漏れたのは、ソニー生命が自社で引き受けた保険の情報ではありません。ソニー生命が代理店として販売した、メディケア生命の保険の契約者と被保険者の情報です。件数は約38.5万件にのぼります。
メディケア生命が10月28日に公表しました。ソニー生命の契約者専用サイトなどのシステムが、第三者から不正アクセスを受けたといいます。ソニー生命も同じ日、サイトの「重要なお知らせ」に、不正アクセスのお詫びと、お客さまWEBサービスとアプリの一時停止を載せました。
ソニー生命のサイトの重要なお知らせ。10月28日に不正アクセスとWEBサービス停止の2件を載せた出典: ソニー生命保険(引用)
38.5万件の中身は、氏名から契約内容まで
メディケア生命の発表によると、漏えいが確認された項目と、含まれない項目は次のとおりです。
| 区分 |
項目 |
| 漏えいが確認された |
氏名、生年月日、性別、住所、電話番号、証券番号、契約内容 |
| 含まれていない |
マイナンバー、クレジットカードの情報、保険料の振替口座の情報 |
| 対象の人 |
ソニー生命が代理店として扱った、メディケア生命の契約の契約者と被保険者 |
1行目だけで、本人に連絡を取るには十分です。住所と電話番号に、証券番号と契約内容まで付いています。
ソニー生命を通さずにメディケア生命に入った人の情報は、漏えいしていないとメディケア生命は説明しています。28日の時点で、情報が不正に使われた事実は確認されていません。
メディケア生命の10月28日の発表。漏えいした項目と件数約38.5万件を示す出典: メディケア生命保険(引用)
メディケア生命のサイトには、ソニー生命で申し込める商品の一覧があります。保険会社が別の保険会社の商品を売るとき、契約の情報は売った側のシステムにも残ります。今回は、その売った側が入られました。
証券番号まで知った相手からの連絡
メディケア生命は、同社を装ったメールやSMS、電話に注意するよう呼びかけています。同社がメールや電話で、パスワードや暗証番号、ワンタイムパスワードを尋ねることはないといいます。
証券番号と契約内容を知っていれば、「給付金のお手続き」や「ご契約内容の確認」を装った連絡は、本物とほとんど見分けがつきません。名前と住所だけが漏れた件とは、だましの文面の作りやすさが違います。
ただ、偽の連絡が実際に届いたという話は、28日の時点では出ていません。
契約者向けのWEBサービスは、年末調整の時期に止まった
テレビ朝日系（ANN）の報道によると、不正アクセスが分かったのは27日です。ソニー生命は28日から契約者専用のウェブサービスやアプリなどの利用を止めていて、28日夜の時点で再開のめどは立っていません。
時期の悪さが気になります。ソニー生命のお客さまWEBサービスは、生命保険料控除証明書の再発行を受け付ける窓口でもあるからです。
ソニー生命の案内では、2026年分の控除証明書の再発行は10月21日に受付が始まったばかりです。WEBサービスに登録している人は、電子データを即日ダウンロードできる仕組みでした。年末調整の申告書に書く受取人の名前も、お客さまWEBサービスで確認するよう案内しています。
年末調整の書類を11月に集める会社は多いはずです。証明書をなくした社員や、電子データで出すつもりだった社員は、WEBサービスが戻るまで書類をそろえられないかもしれません。ソニー生命は、担当者やカスタマーセンターへの再発行の依頼も受け付けています。郵送なら、届くまで4日から7日ほどかかるといいます。
発表からまだ読み取れないこと
- 攻撃者がどこから入り、いつからシステムの中にいたのか
- 「契約内容」に含まれる細かい項目
- お客さまWEBサービスとアプリを、いつ再開するのか
- マイナポータルを使った電子的控除証明書の発行に、停止の影響があるかどうか
- 対象の人に、個別に連絡するかどうか
漏えいの対象になる人、停止だけが響く人
漏えいの対象は、ソニー生命でメディケア生命の保険に入った人です。契約者だけでなく被保険者も含むので、家族を被保険者にした契約では、家族の情報も入ります。
メディケア生命の保険でも、ソニー生命を通さずに入った人は、発表では対象外です。マイナンバーとクレジットカード、引き落としの口座の情報も、対象に入っていません。
停止の影響は、もっと広く出ます。WEBサービスとアプリが止まっているあいだ、ソニー生命の契約者は、住所の変更や給付金の請求、控除証明書の再発行をWEBで済ませられません。
会社のシステムに、直接の影響はありません。社員が個人で入る保険の話です。ただ、偽の連絡を受けた社員が、最初に相談するのは総務や情シスかもしれません。
自社が保険の代理店を兼ねている場合は、話が変わります。車の販売や不動産の会社のように、ほかの会社の商品を取り次ぐ会社では、取り次いだ先の顧客の情報が自社のシステムに残ります。今回のソニー生命と同じ立場です。
11月の書類集めの前に、総務と情シスで決める段取り
- 社員への注意の案内を、今週のうちに出します。メディケア生命やソニー生命を名乗るメールやSMS、電話で、パスワードや暗証番号、ワンタイムパスワードを聞かれても答えないこと。かけ直すなら保険証券や公式サイトに載る番号にすること。この2点で足ります。メディケア生命の問い合わせ窓口は0120-315-056です。
- 年末調整で、控除証明書が遅れて届く社員の扱いを決めます。後から出してよい期限を人事と決め、電子データで出す決まりの会社は、紙の証明書でもよいと案内しておきます。
- 社員から「保険会社から連絡が来た」と相談されたときの受け先を決めます。本物かどうかの見分けは情シス、年末調整の書類は人事、のように分けておくと迷いません。
- 自社が他社の商品やサービスを取り次いでいるなら、その顧客の情報がどのシステムにあるかを書き出します。取り次ぎの元の会社と、漏えいしたときに誰が公表するかの取り決めも確認します。
4つ目は、保険に限った話ではありません。契約者が自分の情報を見るためのサイトから、代理で売った他社の契約まで漏れた件です。自社の会員サイトが、どの会社の顧客の情報まで抱えているか。一度、書き出してみたいところです。
