2025年10月24日、アクサ損害保険株式会社が公表した第2報で、同社のペット保険システムへの不正アクセス事件の全貌が明らかになりました。フォレンジック調査の結果、最大約55.3万件という大規模な個人情報漏洩の可能性が判明した本件について、現役CSIRTメンバーの視点から詳しく解説します。
事件の概要と被害規模
今回の事件は、2025年3月19日から4月21日の約1ヶ月間にわたって第三者による不正アクセスが行われていたというものです。7月25日の第1報から約3ヶ月後に公表されたフォレンジック調査結果により、想定を大幅に上回る被害規模が明らかになりました。
漏洩した可能性のある情報の内訳
- 既契約者・被保険者（解約含む）：約14.3万件
住所、氏名、性別、生年月日、電話番号、メールアドレス、証券番号、保険金給付情報、交渉履歴、金融機関口座情報（約5.2万件） - 見積もり・資料請求者：約39.9万件
住所、氏名、性別、生年月日、電話番号、メールアドレス - 賠償責任保険の被害者：約1,000件
住所、氏名、性別、生年月日、電話番号、メールアドレス、保険金給付情報、交渉履歴、金融機関口座情報（381件） - 動物医療機関・医療調査協力先：約1万件
住所、名称、電話番号、金融機関口座情報（446件） - 保険代理店：199件
住所、名称、金融機関口座情報（126件）
フォレンジック調査から見えてきた攻撃の特徴
私たちCSIRTが日々対応している不正アクセス事件の多くは、初期の被害想定を大幅に上回る規模に発展するケースが珍しくありません。今回のアクサ損害保険の事件も、まさにそのパターンといえるでしょう。
攻撃者の手法と滞留期間の問題
約1ヶ月間という長期間にわたってシステム内に潜伏していたことから、攻撃者は段階的にアクセス権限を拡大し、より多くの機密情報にアクセスできるよう活動していた可能性があります。このような「APT（Advanced Persistent Threat）」型の攻撃では、初期侵入から情報窃取まで数週間から数ヶ月かけて慎重に進行するのが特徴です。
特に注目すべきは、金融機関口座情報まで含まれていることです。これは攻撃者が単なる個人情報の収集ではなく、より深刻な経済的被害を狙った可能性を示唆しています。
個人が今すぐ実践すべき対策
1. 口座の監視強化
金融機関口座情報が漏洩した可能性のある方は、以下の対策を直ちに実施してください：
- 銀行口座の入出金履歴を毎日チェック
- 見覚えのない取引があれば即座に金融機関に連絡
- 可能であれば一時的な取引制限の設定を検討
- ネットバンキングのログイン履歴を確認
2. なりすまし攻撃への警戒
漏洩した個人情報を悪用したフィッシング攻撃やなりすまし詐欺のリスクが高まります。特に注意すべきポイント：
- アクサ損害保険を名乗るメールやSMSの確認
- 心当たりのない連絡は公式窓口に確認
- URLリンクや添付ファイルは絶対に開かない
- 電話での個人情報の聞き取りには応じない
3. アンチウイルスソフト の導入と設定見直し
今回のような大規模な情報漏洩事件を受けて、個人レベルでのセキュリティ対策の見直しが急務です。特に重要なのは、信頼性の高いアンチウイルスソフト
を導入し、最新の脅威に対応できる状態を維持することです。
企業が学ぶべき教訓と対策
フォレンジック調査の重要性
今回のケースで特筆すべきは、社内調査だけでなく外部専門業者によるフォレンジック調査を実施したことです。この結果、初期想定を大幅に上回る被害規模が判明しました。
私たちが過去に対応した中小企業の事例でも、初期の社内調査では「メールサーバーへの限定的な不正アクセス」と判断されたものが、専門的なフォレンジック調査により「全社的なシステム侵害と顧客データベースへのアクセス」が発覚したケースがありました。
脆弱性管理体制の見直し
アクサ損害保険は今後の対策として以下を挙げています：
- 脆弱性管理の強化
- 防御策・異常検知の高度化
- セキュリティインシデント管理の強化
特に重要なのは、定期的なWebサイト脆弱性診断サービス
の実施です。外部からの客観的な視点で脆弱性を発見し、攻撃者に悪用される前に対処することが可能になります。
VPN利用者への影響と対策
今回の事件では攻撃手法の詳細は公表されていませんが、リモートワーク環境を狙った攻撃の可能性も考えられます。企業のVPN接続を利用している方は、以下の点を確認してください：
- 企業提供のVPN接続時のセキュリティ設定確認
- 個人利用のVPN
との併用検討 - VPN接続時の通信ログの監視
今後の展開と継続的な注意点
大規模な個人情報漏洩事件の場合、情報がダークウェブ上で売買される可能性があります。実際に私たちが調査したケースでは、漏洩から数ヶ月後に関連する詐欺被害が急増した事例もありました。
長期的な警戒が必要な理由
漏洩した個人情報は以下のような悪用パターンが考えられます：
- 標的型フィッシング攻撃の材料として利用
- 他のサービスへの不正ログイン試行
- なりすまし詐欺の情報源として悪用
- ソーシャルエンジニアリング攻撃の下準備
まとめ：多層防御の重要性
今回のアクサ損害保険の事件は、どれほど大手企業でも完全なセキュリティは困難であることを示しています。だからこそ、個人レベルでの対策を怠ってはいけません。
重要なのは、単一の対策に依存せず、アンチウイルスソフト
、VPN
、多要素認証など複数の防御層を組み合わせた「多層防御」の考え方です。また企業においては、定期的なWebサイト脆弱性診断サービス
により、攻撃者に先手を打つことが不可欠です。
被害の拡大を防ぐためには、迅速で透明性のある情報開示と、専門的なフォレンジック調査による正確な被害範囲の特定が重要です。今回のケースを教訓に、私たち一人ひとりがサイバーセキュリティに対する意識を高めていく必要があります。
