矢野経済研究所 ＩＣＴ・金融ユニット

アフラック生命保険は2026年6月30日に、自社の顧客向けシステムへの不正アクセスにより、顧客情報が漏えいしたことを公表しました。その後の調査により、7月13日時点で約440万人の顧客情報が漏えいしたことを明らかにしています。
保険会社に対するサイバー攻撃は今回が初めてではありません。2025年には損害保険ジャパンも不正アクセスの被害を公表しており、約1,750万件の情報が漏えいした可能性があると発表しています。
 
個人情報の漏えいは保険業界に限らず今に始まったことではありません。しかし、保険会社が保有する情報には氏名や住所などの基本情報に加え、保険契約の内容や保険金・給付金の請求に関する情報、生命保険会社であれば健康状態や病歴などのセンシティブな情報も含まれます。
また、保険会社は膨大な契約者情報を保有しているため、ひとたび不正アクセスが発生すると被害規模も大きくなりやすい特徴があります。今回のアフラックや損害保険ジャパンの事案は、その影響の大きさを改めて示した事例といえるでしょう。
 
さらに近年は、生成AIの発展に伴い、サイバー攻撃の高度化も懸念されています。攻撃者がAIを活用することで、不正メールやフィッシングサイトの精度向上が進み、従来以上に巧妙な攻撃が可能になるかもしれず、企業側には、これまで以上に高度なセキュリティ対策が求められています。
保険業界においては、保険会社だけが対策を講じればよいわけではありません。保険代理店や業務委託先も含めた対応が必要となります。実際、2025年には保険金請求に関する調査業務を手掛ける審調社や、保険代理店大手の保険見直し本舗グループなどにおいてランサムウェアの被害が発生しています。
 
加えて今回のアフラックの事案で気になったのは、不正アクセスから発覚までに一定の時間を要していた点です。アフラックの公表によれば、不正アクセスが最初に発生したのは6月10日であり、発見されたのは6月25日でした。結果として約2週間にわたり情報が閲覧可能な状態にあったことになります。
サイバー攻撃そのものを完全に防ぐことは、今後さらに難しくなっていくと考えられます。一方で、今回の事案は「防ぐこと」だけでなく、「いかに早く気付くか」の重要性も示したように感じます。保険会社は機微性の高い情報を大量に保有しているだけに、侵入を防ぐための対策に加え、異常を早期に検知し、被害の拡大を最小限に抑える体制づくりがこれまで以上に重要になっていくのではないでしょうか。