あいおいニッセイ同和と三井住友海上で漏えい 法人向けWebも停止

三井住友海上の法人お客さまWebサービスで社用車の増車・減車を届けていた会社は、当面、紙で代理店に届けることになります。不正アクセスを受けた三井住友海上がこのサービスを止め、フリート契約の増車・減車の通知は「書面にて取扱代理店へご連絡ください」と案内しているためです。

顧客の情報も漏れました。あいおいニッセイ同和損保と三井住友海上は11月6日、契約者向けの「ご契約者さま専用ページ」から情報が漏えいしたと発表しました。件数はあいおいニッセイ同和損保が約44.4万件、三井住友海上が約3.7万件。同じグループの三井住友海上あいおい生命も、同じ日に約5,300件の漏えいを公表しました。

損保の専用ページに、生保の契約まで載っていた

3社の件数は大きく違いますが、経緯の段落はほとんど同じ文面です。11月2日の夜に専用ページへの不正アクセスを検知し、翌3日の深夜に関連サービスを止めた。その後の影響調査で、漏えいを確認した。損保2社とも専用ページをネットワークから切り離しており、サービス停止以降の外部からの不正アクセスはないと説明しました。

生命保険の会社まで発表したのには、わけがあります。三井住友海上あいおい生命によると、対象は、損保2社の専用ページで同社の生命保険の契約も「表示するようご自身で設定された」顧客でした。

生保の約5,300件は、損保の専用ページに生保の契約も表示させていた人の分なので、損保2社の件数と重なっているとみられます。3社を足して人数とは読めません。

2社がそろって漏えいを発表する事態は、今年2回目です。5月11日には、損害調査などを任せる一般財団法人新日本検定協会がサイバー攻撃を受け、三井住友海上は6,176件、あいおいニッセイ同和損保は56件の漏えいを公表していました。あのときは委託先、今回は自社の専用ページと、入られた場所は違います。それでも委託先まで重なる2社です。社用車は片方、建物はもう片方という会社なら、一方の知らせが来た日に両方の契約を確かめるのが近道でしょう。

自社に置きかえると、顧客向けのポータルでグループ会社の契約や注文まで見せていないでしょうか。便利なまとめ方ですが、入られたときに巻き込む会社も増えます。表示を設定した顧客をすぐに数えられるかどうかは、同じ立場になったときの発表の早さに響くはずです。

法人向けの画面も、2社とも止まった

三井住友海上が止めているサービスは11月7日9時の時点で13あります。代理店の連絡先を調べる「Myエージェント」や法人お客さまWebサービスのほか、団体扱の自動車保険をネットで更新する「e-G1」も止まりました。中堅・中小企業向けの情報サイト「MSコンパス」と、インターネットでの事故の受付も対象です。あいおいニッセイ同和損保も、11月6日12時の時点で、法人お客さまWebサービスとe-G1を含む7つを止めていました。

法人お客さまWebサービスの代わりの手段は、三井住友海上の別紙に機能ごとに並んでいます。紙の保険証券は代理店か営業課支社に頼み、フリートの割増引率の試算は代理店で受ける。リスクマネジメントのサービスは営業課・支社に問い合わせ、増車・減車などの通知は書面で代理店へ。ところが車両管理機能だけは、「代替手段はございませんのでご了承ください」とあります。

総務にいちばん重いのは、車両管理機能の1行でしょう。保険会社の画面を社用車の台帳がわりにしていた会社では、止まっているあいだ、どの車にどの契約が付いているかを自分で引けません。逆に、自社の台帳を別に持っていれば困らない話でもあります。ふだん書き出していたかどうかで、差がつきます。

e-G1の停止は人事の仕事にも響きます。団体扱の自動車保険は、勤め先の団体を窓口にして入る契約です。満期が近い社員はネットで更新できず、三井住友海上の案内どおり「代理店での更改手続き」に回ります。

では、何がまだ分からないのか。侵入の経路と原因、法人お客さまWebサービスを再開する時期。「タフ・つながるクルマの保険」のサイトとアプリも、あいおいニッセイ同和損保が11月6日に「セキュリティ強化のため」として止めました。今回の件と関係するのかは分かりません。どれも、11月7日までの発表では示されていません。

うちの会社に関係するのは、契約の持ち方しだい

影響がないのは、2社と契約がなく、社員が団体扱で入ってもいない会社です。

法人として2社の自動車保険や火災保険を契約し、法人お客さまWebサービスを使っている会社が、まず受けるのは手続きの停止です。漏えいのほうはまだ判断がつきません。発表が対象に挙げるのは「ご契約者さま専用ページに登録されているお客さま」で、個人の契約に限るとは書いていません。会社の契約を専用ページに登録していた担当者がいれば、その分は対象に入りえます。法人お客さまWebサービスの登録者が入るかどうかは、どちらの損保の発表にも書かれていません。

社員が団体扱で2社の自動車保険に入っている会社では、更新の窓口が代理店に移ります。その社員が個人で専用ページに登録していれば、漏えいの対象に入りえます。登録に会社のメールアドレスを使った社員がいれば、保険会社を名乗る偽のメールが職場で開かれるおそれもあります。

なお、社用車の情報は、ロードサービスの受付を請け負う会社からも漏れています。別の事故なので、プレステージ・コアソリューションの件で確認の順番を見ておくと取り違えません。

総務と今週進める確認の手順

1. 社用車と会社の建物の保険があいおいニッセイ同和損保か三井住友海上かを、保険証券で調べます。紙の証券がない契約は、代理店か営業課支社に紙の証券の発行を頼みます。あわせて、会社の契約を「ご契約者さま専用ページ」に登録していなかったかを総務の担当に聞きます。
2. 自社の台帳か、紙の保険証券と車検証から、車ごとの登録番号と契約を1台ずつ書き出します。前に法人お客さまWebサービスから書き出した車両の一覧があれば、それも突き合わせます。
3. 停止中に納車や廃車の予定がある車を拾い、増車・減車の届けを代理店に出します。三井住友海上は書面での連絡を求めています。あいおいニッセイ同和損保の契約は、同社のお知らせにある「停止中サービスの代替手段について」の案内を見るか、代理店に届け方を聞いてから出すと行き違いを防げます。
4. 人事か総務から、団体扱の自動車保険の満期が近い社員に、ネットで更新できないことと、代理店で手続きすることを知らせます。
5. 保険会社や代理店を名乗る電話やメールが証券番号を正しく言っても、その場で口座やカードの番号を答えないよう、社員に伝えます。折り返しは証券に書かれた番号にかけます。

代理店の番号は、紙の証券で引く

三井住友海上がMyエージェントの代わりに示したのは、「保険証券など、お手元の書類に記載された連絡先をご確認ください」という手段でした。画面が戻るまで、代理店の番号は紙の証券から引くことになります。しかも漏れた項目には、証券番号と氏名、住所、電話番号が並びます。

証券番号を知っていることは、もう本物の証拠になりません。