アフラック生命保険への不正アクセスについてまとめてみた

2026年6月30日、アフラック生命保険株式会社は、契約者向けサイト「アフラックよりそうネット」等のシステムに対する第三者による不正アクセスにより、顧客および代理店関連の個人情報が漏えいしたと公表しました。その後、金融庁による報告徴求命令の受領を経て、7月13日には「第二報」として発生日・漏えい件数の訂正が公表されています。ここでは関連する情報をまとめます。

顧客約440万人・代理店約4万店に影響

アフラック生命保険は2026年6月30日、「当社システムに対する不正アクセスの発生」と題する発表を行い、第三者による不正アクセスにより顧客および代理店の個人情報が漏えいしたことを明らかにした(出典: 1)。公表された対象範囲・件数は次のとおり(2026年7月13日公表の「第二報」による訂正後の数値)。

対象	件数	漏えいした情報項目
顧客全体	約440万人	契約者氏名・生年月日・性別・住所・電話番号・証券番号・保障内容、被保険者氏名・生年月日・性別、受取人氏名、第二連絡先の情報
うち保険料振替口座情報を含む顧客	約22万人	左記に加え保険料振替口座情報
代理店関連	約4万店	代表者氏名・住所・電話番号

アフラックは、マイナンバー・クレジットカード情報は含まれないとしており(出典: 1)、第二報ではメールアドレスも含まれない旨が新たに明記された(出典: 14)。

第一報(6月30日公表)時点では顧客数約438万人、うち保険料振替口座情報を含む顧客約23万人としていたが、7月13日公表の第二報でそれぞれ約440万人・約22万人に訂正された(代理店関連の約4万店に変更なし)。漏えいした個人情報の項目自体に第一報からの変更はないとしているが、第二報で被保険者氏名・生年月日・性別、受取人氏名、第二連絡先の情報も対象に含まれることが明記され、あわせてメールアドレスは含まれない旨も新たに明記された(出典: 14)。

CPU高負荷検知で発覚

アフラックによる公表、事後調査によれば、最初の不正アクセスは2026年6月10日に発生。その後6月25日までの間に複数回にわたる不正アクセスが行われたことが確認されている(出典: 14)。当初(6月30日公表の第一報)は発生日を6月15日としていたが(出典: 1)、7月13日公表の第二報でさらなる調査の結果、6月10日に訂正された(出典: 14)。6月25日6時30分にシステムの高負荷を検知したことを契機に、よりそうネットなどにおける第三者による不正アクセスが判明した(出典: 2)。アフラックは同日中に不正アクセスを遮断し、関連システムを停止する対応を取っている(出典: 1)。なお、7月3日には「よりそうネット」関連のメンテナンス・お詫びページにおいて、一部システムサービスの予防的な停止を継続する一方、保険金・給付金請求等の通常対応は継続していることを案内した(出典: 4)。

侵入経路や具体的な攻撃手口については「調査中」としており、金融庁による報告徴求命令の受領についての公表でも原因分析は今後の実施事項として挙げられるにとどまり、これまでのところ具体的な原因は公表されていない(出典: 1, 3)。

銀行口座情報流出への注意喚起、情報の不正利用は「確認されていない」

アフラックは公式発表において、現時点で情報の不正利用は確認されていないとしている(出典: 1, 2)。

一方、日経は、保険料振替口座情報の漏えいに伴う二次被害リスクを指摘し、契約者に対し自身の口座で不審な取引・出金がないか確認を続けるよう呼びかける記事を配信している(出典: 12)。なお、同記事では漏えいしていない情報として「病歴、クレジットカード情報、マイナンバー」を挙げているが、このうち「病歴」が対象外であるという記述は同社のみに見られるもので(出典: 12)、独自確認によるものかは不明。

保険料振替口座情報の漏えいを受け金融機関と連携開始

アフラックは2026年7月13日公表の第二報において、保険料振替口座情報が漏えいしていることを踏まえた顧客保護・二次被害防止の観点から、関係する金融機関との連携を順次開始したことを明らかにした(出典: 14)。連携先の金融機関名や具体的な連携内容は公表されていない。

金融庁が報告徴求命令を発出

アフラックは2026年6月30日の発表の中で、対応措置として金融庁および警察へ本事案を報告済みであるとした(出典: 1)。

加えて金融庁は同日付で、保険業法第128条第1項および個人情報保護法第146条第1項に基づく報告徴求命令を発出、アフラックがこれを受領している(出典: 3, 11)。翌7月1日、アフラックは「金融庁による報告徴求命令の受領について」を公表し、事実関係調査(不正アクセスの手口等)、顧客対応状況の報告、原因分析、再発防止策の立案、セキュリティ体制強化に取り組むとした(出典: 3)。時事通信は、アフラックが同庁への報告書(調査結果・再発防止策)を7月末をめどに提出する方針であると報じているが、この提出時期は公式発表では言明されておらず、7月13日公表の第二報でも「引き続き、原因究明および再発防止策の策定に取り組み、まとまり次第、速やかに公表いたします」とするにとどまっている(出典: 14, 15)。

日時	出来事
2026年6月10日	契約者向けサイト等への最初の不正アクセスが発生
2026年6月25日6時30分	システムのCPU高負荷を検知
2026年6月25日	複数回の不正アクセスを確認し、同日中に遮断・関連システムを停止
2026年6月30日	アフラックが不正アクセス被害を公表
同日	金融庁が保険業法・個人情報保護法に基づく報告徴求命令を発出、アフラックが受領
2026年7月3日	「よりそうネット」メンテナンス・お詫びページでサービス停止継続と通常対応の状況を案内
2026年7月13日	アフラックが「第二報」を公表し、発生日(6月10日)・漏えい件数(顧客数約440万人等)の訂正と関係金融機関との連携開始を発表