チューリッヒ保険会社の「Z-Dash」に不正アクセス　最大1,668名の個人情報漏洩の恐れ

チューリッヒ保険会社は2026年8月27日、ドライブレコーダーのデータをアップロードするためのシステム「Z-Dash」に第三者による不正アクセスがあり、最大1,668名の個人情報が漏えいした可能性があると公表しました。

同社は8月18日の社内調査でZ-Dashに脆弱性が存在することを確認し、過去のアクセス状況を調査した結果、4月1日と4月6日に第三者による不正アクセスが行われていたことを確認しました。対象となる可能性がある情報は事案管理番号、氏名、メールアドレスです。ドライブレコーダーの映像、クレジットカード情報、口座情報は含まれていません。

同社はZ-Dashの利用を停止し、対象者の特定と根本原因の調査を進めています。詳細が判明次第、該当する顧客へ郵送で通知するとしています。

チューリッヒ保険会社「Z-Dash」不正アクセスのサマリー

• チューリッヒ保険会社は2026年8月27日、Z-Dashへの第三者による不正アクセスを公表しました。
• Z-Dashは、顧客がドライブレコーダーのデータをアップロードするためのシステムです。
• 2026年8月18日の社内調査で、Z-Dashに脆弱性が存在することを確認しました。
• 過去のアクセス状況を調査した結果、2026年4月1日と4月6日に第三者による不正アクセスがあったことを確認しています。
• 個人情報が漏えいした可能性がある対象者は、2026年8月27日時点で最大1,668名です。
• 対象となる可能性がある情報は、事案管理番号、氏名、メールアドレスです。各情報の組み合わせは調査中です。
• ドライブレコーダーの映像は対象情報に含まれていません。
• クレジットカード情報や口座情報も対象情報に含まれていません。
• 同社はZ-Dashの利用を停止し、対象者の特定と根本原因の調査を進めています。
• 監督当局への報告は実施済みですが、公表資料では報告先の機関名は明らかにされていません。
• 具体的な脆弱性の内容、CVE番号、攻撃手法、第三者が実際に取得した情報の範囲は公表されていません。
• 同社は詳細が判明次第、該当する顧客へ郵送で通知し、調査状況をWebサイトで公表するとしています。

8月18日の社内調査でZ-Dashの脆弱性を確認

チューリッヒ保険会社によると、2026年8月18日の社内調査で、Z-Dashに脆弱性が存在することが判明しました。

Z-Dashは、ドライブレコーダーのデータをアップロードするために同社が利用しているシステムです。同社は脆弱性を確認した後、過去のアクセス状況を調査しました。

その結果、2026年4月1日と4月6日に第三者による不正アクセスが行われていたことを確認しました。不正アクセスは脆弱性の確認より4か月以上前に発生していたことになります。

ただし、同社は現時点で脆弱性の具体的な内容やCVE番号、不正アクセスに使われた手法、攻撃者に関する情報を公表していません。脆弱性が不正アクセスにどのように悪用されたのかも、公開情報からは確認できません。

最大1,668名の個人情報が漏えいした可能性

個人情報が漏えいした可能性があるのは、Z-Dashにドライブレコーダーのデータをアップロードした顧客です。対象者は2026年8月27日時点で最大1,668名とされています。

対象となる可能性がある情報は次の3項目です。

• 事案管理番号
• 氏名
• メールアドレス

同社によると、この3項目が対象者ごとにどのような組み合わせで含まれていたのかは調査中です。

事案管理番号は、損害調査業務の事案ごとに割り当てられる8桁の番号です。同社は、番号そのものから顧客情報を類推できる情報は含まれていないと説明しています。

一方、Z-Dashで取り扱うドライブレコーダーの映像については、今回漏えいした可能性がある情報には含まれていません。また、クレジットカード情報や口座情報も含まれていないとしています。

現時点の公表は「個人情報が漏えいした可能性がある」という段階です。最大1,668名分の情報が実際に外部へ持ち出されたことや、第三者が全項目を取得したことが確認されたわけではありません。

Z-Dashを停止、対象者の特定と根本原因を調査

チューリッヒ保険会社は本事案を確認後、Z-Dashの利用を停止しました。

現在は、影響を受けた可能性がある顧客の特定と根本原因の調査を進めています。また、監督当局へ事故を報告したとしています。

ただし、公表資料では「監督当局」の具体的な機関名は記載されていません。そのため、個人情報保護委員会への報告が行われたかどうかは公開情報から確認できませんでした。

対象となる顧客への通知については、詳細が判明した後、該当者へ郵送で通知する方針です。調査の進捗についても同社Webサイトで報告するとしています。

今回の発表はニュース一覧上で「第1報」として掲載されており、対象人数や漏えいの有無、原因などが今後の調査で更新される可能性があります。

漏えいが確認された場合に想定される二次被害

現時点で、対象情報を悪用したフィッシングやなりすましなどの二次被害が発生したとの公表はありません。

ただし、氏名とメールアドレスが実際に外部へ流出していた場合、保険会社や事故対応担当者を装ったフィッシングメールなどに悪用される可能性があります。

今回の対象情報には「事案管理番号」が含まれる可能性もあります。同社は番号自体から顧客情報を類推できないと説明していますが、氏名やメールアドレスなど他の情報と組み合わせられた場合には、もっともらしい連絡を作る材料として利用される可能性があります。

対象となる顧客に対しては、チューリッヒ保険会社を名乗るメールや電話で、パスワード、決済情報、認証コードなどの入力・提供を求められた場合に、連絡元を改めて確認することが重要です。

情報システム部門への示唆

今回の事案では、脆弱性が社内調査で確認された時点より4か月以上前に不正アクセスが発生していました。

情報システム部門では、インターネットからアクセスできる業務システムについて、脆弱性診断やパッチ管理だけでなく、過去ログをさかのぼって侵害の有無を確認できる状態を維持する必要があります。脆弱性を修正した時点で対応を完了とせず、その脆弱性が修正前に悪用されていなかったかを調査することが重要です。

特に、顧客がファイルやデータをアップロードするシステムは外部との接点となります。Webアプリケーション、認証機能、アップロード機能、API、ストレージ権限などを含め、継続的な脆弱性管理とアクセス監視が求められます。

また、漏えいの可能性がある情報を特定するためには、どのシステムにどの個人情報を保存しているかを把握しておく必要があります。保存項目、保持期間、アクセス権限、外部公開範囲を平時から整理し、インシデント発生時に対象者と対象情報を速やかに特定できる状態にしておくことが重要です。

今回、ドライブレコーダー映像や決済情報が対象外であることを同社が早期に切り分けて公表した点からも、インシデント対応では「何が漏えいした可能性があるか」だけでなく、「何が対象外と確認できているか」を明確にすることが、顧客への説明やリスク評価に直結します。

セキュリティ対策Labでは、不正アクセスの定義や代表的な被害、組織で取るべき対策についても整理しています。

関連記事：不正アクセスとは-定義・件数・手口・目的・防止策を専門家が解説【2026年最新】

出典

• 当社システムに対する不正アクセスおよび個人情報漏えいの可能性について – チューリッヒ保険会社
• 不正アクセスとは-定義・件数・手口・目的・防止策を専門家が解説【2026年最新】 – セキュリティ対策Lab

関連記事

DEF CONが伊藤穣一氏ら3人を出席禁止　エプスタイン文書で参加工作関与が再浮上、イベント運営のガバナンス課題に はいチーズ！フォトへ不正アクセス、個人情報漏洩の恐れ 海月館グループ宿泊施設で不正アクセス、氏名・連絡先など個人情報流出の可能性 フィッシングメールに注意 NTTPCコミュニケーションズ、WebARENAへの不正アクセスでメールアドレスなど個人情報漏洩の恐れ スペイン・ポルトガルの電力が復旧 トラストバンクの自治体向け電子申請システム LoGoフォームに不正アクセス-個人情報漏洩の可能性 九州電力送配電、個人情報 入り外部記憶媒体紛失 の最終報告-対象は最大1,354万件に拡大 米軍ミサイル在庫、イラン紛争で大幅消耗 -日本向けトマホーク延期をめぐる報道と防衛省見解の食い違い 中央アジア政府機関狙う「SilkParasite」、7種のRATをサイバー攻撃に使用　Bitdefenderは中国系ハッカー グループとの関連を中程度の確度で評価

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)