01
足りなかったのは、量への歯止め
事件の概要
- 被害
- アフラック生命保険の「アフラック よりそうネット」などのシステム
- 発覚・公表
- 2026年6月15日〜25日に不正アクセスを確認、6月30日に公表
- 規模
- 顧客約438万人、うち約23万人は銀行口座の情報を含む
- 原因
- 短時間に大量のデータ照会があった際に、監視・制御する機能が不足していた
- 対応
- 金融庁が保険業法にもとづく報告徴求命令（6月30日）
不正アクセスと聞くと、壁を壊して入る姿を思い浮かべがちです。けれど原因として報じられたのは、壁ではなく量の問題でした。短い時間に大量の照会があっても、それを見張って止める仕組みが足りなかったのです。
438万人
23万人
見張るべきだったのは「量」
いつもの利用
ログインして、必要な人の情報をいくつか見る。
今回の照会
1件ずつは普通の照会に見えても、短時間に桁ちがいの件数が引き出されていく。
02
会員情報を持つサイトに、足しておきたいもの
引き出され放題にしない4つ
- 1照会できる件数に上限を1人が短時間に見られる件数を決めておく。上限を超えたら止まるようにします。
- 2いつもと違う量を通知する深夜の大量取得や、ふだん見ない範囲への照会に気づける状態に。
- 3管理者や代理店のログインは2段階認証でIDとパスワードが漏れても、それだけでは入れないようにします。
- 4画面に出す項目を必要な分だけに口座番号のように重い情報は、見られる人と場面を絞ります。
どれも大企業だけの話ではありません。会員ページや予約システムを持つ中小企業でも、同じ考え方で備えられます。
会員サイトの入口、外からどう見えていますか
ドメインを入力するだけで、攻撃者が最初に見る入口を無料で点検します。
出典
- 共同通信（熊本日日新聞）「金融庁がアフラックに報告命令 438万人分顧客情報漏えいで」（2026年7月1日）
- ScanNetSecurity「アフラック生命保険に不正アクセス、約438万人の顧客情報が漏えい」（2026年7月1日）
- ScanNetSecurity「アフラック生命保険に不正アクセス、短時間に大量のデータ照会があった際に監視・制御する機能が不足」（2026年8月20日）
※ 本記事は公表された情報と公的統計に基づく一般向けの解説です。攻撃の再現手順は扱いません。各社の最新の発表もあわせてご確認ください。