2025年6月、損害保険業界最大手の損保ジャパンで、約1,748万件という膨大な個人情報が漏えいした可能性があることが発表されました。現役CSIRTメンバーとして数多くのインシデント対応を経験してきた立場から、今回の事案について詳しく解説し、個人や中小企業が同様の被害を防ぐための対策をご紹介します。
事案の概要｜5日間の侵入を許した脆弱性
今回の事案は、損保ジャパンの社内Webサブシステムへの不正アクセスによるものです。フォレンジック調査の結果、以下の事実が判明しています：
- 侵入期間：2025年4月17日〜21日の5日間
- 漏えい可能性のあるデータ：約1,748万件
- 対象システム：各種指標管理を行うWebサブシステム
フォレンジックアナリストとして多くの事案を見てきましたが、5日間も侵入を許してしまったという点は深刻です。通常、適切なセキュリティ監視体制があれば、もっと早期に検知できたはずです。
漏えいした可能性のある情報の内容
今回漏えいした可能性のある情報は以下の通りです：
個人顧客情報（約1,738万件）
- 氏名、生年月日、性別
- 住所、電話番号、メールアドレス
- 保険料支払口座情報（1,638件）
- 証券番号、事故番号
- 被保険者名
保険募集人情報（約9,366件）
- 氏名、生年月日
- ID等の管理情報
幸い、マイナンバーやクレジットカード情報は含まれていませんが、これだけの個人情報があれば、なりすまし詐欺や標的型攻撃に悪用される可能性は十分あります。
フォレンジック調査から見えた侵入手口
現在公開されている情報からは詳細な侵入手口は不明ですが、Webサブシステムへの攻撃ということから、以下のような手口が考えられます：
よくある侵入パターン
- SQLインジェクション：データベースへの不正なクエリ実行
- 認証突破：弱いパスワードやブルートフォース攻撃
- アプリケーションの脆弱性悪用：未修正のセキュリティホール
- 内部不正：関係者による意図的な情報持ち出し
実際に私が対応した中小企業の事例では、古いWebアプリケーションの脆弱性を突かれ、3か月間気づかずに顧客データベースにアクセスされ続けたケースがありました。その企業は最終的に約500万円の対応費用がかかり、顧客の信頼回復に2年以上を要しました。
個人・中小企業が今すぐできる対策
大企業でさえこのような被害を受ける中、個人や中小企業はより一層の注意が必要です。以下の対策を強くお勧めします：
1. 基本的なセキュリティ対策の徹底
まず最も重要なのは、アンチウイルスソフト
の導入です。多くのサイバー攻撃は、マルウェアやウイルスを使って行われます。特に中小企業では、従業員のPC1台が感染しただけで全社のネットワークが危険にさらされるケースを何度も見てきました。
最新のアンチウイルスソフト
は、従来のシグネチャベースの検知に加え、AI技術を活用した行動分析により、未知の脅威も検出できます。月数百円程度の投資で、数百万円の被害を防げると考えれば、導入しない理由はありません。
2. 通信の暗号化でデータを保護
リモートワークが当たり前になった今、VPN
の利用も不可欠です。公衆Wi-Fiや自宅のネットワークからでも、VPN
があれば通信内容を暗号化し、盗聴や中間者攻撃から身を守れます。
実際、私が調査したケースでは、カフェの無料Wi-Fiを使って業務をしていた従業員のPC経由で企業ネットワークに侵入された事例もありました。VPN
を使用していれば防げた被害でした。
3. パスワード管理の強化
- 複雑で長いパスワードの設定
- 定期的なパスワード変更
- 二要素認証の有効化
- パスワード管理ツールの活用
4. システムの定期的な更新
- OSの自動アップデート有効化
- アプリケーションの最新版への更新
- セキュリティパッチの迅速な適用
インシデント発生時の初動対応
万が一、不正アクセスの疑いがある場合は、以下の手順で対応してください：
- 影響範囲の特定：どのシステム・データが影響を受けたか
- 証拠保全：ログファイルやシステム状態の記録
- 被害拡大防止：感染システムの隔離
- 関係者への報告：上司・顧客・関係機関への連絡
- 復旧作業：バックアップからのデータ復元
特に証拠保全は重要で、適切に行わないと後のフォレンジック調査で真相解明が困難になります。不安な場合は、すぐに専門家に相談することをお勧めします。
今回の事案から学ぶべき教訓
損保ジャパンのような大企業でも、このような大規模な情報漏えいが発生してしまいます。この事実は、以下のことを示しています：
- 完璧なセキュリティは存在しない：どんな組織でも被害に遭う可能性がある
- 早期検知の重要性：5日間の侵入を許したことの深刻さ
- 多層防御の必要性：単一の対策では不十分
- 継続的な監視体制：24時間365日の監視が理想
個人や中小企業では、大企業と同レベルのセキュリティ体制を構築するのは困難ですが、基本的な対策を確実に実施することで、リスクを大幅に軽減できます。
まとめ
今回の損保ジャパンの事案は、どの組織にとっても他人事ではありません。サイバー攻撃は年々巧妙化しており、被害に遭った場合の損失は計り知れません。
まずは基本的な対策から始めましょう。信頼できるアンチウイルスソフト
とVPN
の導入は、投資額に対して得られる安全性が非常に高い対策です。
セキュリティは「完璧」を目指すものではなく、「継続的な改善」を行うものです。今日から始められる対策を一つずつ実施し、自分や組織の大切な情報を守っていきましょう。
一次情報または関連リンク
元記事：損保ジャパン サイバー攻撃で1748万件の情報漏えいの可能性
