日本脆弱性総合ポータル

アフラック / よりそうネット：よりそうネットへの不正アクセスで顧客の個人情報が漏えい

重要度
業務やサービスの停止・約440万人
公表日
2026.07.31
原因の分類
自社実装の脆弱性
対策可能性
対策の欠落を確認

この記事の3行まとめ

  1. よりそうネットへの不正アクセスで、約440万人の個人情報が漏えいした。
  2. 攻撃の手口への制御が不十分で、通常利用と同じ形式のアクセスを検知できなかった。
  3. 不審な電話やSMSに注意し、暗証番号を人に伝えないよう呼びかけられている。

2026年6月10日から6月25日までの間に、アフラックの「よりそうネット」などのシステムへ第三者が複数回不正アクセスし、お客様や代理店の個人情報の一部が閲覧・漏えいした。漏えいは約440万人分で、うち約22万人分には保険料振替口座情報も含まれる。7月31日時点で、本件に関わる情報の不正利用は確認されていないとされる。

確認された経路・公表元の推定

  1. 2026年6月10日に、よりそうネットなどのシステムへ不正アクセスが最初に発生
  2. 2026年6月10日から6月25日までの間に複数回不正アクセスされ、個人情報が閲覧・漏えい
  3. 2026年6月25日6時30分にCPUの高負荷を検知し、調査で漏えいが判明
  4. 2026年7月31日に調査結果と再発防止策を公表

根拠の要点

社内調査と外部専門機関の調査で、よりそうネットのシステムに今回の攻撃で使われたアクセスとデータ照会の手口に対する制御の不十分さがあったと説明されている。不正アクセスを検知・遮断する機能はあったが、アクセスの形式が通常利用と同様だったため直ちに検知できなかった。短時間の大量データ照会を監視・制御する機能も不足していた。

資料の基準時点：2026年10月1日時点

当時、対策できたのか

対策の欠落を確認

資料は、攻撃で使われた手口に対する制御が不十分であったと説明している。短時間に大量のデータ照会があった場合に監視・制御する機能の不足も確認されたとしている。さらに、設計時のセキュリティレビューと侵入テストでも今回の手口のリスクを想定できていなかったと書かれている。

公表された対策

  • よりそうネットを再発防止策の実施と安全性の検証のうえ、一部を除き9月28日に再開した
  • サービス再開にあたり、安全性を確保するため初回登録方法を変更した
  • 保険料振替口座情報を該当する金融機関に提供し、不正取引の監視強化などが実施または検討されている
  • ログインにはパスキーの登録を推奨している

この事例を理解するための動画

まだ分からないこと

  • 初回の侵入に使われた具体的な経路や認証の扱いは、資料に書かれていない
  • 不正アクセスを行った主体や目的は、資料に書かれていない
  • 代理店に関する漏えい件数は、資料に書かれていない
  • 再発防止策の具体的な内容は公表資料のPDFにあり、本FAQには書かれていない
  • 一部の停止サービスの再開時期は、資料では未定で公式ホームページで案内される予定

関連する事例

同じ原因分類の事例

事例の一覧に戻る