生命保険協会の契約照会システムで約3万7,000件の個人情報漏洩の恐れ、WEB申請を停止

生命保険協会は2026年7月29日、同協会が運営する生命保険契約照会システムで、アカウントを作成した利用者などの個人情報が、外部から特定の操作を行うことで閲覧可能な状態になっていたと公表しました。

対象は利用者ベースで約3万7,000件となる可能性があり、氏名、住所、電話番号、メールアドレスが含まれます。生命保険の契約内容や保険料振替口座などの口座情報は、現時点で確認された対象情報には含まれていません。第三者による不正取得や不正利用は確認されておらず、原因や閲覧可能だった期間も調査中です。生命保険協会は安全性を確認するまでWEB申請を停止し、制度の利用希望者には書面での申請を案内しています。

生命保険契約照会システムの個人情報閲覧問題の概要サマリー

• 生命保険協会は2026年7月29日、生命保険契約照会システムで個人情報が閲覧可能な状態だったと公表しました
• 外部のセキュリティ専門機関からの指摘を受けて問題が判明しました
• 外部から特定の操作を行うことで、一部の利用者情報を閲覧できる状態でした
• 対象は利用者ベースで約3万7,000件となる可能性があります
• 対象情報は氏名、住所、電話番号、メールアドレスです
• 同システムを利用する生命保険会社の担当者情報も対象に含まれます
• 生命保険会社名、契約内容、保険金額などの契約情報は対象外と説明されています
• 保険料振替口座などの口座情報も対象外です
• 第三者による不正取得、不正利用、被害申告は現時点で確認されていません
• 原因、閲覧可能だった期間、実際のアクセス件数、対象者の確定数は調査中です
• 生命保険協会はWEB申請を停止し、書面による申請を案内しています
• 個人情報保護委員会への報告状況は第一報に記載されていません
• 影響を受けた可能性がある利用者には、今後通知を行う予定です

項目	内容
公表日	2026年7月29日
被害組織	一般社団法人生命保険協会
対象システム	生命保険契約照会システム
事案の内容	外部から特定の操作を行うことで、一部の個人情報を閲覧できる状態だった
判明経緯	外部のセキュリティ専門機関からの指摘
対象人数	利用者ベースで約3万7,000件となる可能性
漏えい情報の内容	氏名、住所、電話番号、メールアドレス
その他の対象者	システムを利用する協会会員生命保険会社の担当者
契約情報	保険会社名、契約内容、保険金額などは対象外
口座情報	保険料振替口座などの口座情報は対象外
不正取得	現時点では確認されていない
不正利用・被害申告	現時点では確認されていない
原因	調査中
閲覧可能だった期間	未公表
個人情報保護委員会への報告	第一報に記載なし
本人への通知	影響を受けた可能性がある利用者へ今後通知予定
対応状況	影響範囲と原因の調査、外部専門家を交えた調査、再発防止策の検討
サービスの状況	安全性の確認が完了するまでWEB申請を停止
代替手段	書面による申請を受付

外部から特定の操作を行うと個人情報を閲覧できる状態

生命保険協会によると、生命保険契約照会システムに保存されていた一部の利用者情報は、外部から特定の操作を行うことで閲覧可能な状態でした。

不審な通信や利用者からの被害申告を起点に発覚したのではなく、外部のセキュリティ専門機関から指摘を受けて判明しています。

第一報では、問題のある画面、操作方法、認証の要否、閲覧できた情報の単位、APIの有無は明らかにされていません。

Webシステムで他の利用者の情報を閲覧できる問題には、アクセス制御の不備、認可処理の不足、URLやパラメーターの操作、APIの設計不備などがあります。ただし、今回の原因がこれらのいずれかであると生命保険協会が発表した事実はありません。

「特定の操作」という表現だけを根拠に、IDORや認証回避などの具体的な脆弱性へ分類することはできません。今後の調査結果では、問題が存在した機能、攻撃成立に必要な条件、修正内容が焦点になります。

約3万7,000件の氏名・住所・連絡先が対象となる可能性

対象となる可能性があるのは、生命保険契約照会システムでアカウントを作成した利用者の個人情報です。

生命保険協会は、次の4項目を現時点で確認している対象情報として挙げています。

• 氏名
• 住所
• 電話番号
• メールアドレス

システムを利用する協会会員生命保険会社の担当者情報も含まれます。

対象人数は利用者ベースで約3万7,000件となる可能性があります。ただし、これは確定件数ではありません。対象情報の詳細と規模は引き続き調査中です。

約3万7,000件という数字が、重複を除いた人数なのか、アカウント数なのか、一般利用者と生命保険会社担当者を合わせた総数なのかについて、第一報では詳しい内訳が示されていません。

実際に第三者が閲覧した件数でもありません。閲覧可能だった可能性のある最大範囲として受け取る必要があります。

生命保険の契約内容と口座情報は対象外

生命保険協会は、現時点で確認している対象情報に、利用者の生命保険契約の内容は含まれていないと説明しています。

対象外とされた情報には、次のようなものがあります。

• 契約先の生命保険会社名
• 契約内容
• 保険金額
• 保険料振替口座などの口座情報

契約している保険会社や保険金額、銀行口座が含まれていないことは、直接的な金融被害のリスクを評価するうえで重要です。

一方、氏名、住所、電話番号、メールアドレスが組み合わされると、本人を狙ったフィッシング、なりすまし電話、不審な郵送物などに悪用される可能性があります。

契約情報と口座情報が対象外だからといって、二次被害の可能性がないわけではありません。

調査が続いている段階であるため、今後の発表で対象項目や件数が更新される可能性にも注意が必要です。

生命保険契約照会制度とは

生命保険契約照会制度は、家族などが死亡した場合や、医師の診断により認知判断能力が低下した場合に、その人が契約者または被保険者となっている生命保険契約の有無を確認する制度です。

生命保険協会が会員の生命保険会社へ一括して照会し、契約の有無を申請者へ回答します。

生命保険会社や証券番号が分からず、家族だけでは契約を探せない場合に利用される仕組みです。2021年7月に開始され、災害地域で利用されていた契約照会制度も統合されました。

制度を利用して契約の存在が確認された場合、保険金や給付金の請求は申請者が各生命保険会社へ行います。生命保険協会が契約内容の照会や保険金請求を代行するものではありません。

通常の利用料は、照会対象者1人につきWEB申請が6,000円、書面申請が7,000円です。

今回停止されたのはWEBによる申請です。制度そのものが停止したわけではなく、書面による申請は継続しています。

WEB申請を安全確認まで停止

生命保険協会は、安全性の確認が完了するまで、生命保険契約照会システムによるWEB申請を停止しました。

制度の利用を希望する人には、書面による申請を検討するよう案内しています。

書面申請では、申請書、本人確認書類、戸籍などの必要書類を準備し、生命保険協会へ郵送します。照会対象者が死亡している場合と、認知判断能力が低下している場合では、必要となる書類が異なります。

すでにWEB申請を行った利用者の申請処理、マイページへのログイン、登録済みデータの扱いについては、第一報で詳しい説明がありません。

WEB申請の再開時期も未定です。再開には、問題箇所の修正だけでなく、同様の問題が他の画面やAPIに存在しないことの確認、侵害調査、外部専門家による検証が必要になります。

第三者による不正取得と不正利用は未確認

生命保険協会は、実際に第三者が情報を不正取得したか、不正利用したかを調査しています。

2026年7月29日の公表時点では、本件に起因すると考えられる被害申告や情報の不正利用は確認されていません。

閲覧可能な状態だったことと、情報が実際に持ち出されたことは分けて考える必要があります。

外部からアクセスできる状態が存在していても、第三者がその操作方法を把握していなければ、実際の閲覧が行われていない可能性があります。

反対に、アクセスログの保存期間が短い場合や、正常な操作と不正な操作をログ上で区別できない場合は、不正取得がなかったことを完全に確認できないこともあります。

今後の調査では、閲覧可能だった期間、アクセス元、操作回数、取得されたデータ量、ログの保存状況が重要になります。

同様に、個人情報が一時的に閲覧可能となった事案として、セキュリティ対策Labでは宇都宮大学で調査対象者の個人情報が閲覧・ダウンロード可能になった事案を取り上げています。設定やアクセス制御に問題があった事案では、公開状態の解消だけでなく、閲覧履歴を基に実際の取得有無を確認する必要があります。

原因と発生期間は調査中

生命保険協会は、影響範囲の特定と原因究明を進めています。

第一報では、システム開発上の不備、設定ミス、外部からの攻撃、脆弱性の悪用など、原因に関する具体的な説明はありません。

利用者を狙うフィッシングとなりすましに注意

現時点で不正取得や不正利用は確認されていませんが、生命保険協会や生命保険会社を装うフィッシングには注意が必要です。

公表された事案を悪用し、実際には情報を持っていない第三者が無差別にメールやSMSを送る可能性もあります。

想定される連絡には、次のようなものがあります。

• 情報漏えいの確認を理由に本人情報の再入力を求める
• WEB申請の再手続きを装って偽サイトへ誘導する
• 返金や利用料の払い戻しを口実に口座情報を聞き出す
• 契約照会の結果通知を装って添付ファイルを開かせる
• 保険金や未請求契約があるとして手数料を要求する
• 本人確認を理由に運転免許証やマイナンバーカードの画像を送らせる
• ワンタイムパスワードやインターネットバンキング情報を聞き出す

生命保険協会は、契約照会システムの問い合わせ先として生命保険相談所を案内しています。不審な連絡を受けた場合は、メールやSMSに記載された電話番号やURLを使わず、生命保険協会の公式サイトから確認してください。

保険会社の個人情報が悪用されるリスクについては、アフラック生命保険で約438万人の顧客情報が漏えいした事案でも、保険会社や代理店を装う電話、メール、SMSへの注意点を整理しています。

今回の対象情報には契約内容や口座情報が含まれていませんが、氏名と連絡先を組み合わせたなりすましには警戒が必要です。

利用者が確認すべきこと

生命保険契約照会システムの利用者は、生命保険協会からの通知と続報を確認してください。

現時点で、利用者にパスワード変更や口座停止などを求める公式案内は公表されていません。

同じメールアドレスとパスワードを他のサービスで使い回している場合は、今回の事案にかかわらず、サービスごとに異なるパスワードへ変更することが重要です。

不審なメールやSMSを受信した場合は、リンクを開かず、送信元表示だけで正規の連絡と判断しないでください。

生命保険協会や生命保険会社を名乗る電話であっても、口座情報、カード情報、暗証番号、ワンタイムパスワードを伝えないようにします。

郵送物が届いた場合も、記載された連絡先ではなく公式サイト上の窓口から内容を確認すると安全です。

生命保険契約照会制度を新たに利用する必要がある場合は、WEB申請の再開を待つか、生命保険協会が案内する書面申請を利用します。

情報システム部門への示唆

今回の事案は、外部からの攻撃を防ぐだけでなく、正規のWeb機能が他の利用者情報を返さないことを継続的に検証する重要性を示しています。

Webアプリケーションでは、ログイン済みかどうかを確認する認証と、その利用者が対象データを閲覧してよいか確認する認可を分けて実装する必要があります。

画面でリンクを隠したり、入力欄を読み取り専用にしたりするだけでは、直接URLやAPIへアクセスされた場合の防御になりません。サーバー側でリクエストごとに利用者と対象データの関係を検証する必要があります。

利用者ID、申請番号、文書番号などをURLやAPIパラメーターで扱う場合は、値を書き換えても他の利用者のデータを取得できないことをテストしてください。

実務上は、次の対策が重要です。

• すべての画面とAPIでサーバー側の認可処理を実装する
• 利用者IDや申請番号を変更する横断的な認可テストを行う
• 一般利用者、保険会社担当者、運用管理者の権限境界を確認する
• 本番データを使わない状態で第三者による侵入テストを定期実施する
• レスポンスに不要な個人情報を含めない
• 一覧表示と検索機能の取得上限を設定する
• 個人情報へのアクセスを利用者単位、対象データ単位で記録する
• 大量閲覧、連番アクセス、通常と異なる検索を検知する
• ログを調査に必要な期間保存し、改ざんから保護する
• セキュリティ研究者からの報告窓口と対応手順を整備する
• 修正後に類似機能や別APIへ同じ問題がないか横展開して確認する
• 公表文には発生期間、対象範囲、不正取得の有無、当局報告を明記する

個人情報を扱うシステムでは、障害対応のために一時的にアクセス制御を緩めた設定や、開発・試験用の機能が本番環境へ残ることもあります。

リリース時の脆弱性診断だけでなく、機能追加、権限変更、クラウド移行、認証基盤の更新後にも認可テストを行う必要があります。

生命保険協会の続報では、原因、閲覧可能だった期間、実際の不正取得の有無、確定した対象人数、個人情報保護委員会への報告状況、本人通知、WEB申請の再開条件を確認する必要があります。

出典

• 生命保険契約照会システムにおける情報漏えい等に関するお知らせとお詫びについて（第一報） – 生命保険協会
• 生命保険契約照会制度のご案内 – 生命保険協会
• 生命保険契約照会制度（書面による申込み） – 生命保険協会
• 生命保険契約照会制度の創設（2021年7月1日開始） – 生命保険協会
• 漏えい等の対応とお役立ち資料 – 個人情報保護委員会
• 漏えい等報告・本人への通知の義務化について – 個人情報保護委員会
• 宇都宮大学、調査対象者の個人情報が一時的に閲覧可能になり流出の可能性 – セキュリティ対策Lab
• アフラック生命保険、不正アクセスで約438万人の顧客の個人情報が漏えい – セキュリティ対策Lab