アイフル、信用情報を保険案内の選定に不適切利用　対象94万6,056件、ライフカードへ88万824件を提供

アイフル株式会社とグループ会社のライフカード株式会社は2026年8月17日、指定信用情報機関から取得した顧客の信用情報を、保険商品の案内対象者を選ぶ目的で利用していたと公表しました。信用情報は返済能力の確認などに限って利用すべきところ、保険商品のマーケティングに利用していたことが内部監査部門の調査で判明しました。

対象は重複を除いて94万6,056件です。このうちアイフルが信用情報を用いて分析したのは17万1,032件、保険案内の対象者情報を作成してライフカードへ提供したのは88万824件でした。案内を受けて実際に保険契約を締結した顧客は340名です。

両社は、グループ外への情報漏えいや第三者による不正利用は確認しておらず、信用情報機関に登録された内容や信用評価への影響もないと説明しています。本件はサイバー攻撃や外部への情報流出ではなく、信用情報の利用目的とグループ内提供を巡る不適切な取扱いです。

アイフルとライフカードによる信用情報の不適切利用のサマリー

• アイフルが指定信用情報機関から取得した顧客の信用情報を、保険商品の案内対象者を選ぶための分析に利用しました
• 実際に参照した信用情報の一例として、アイフルはFAQで「他社との契約件数など」を挙げています
• アイフルは分析結果を基に案内対象者情報を作成し、信用情報の一部を含む情報をグループ会社のライフカードへ提供しました
• アイフルによる分析は2024年6月4日から7月17日まで行われ、対象は17万1,032件です
• 案内対象者情報の作成・ライフカードへの提供は2024年7月19日から2026年1月16日まで行われ、対象は88万824件です
• 両方の対象には重複があり、重複を除いた合計は94万6,056件です
• 対象はアイフルと取引のある顧客の情報であり、ライフカードの顧客情報ではありません
• 提供情報に基づく案内から、ライフカードで実際に保険契約を締結した顧客は340名です
• 両社グループ外への漏えいや、第三者による不正利用、金銭的被害は確認されていません
• 信用情報機関に登録された情報の内容や信用評価への影響はありません
• 発覚後、保険案内業務と対象情報の利用を停止し、ライフカード側の関連データを削除しました
• 【対応予定】両社は関係当局への報告・説明を適切に行うとしており、公表資料からは報告完了を確認できませんでした

アイフルの信用情報を保険商品の案内先選定に利用

本件は、ライフカードが取り扱う保険商品の案内対象者を選ぶ過程で発生しました。両社の公表によると、情報の流れは次のとおりです。

1. アイフルが指定信用情報機関から取得した顧客の信用情報を分析する
2. 分析結果を基に、保険商品の案内対象となる顧客情報を作成する
3. 信用情報の一部を含む案内対象者情報をライフカードへ提供する
4. ライフカードが受領した情報を保険商品の案内業務に利用する

両社は、保険商品の案内そのものが問題だったのではなく、案内対象者を選定する過程で信用情報を利用した点が不適切だったと説明しています。

信用情報は、ローンやクレジットなどの取引に関する客観的な情報です。アイフルのFAQでは、本人を識別する情報のほか、契約内容、返済状況、利用残高などを含むと説明しています。本件では、その一部である「他社との契約件数など」を参考情報として確認し、保険商品の案内先選定に利用していました。

アイフルは、信用情報を返済能力の確認などの目的以外に利用してはならないことを社内規程で定めていたものの、関係者の理解・認識と、個別業務で利用可否を確認する仕組みが不十分だったとしています。

94万6,056件は分析件数と提供件数の単純合計ではない

対象件数は、利用方法と期間によって二つに分かれます。

17万1,032件と88万824件には一部重複があります。したがって、両者を単純に合算した件数を対象件数として扱うことはできません。両社が公表した重複除外後の合計は94万6,056件です。

また、94万6,056件の全件について保険契約が結ばれたわけではありません。案内対象者情報を基にした案内から、ライフカードで実際に保険契約の締結に至ったのは340名です。

対象となった情報はいずれもアイフルと取引のある顧客のもので、ライフカードが自社のカード事業などで取得した顧客情報ではありません。

グループ外への漏えいや信用評価への影響は確認されず

アイフルから提供された情報はライフカード内でのみ利用され、両社グループ外への漏えいは確認されていません。第三者による不正利用や金銭的被害も確認されていないとしています。

また、本件によって指定信用情報機関に登録された内容が変更されたり、顧客の信用評価に影響が生じたりすることはありません。顧客に特別な手続きも求めていません。個別の連絡が必要と判断された顧客には、メールやSMSなどで案内しています。

本件は、外部の攻撃者が情報を盗み出した事案ではありません。情報を扱う権限のあるグループ企業内で、利用目的と提供範囲が適切に管理されなかった事案です。CICでなりすました第三者に信用情報が開示された事案のような外部への不正開示とは性質が異なります。

したがって、「94万6,056件の信用情報が外部流出した」「94万6,056名に金銭被害が生じた」と表現するのは適切ではありません。確認されたのは、信用情報の目的外利用とグループ内提供です。

内部監査で発覚、利用可否の確認プロセスが機能せず

本件はサイバー攻撃や顧客からの申告ではなく、内部監査部門の調査によって判明しました。ただし、両社は、内部監査を開始した理由や発覚日、公表までの詳細な調査経緯を明らかにしていません。

発生の背景として、次の2点を挙げています。

• 信用情報の取扱いに関する理解と、適切な実務運用の徹底が十分ではなかった
• 信用情報の利用、提供、受領の可否や範囲を確認する仕組みが十分に機能していなかった

アイフル側では情報を「利用・提供」する際の確認が不十分で、ライフカード側では情報を「受領・利用」する際の確認が不十分でした。提供元だけでなく、受領側にもデータの出所、利用目的、受領可能な項目を確認する統制が必要だったことを示しています。

情報利用を停止し、ライフカード側の関連データを削除

両社は本件の確認後、次の対応を実施しました。

• アイフルの顧客情報を使用したライフカードでの保険商品案内業務を停止
• ライフカードにおける対象業務と関連する顧客情報の取扱いを停止
• ライフカードが保有していた対象情報を削除
• アイフルとライフカードで信用情報の利用状況を点検
• グループ全社で信用情報と個人情報に関する勉強会を実施

今後の再発防止策として、データの利用目的と提供・受領範囲に関する確認・承認プロセスの明確化、信用情報へのアクセス権限の厳格化、全社的なコンプライアンス教育の強化を進めます。

両社は関係当局への報告・説明を適切に行うとしています。ただし、2026年8月17日の公表資料では、報告先、報告日、報告が完了しているかは明らかにされていません。行政処分や当局からの指導が行われた事実も確認できませんでした。

内部監査・コンプライアンス部門への示唆

本件は、不正な持ち出しがなくても、正規の権限で行われたデータ分析やグループ内連携が、利用目的を外れれば重大なコンプライアンス問題になることを示しています。

特に、マーケティング、営業企画、データ分析部門が既存データを新しい用途へ転用する場合、当初の取得目的と新しい利用目的の整合性を事前に確認する必要があります。「同じグループ内だから共有できる」「顧客への案内に使うだけだから問題ない」といった判断を現場だけで行わせない統制が重要です。

• データ項目ごとに取得元、利用目的、利用可能な業務、提供可能な相手を台帳化する
• 新しい分析やマーケティング施策の開始前に、法務・コンプライアンス・プライバシー部門の承認を必須にする
• データ提供側だけでなく、受領側にも利用目的と受領根拠の確認を義務付ける
• 信用情報など用途が強く制限される情報は、通常の顧客データと分離し、アクセス権限と出力を制限する
• 分析結果から作成した顧客リストについても、元データの制約が引き継がれるかを確認する
• 誰が、どの情報を、どの目的で検索・分析・出力・提供したかをログで追跡できるようにする
• 定期監査ではアクセス権だけでなく、実際の利用目的と業務内容まで確認する

今回の再発防止策にはアクセス権限の厳格化と教育が含まれますが、権限を持つ利用者が承認された目的以外にデータを使用するリスクは、アクセス制御だけでは防げません。企画段階での審査、データ提供時の承認、利用後の監査を一連のプロセスとして設計する必要があります。

出典

• 信用情報の不適切な取扱いに関するお詫びとお知らせ – アイフル株式会社
• 信用情報の不適切な取扱いに関するお詫びとお知らせ – ライフカード株式会社
• 信用情報の取扱いに関するお知らせとご説明 – アイフル株式会社

関連記事

宮本むなしお持ち帰り注文サイトに不正アクセス 最大1,895件・1,030名分の個人情報流出の可能性 山形鉄道のボイスフィッシングによる1億円不正送金事件でベトナム人の男を逮捕　広がるボイスフィッシング被害と企業側の対策 藤田観光 運営のホテルグレイスリー浅草の顧客の個人情報漏洩-フィッシングサイト誘導も確認 カイゼンベース社の公式サイトが改ざん被害-不審サイトに誘導、現在は復旧済み 合成樹脂販売のコバヤシで不正アクセス、情報漏洩を確認-ハッカー グループ World Leaksが犯行声明 アーク東短オルタナティブが個人情報流出の可能性を公表-社員宛フィッシングメールを端緒に不正アクセス Trip.com「大量削除」騒動　カンボジア当局との提携で詐欺組織への情報流出の懸念 松本魚問屋の公式サイトが改ざん、検索結果から不審な通販サイトへ不正転送 杏林大学公式サイトへの無断リンク掲載に注意、海外医薬品個人輸入サイトが信頼性を装うリスク

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)