インターネット専業のライフネット生命保険（東京）とKDDIは10月30日、ライフネット生命のシステムのうちKDDIと連携する部分が不正アクセスを受け、KDDIのシステムが持つ顧客情報の一部が外部に漏えいした可能性があると共同で発表した。対象は氏名や郵便番号、電話番号、メールアドレス、会員識別子などの組み合わせで、計2万2541件にのぼる。パスワードやクレジットカード情報、口座情報、運転免許証などの本人確認情報は含まれず、ライフネット生命が持つ保険契約の情報も対象外という。不正アクセスの検知は10月23日で、公表までに1週間かかった。
23日に検知、翌日にKDDIが経路を遮断
発表によると、ライフネット生命が自社システムへの不正アクセスを検知したのは10月23日。同じ日にKDDIへ報告し、被害の拡大を防ぐため、攻撃を受けたとみられる箇所を特定して技術的な防御措置をとった。報告を受けたKDDIは翌24日、ライフネット生命のシステムから自社のシステムへつながるアクセス経路を遮断した。
その後の調査で、悪意を持った第三者がライフネット生命のシステムの一部機能にある脆弱性を突き、そこを通じてKDDI側のシステムが保有する顧客情報の一部を取得した可能性があると分かった。両社は文書でライフネット生命側を「LNシステム」、KDDI側を「Kシステム」と呼び分けている。
被害の範囲について両社は、不正アクセスは「LNシステムからKシステムへの連携の範囲に限定されて」いると説明する。KDDIの通信やサービスの設備、ライフネット生命のほかのシステムには影響がないとしている。
一方で、両社は影響範囲の全容を把握するための調査を続けている。再発防止策もまだ策定の途中で、関係する当局への報告など法令に基づく対応を進めているという。ライフネット生命はこのシステムを使う保険商品「auの生命ほけん」について、申し込みの受け付けを含む一部の機能を「メンテナンスしています」としている。どの当局に、いつ報告したのかは発表に書かれていない。
漏えいの可能性は6通りの組み合わせ
両社が示した漏えいの可能性がある情報は、項目の組み合わせごとに6区分に分かれる。
| 漏えいした可能性のある項目 | 件数 |
|---|---|
| 氏名・郵便番号・電話番号・メールアドレス・会員識別子 | 4,524件 |
| 氏名・郵便番号・電話番号・会員識別子 | 226件 |
| 氏名・郵便番号・メールアドレス・会員識別子 | 8,434件 |
| 氏名・郵便番号・会員識別子 | 3,662件 |
| メールアドレス・会員識別子 | 4,888件 |
| 会員識別子 | 807件 |
6区分を足すと2万2541件になる。項目別にみると、氏名と郵便番号を含むものが1万6846件、メールアドレスを含むものが1万7846件、電話番号を含むものが4750件だった。両社はこのほか、一部の顧客について性別と生年月日も漏えいした可能性があるとしているが、その件数は示していない。
発表の数字は「件」で数えており、何人分にあたるのかは書かれていない。「会員識別子」が具体的に何の番号なのかも、発表では説明されていない。
現時点で、漏えいした可能性がある情報を使った不正利用などの二次被害は確認されていないという。調査は続いており、新たな事実が分かれば改めて報告するとしている。
保険会社のシステムから通信会社の顧客情報
今回の特徴は、漏えいの可能性がある情報の持ち主が、攻撃を受けたライフネット生命ではなくKDDIだという点にある。両社の業務提携で、ライフネット生命のシステムとKDDIのシステムがつながっており、その接点を通じてKDDI側のデータが取得された可能性がある。
両社の関係は2015年にさかのぼる。ライフネット生命の4月30日付の発表によると、同年にKDDIと資本提携契約と業務提携契約を結び、KDDIを引受先とする第三者割当増資を実施した。業務提携の当初から、KDDIの携帯電話「au」の利用者向けに生命保険「auの生命ほけん」を扱ってきた。2019年にはKDDIが持つライフネット生命株を金融持ち株会社のauフィナンシャルホールディングス（auFH）が引き継ぎ、近年はその子会社のauじぶん銀行で住宅ローンを組む人向けに団体信用生命保険も提供している。
資本関係は2026年に入って解消された。auFHは保有していたライフネット生命株1472万6100株（発行済み株式の18.32％）を1株2000円で日本航空（JAL）へ譲渡することで合意し、ライフネット生命は6月18日、譲渡の完了を発表した。JALが新たな主要株主となり、auFHとの資本提携はこの日をもって終わった。
ただし業務提携は形を変えて続いている。ライフネット生命は4月の発表で、KDDIグループとは「資本関係を伴わない自律的な提携」へ移り、「auの生命ほけん」や団体信用生命保険の販売強化を含めて協業を続けると説明していた。今回不正アクセスを受けたのは、この提携のために両社をつなぐシステムだった。ライフネット生命の保有契約は9月末時点で70万9296件（速報値）ある。
法令が求める報告と本人への通知
個人情報保護法は、個人データの漏えいのうち「個人の権利利益を害するおそれが大きいもの」が起きたとき、事業者に個人情報保護委員会への報告と本人への通知を義務づけている（第26条）。対象は施行規則第7条が定めており、要配慮個人情報の漏えい、財産的被害が出るおそれがある漏えい、不正の目的で行われたおそれがある行為による漏えい、本人の数が1000人を超える漏えいの4つで、いずれも「発生したおそれがある」段階で当てはまる。
報告は2段階になっている。施行規則第8条は、事態を知った後に「速やかに」その時点で分かっていることを報告し、事態を知った日から30日以内に、概要・項目・本人の数・原因・再発防止策などをそろえて報告するよう求める。不正アクセスのように不正の目的で行われたおそれがある場合は、この期限が60日以内に延びる。
本人への通知について施行規則第10条は、事態の状況に応じて速やかに、概要や漏えいした項目、原因、二次被害のおそれなどを伝えるよう定めている。両社は今回の発表で、対象となる顧客には「順次、個別にご案内いたします」としている。
両社の発表は、今回の事案がこの4つのどれに当たると判断したのかまでは書いていない。報告は「関係法令などに基づき」進めているとだけ説明している。
不審な連絡に注意、問い合わせはKDDIへ
漏えいの可能性がある情報には電話番号とメールアドレスが含まれる。両社は、対象となったメールアドレスや電話番号に届く不審なメールやSMS、電話に十分注意するよう呼びかけている。KDDIもライフネット生命も、パスワードや暗証番号を尋ねることはないとしている。
氏名とメールアドレス、電話番号がそろうと、本人の名前を書き込んだ偽のメールやSMSを送りやすくなる。情報処理推進機構（IPA）は、漏えいの通知を受けた人に向けて、何が漏れたのかを確かめたうえで対策を選ぶ手順をまとめている（IPA、個人情報が漏れた人向けに対処手順 免許証画像は信用情報機関へ申告を）。10月には、インターネット接続サービス「So-net」でも会員データへの不正アクセスが発表されたばかりだ（So-net会員データに不正アクセス、258万件漏えい メール5.4万件はパスワードも）。
今回の不正アクセスについての問い合わせ先は、KDDIお客さまセンター。au携帯電話からは局番なしの157、一般電話からは0077-7-111で、いずれも無料、受付は午前9時から午後8時まで年中無休。「auの生命ほけん」など保険契約についての問い合わせは、ライフネット生命コンタクトセンター（0120-205-566、無料）が受け付ける。受付は午前9時から午後8時までで、土日祝日と年末年始は休み。