正アクセス

今回の事案は、2026年6月25日6時30分にアフラックのシステムでCPUの高負荷を検知したことから発覚しました。

その後の調査で、代理店が非対面で保険設計や申込みを行う「オンライン相談」と、契約者専用Webサービス「アフラック よりそうネット」が第三者による不正アクセスを受け、一部の情報が不正に閲覧され、漏えいしたことが判明しました。

調査の結果、情報漏えいが最初に発生したのは6月10日で、6月25日までに複数回の不正アクセスがあったことが確認されています。

アフラックは6月25日に関連システムを停止しました。社内および外部専門機関による調査では、「オンライン相談」と「アフラック よりそうネット」以外のシステムについて、今回と同種または類似の情報漏えいは確認されていません。

顧客約440万人、代理店約4万店の情報が漏えい

7月31日の調査結果では、顧客約440万人と代理店約4万店に関する個人情報の漏えいが確定しています。

顧客関連では、対象者によって異なりますが、以下の情報が漏えいしました。

区分	漏えいした情報
契約者	氏名、生年月日、性別、住所、電話番号
被保険者	氏名、生年月日、性別
受取人	氏名
契約情報	証券番号、保障内容
第二連絡先	氏名、生年月日、性別、住所、電話番号など
保険料振替口座	金融機関名、支店名、預金種類、口座番号、口座名義など
その他	対象システムに応じた一部情報

マイナンバー、クレジットカード情報、メールアドレスは漏えい情報に含まれていません。

アフラックのFAQでは、「アフラック よりそうネット」のIDとパスワードについても漏えいしていないとしています。

代理店関連では、代理店代表者氏名、代理店住所、代理店電話番号など、約4万店分が漏えいしました。過去にアフラックと代理店業務委託契約を締結し、現在は委託業務を行っていない代理店も含まれています。

通常利用と同様のアクセス形式で検知できず

アフラックは7月31日の調査結果で、不正アクセスの原因についても説明しています。

「オンライン相談」と「アフラック よりそうネット」では、今回の攻撃で使用されたアクセスとデータ照会の手口に対する制御が不十分でした。

不正アクセスを検知・遮断する機能自体は備えていましたが、今回のアクセス形式が通常の利用時と同様だったため、不正アクセスとして直ちに検知できなかったとしています。

加えて、短時間に大量のデータ照会が発生した場合に監視・制御する機能も不足していました。

システム設計時のセキュリティレビューやリリース前の侵入テストも実施していましたが、今回の手口に関するリスクを想定できていなかったと説明しています。

再発防止で認証・認可と大量アクセス監視を強化

アフラックは再発防止策として、大きく4分野の対策を示しています。

1つ目は、システムへのアクセス時の認証と、データ照会時の認可の強化です。

2つ目は、アプリケーションとセキュリティ対策機器における大量アクセスの監視・制御強化です。

3つ目は、システム設計時のセキュリティレビューとリリース前の侵入テストの強化です。不正アクセスのリスクを多層的に分析し、セキュリティ要件を最新化するとしています。

4つ目は情報セキュリティ管理態勢の強化で、セキュリティ標準・基準の再整備、人員・体制の強化、リリース前後の検証・監視、継続的な改善などを進めます。

また、アフラックは7月31日、調査結果と再発防止策を金融庁へ報告しています。

口座情報だけでは直ちに預金を引き出せないが、詐欺への悪用に注意

アフラックは8月24日、顧客向けFAQも更新し、漏えい情報を利用した二次被害への注意事項を具体化しました。

同社は、今回漏えいした情報だけで直ちに預金が引き出されるものではないと説明しています。

一方、氏名、住所、生年月日、電話番号、保険契約情報、口座情報などを組み合わせることで、攻撃者がアフラック、金融機関、警察、公的機関などを装い、信頼性の高い詐欺を仕掛ける可能性があります。

想定されるリスクとしては、不審電話、SMSによるフィッシング、暗証番号やID・パスワード、ワンタイムパスワードの聞き出し、ATM操作や送金の誘導などがあります。

アフラックは、暗証番号や認証情報を第三者へ伝えないこと、不審なSMSのURLへアクセスしないこと、口座の入出金履歴を定期的に確認することなどを呼びかけています。

現時点で本件に関わる情報の不正利用は確認されていません。したがって、こうした内容は確認済みの二次被害ではなく、漏えい情報から今後想定されるリスクとして捉える必要があります。

情報システム部門への示唆

今回の8月24日の対応は、情報漏えい後の二次被害防止を「顧客への注意喚起」だけで終わらせず、漏えい情報と関係する外部事業者を巻き込んで監視を強化する一例です。

漏えいした情報に金融口座、決済情報、通信契約、ECアカウントなどが含まれる場合、被害組織だけでは不正利用を十分に監視できないことがあります。インシデント対応計画では、必要に応じて金融機関や決済事業者、通信事業者などへ連携できる窓口と手続きを平時から整理しておくことが重要です。

一方、外部組織へ個人データを提供する場合は、「二次被害防止のため」という理由だけで直ちに提供できるわけではありません。本人同意の要否、個人情報保護法上の根拠、提供する情報の最小化、目的外利用の防止、提供先での取扱いなどについて、法務・プライバシー部門を含めて判断する必要があります。

今回、アフラックは提供項目を口座の突合に必要な情報へ絞り、個人情報保護委員会へ事前照会した上で対応しています。大規模な個人情報漏えいへの対応では、技術的な封じ込めや再発防止に加え、漏えいしたデータがその後どのように悪用され得るかを想定し、関係機関と連携して残存リスクを低減する視点が求められます。

また、今回の原因では「通常利用と同じ形式のアクセス」が検知をすり抜け、短時間の大量データ照会への監視も不足していました。認証に成功したアクセスを一律に正常とみなさず、ユーザー単位・セッション単位のデータ取得量、API呼び出し頻度、通常時との差異などを組み合わせて異常を検出する仕組みが重要です。

セキュリティ対策Labでは、本件の第二報について「アフラック生命保険、不正アクセスによる情報漏えいの件数を約440万人に変更」で整理しています。

出典

• 金融機関への口座情報の提供について – アフラック生命保険株式会社
• 当社システムに対する不正アクセスの発生および情報漏えいに関するFAQ – アフラック生命保険株式会社
• 当社システムに対する不正アクセスの発生および情報漏えいに関する調査結果と再発防止策について – アフラック生命保険株式会社
• 当社システムに対する不正アクセスの発生および情報漏えいに関するお詫び – アフラック生命保険株式会社
• 個人情報の保護に関する法律 – e-Gov法令検索
• 「個人情報の保護に関する法律についてのガイドライン」に関するQ&A – 個人情報保護委員会
• アフラック生命保険、不正アクセスによる情報漏えいの件数を約440万人に変更 – セキュリティ対策Lab