米大手保険会社、不正アクセスで140万人以上の個人情報が漏洩か-ハッカー集団 ShinyHuntersが関与か|セキュリティのニュース-セキュリティ対策Lab

投稿日時: 2025年07月28日更新日時: 2025年07月28日

2025年7月16日、米ミネソタ州を拠点とする大手保険会社アリアンツ・ライフ（Allianz Life Insurance Company of North America）が、外部からの不正アクセスにより顧客情報を含む個人情報が漏洩したことを明らかにしました。

アリアンツは、全米で約140万人の顧客を抱えており、その「大多数」の情報が流出した可能性があるとしています。

アリアンツによると、本件はクラウドベースのCRMシステムが標的となったもので、ソーシャルエンジニアリング攻撃により脅威アクターが不正アクセスを成功させたとのことです。調査の結果、自社の社内ネットワークや契約管理システムへの侵入の痕跡は見つかっておらず、影響範囲は当該CRMに限定されるとしています。

不正アクセスの概要

外部顧問弁護士がメイン州司法長官に提出した報告書では、漏洩が発生したのは7月16日、発見は翌17日で、8月1日から該当者への書面通知が開始される予定です。漏洩情報には、氏名やその他の個人識別情報が含まれていることが確認されています。

現在、アリアンツは影響を受けた個人に対し、Kroll社を通じて24か月間のID盗難復旧およびクレジットモニタリングサービスを提供しています。

今回の攻撃にはハッカー集団「ShinyHunters」が関与している可能性が高いと報じられています。このグループは過去にPowerSchoolやSnowflake、AT&T、Neiman Marcusなどを標的とした複数の大規模情報漏洩事件と関係があるとされています。

Mandiantの調査によると、ShinyHuntersは近年、Salesforce CRMユーザーを標的にした攻撃を活発化させており、正規のIT担当者を装ってSalesforce Data Loader経由でデータを窃取する手法を用いているとのことです。

アリアンツはCRMのベンダー名についてはコメントを控えていますが、手口の類似性から一部の報道機関の指摘ではSalesforceが使用されていた可能性があるとしています。