--- title: "三井住友海上のMSコンパスも不正アクセス、約2万3,000件が漏えい。セミナー申込は2023年11月から対象" description: "三井住友海上火災保険は2026年11月9日、中堅・中小企業向け情報提供サイト「MSコンパス」への不正アクセスにより、顧客情報約2万3,000件が漏えいしたと発表した。対象は会員登録者、同社主催セミナーの申込者（対象期間は2023年11月から2026年11月）、問い合わせフォーム利用者で、法人名、法人番号、役職、氏名、メールアドレス、電話番号、売上高、従業員数などが含まれる。同社は11月3日に一部システムのアクセスを制御し、11月6日にサイト全体を一時閉鎖した。クレジットカード情報と口座情報は含まれていない" url: https://itpostjp.com/security/mitsui-sumitomo-ms-compass-unauthorized-access-23000/ category: "セキュリティ" published_at: 2026-11-09T08:35:00Z updated_at: 2026-11-09T08:35:00Z author: "IT Post編集部" editor: "編集長 千田智也" publisher: "IT Post by Rice Studio Lab" language: ja-JP ai_generated: true ai_model: muse-wonder terms: ["セキュリティインシデント", "フィッシング"] --- # 三井住友海上のMSコンパスも不正アクセス、約2万3,000件が漏えい。セミナー申込は2023年11月から対象 IT Post編集部 ＆ 編集長 千田智也 三井住友海上火災保険は2026年11月9日、中堅・中小企業向け情報提供サイト「MSコンパス」への不正アクセスにより、顧客情報約2万3,000件が漏えいしたと発表した。対象は会員登録者、同社主催セミナーの申込者（対象期間は2023年11月から2026年11月）、問い合わせフォーム利用者で、法人名、法人番号、役職、氏名、メールアドレス、電話番号、売上高、従業員数などが含まれる。同社は11月3日に一部システムのアクセスを制御し、11月6日にサイト全体を一時閉鎖した。クレジットカード情報と口座情報は含まれていない ## 30秒で分かる結論 - 三井住友海上火災保険は2026年11月9日、中堅・中小企業向け情報提供サイト「MSコンパス」が不正アクセスを受け、顧客情報の漏えいが判明したと発表しました。漏えい件数は、2026年11月9日9時時点で約2万3,000件です。 - 対象は、MSコンパスに会員登録した顧客（個人・法人）、同サイトで同社主催セミナーに申し込んだ顧客（対象期間は2023年11月から2026年11月）、問い合わせフォームから連絡した顧客です。漏えいした項目には、法人名、法人番号、役職、氏名、メールアドレス、電話番号、業種、本社住所、売上高、従業員数などが含まれます。クレジットカード情報と口座情報は含まれていません。 - 同社は2026年11月2日から3日に不正アクセスを検知し、11月3日に一部システムのアクセスを制御、11月6日にサイト全体を一時閉鎖しました。11月3日以降、外部からの不正アクセスはない、としています。現時点で、漏えいした情報が不正使用された事実は確認されていません。 ## まず初めに 同じ会社から、同じ日に、別の扉が壊れていたと知らされる。利用者にとって一番困るのは「自分の情報は、結局どの扉の向こうにあったのか」が分かりにくいことである。MSコンパスは保険の契約サイトではない。中小企業向けの情報サイトで、セミナーに申し込んだだけの人も対象に入る。契約者だけの話ではない、というのがこの件の入り口だ。 ※個人の感想です ## 何が起きたのか MSコンパスは、三井住友海上が中堅・中小企業向けに運営する情報提供サイトです。経営やリスク管理に関する情報提供のほか、会員登録、同社主催セミナーの申し込み、問い合わせフォームの受け付けを行っていました。 同社の発表によると、2026年11月2日から3日にかけて、MSコンパスへの不正アクセスが検知されました。調査の結果、顧客情報の漏えいが判明したといいます。対応として、11月3日に一部システムへのアクセスを制御し、11月6日にはサイト全体を一時閉鎖しました。同社は「11月3日以降、外部からの不正アクセスはございません」としています。原因と影響範囲については、外部の専門機関とも連携して調査を進めている段階です。 この検知時期（11月2日から3日）は、同社の「ご契約者さま専用ページ」で不正アクセスが見つかった時期と重なりますが、両社は別々の発表でそれぞれを独立した事案として公表しており、同一の攻撃によるものかどうかは公表されていません。本記事でも、関連は断定しません。 ![MSコンパスへの不正アクセス公表内容（2026年11月9日）](/images/articles/mitsui-sumitomo-ms-compass-unauthorized-access-23000-inline-1.webp) ## 対象は「セミナーに申し込んだだけの人」にも広がる 11月9日9時時点で漏えい対象とされているのは、次の3つのいずれかに当てはまる顧客です。 - MSコンパスに会員登録した顧客（個人・法人） - MSコンパスで三井住友海上主催のセミナーに申し込んだ顧客（対象期間は2023年11月から2026年11月） - MSコンパスの問い合わせフォームから連絡した顧客 対象期間が明記されているのはセミナー申込者についてです。会員登録者や問い合わせ利用者に同じ期間がそのまま当てはまるとは公表されていません。 漏えいした情報の項目は、法人名、法人番号、役職、氏名、メールアドレス、電話番号、業種、本社住所、本社以外の住所、売上高、従業員数などです。個人の連絡先に加えて、企業の規模を示す売上高や従業員数まで含まれている点が、このサイトの性質を表しています。クレジットカード情報、口座情報は含まれていない、と同社は明記しています。 実務上の注意点は、対象が「保険契約者」に限らないことです。取引先や勤務先の担当者としてセミナーに申し込んだ人、情報収集のために会員登録した人も対象になり得ます。同社は、対象となる顧客へ準備が整い次第、順次個別に案内するとしていますが、申し込み時のメールアドレスが変わっている場合など、案内が届かない可能性も考えて、公式発表での自己確認が要ります。 ## 他の2件との違い 三井住友海上は、11月6日に「ご契約者さま専用ページ」経由の漏えい（同社分は約3万7,000件）を、11月9日に本件と、委託先PCS経由の漏えい（約22万8,000件）を公表しています。3件は起点が異なります。 | 公表 | 起点 | 件数（公表時点） | 主な対象者 | |---|---|---|---| | 11月6日 | ご契約者さま専用ページ | 約3万7,000件 | 保険契約者 | | 11月9日（本件） | MSコンパス | 約2万3,000件 | 会員・セミナー申込者・問い合わせ利用者 | | 11月9日 | 委託先PCSの受託システム | 約22万8,000件 | 自動車保険の顧客（ロードサービス） | 件数はそれぞれ別の集計であり、単純合計はできません。自分が対象かどうかは、利用したサービスごとに切り分けて判断してください。専用ページの件は本サイトの[契約者専用ページの記事](https://itpostjp.com/security/msad-mitsui-sumitomo-aioi-policyholder-page-leak-481000/)、PCSの件は[委託先PCS経由の漏えいの記事](https://itpostjp.com/security/mitsui-sumitomo-pcs-road-service-leak-228000/)で伝えています。 問い合わせ窓口は、電話 0120-769-542（無料）、平日9時から17時（年末年始・土日祝日を除く）です。同社は、同社を装ったメール、SMS、電話への注意も呼びかけています。企業の担当者を装った連絡では、売上高や従業員数を相手が知っている場合があり得るため、「詳しいから本物」とは判断しないことが重要です。 ## IT Postの見方 IT Postでは、この件で見逃せないのは「情報提供サイト」という、本業の保険契約とは距離のある場所から漏れた点だと考えます。契約システムは守りの厚い場所として意識されやすい。一方、セミナー申込や会員登録を受け付けるサイトは、マーケティングの道具として軽く見られがちです。ですが集まっているのは、法人名、担当者、連絡先に、売上高と従業員数まで付いた「企業の素性の一覧」でした。営業リストとして見れば、これほど出来の良い名簿はなかなかありません。 もう1つは、サイト全体の閉鎖という対応の重さです。一部制御（11月3日）から全体閉鎖（11月6日）へ進めた経緯は、調査の過程で「部分的な対処では足りない」と判断した可能性を示しますが、理由は公表されていません。IT Postでは、件数の大小（約2万3,000件は同社の他の2件より小さい）だけでこの件を軽く扱うべきではないと考えます。対象が「契約者ではない人」に広がる分、個別案内が届きにくい人が混ざるからです。 ## 今後どうなりそうか 今後の確認点は、原因と侵入経路の調査結果、サイトの再開時期、個別案内の進み具合、そして対象範囲の更新の有無です。セミナー申込の対象期間が2023年11月までさかのぼるため、数年前に一度だけ申し込んだ人も確認対象になります。 IT Postでは、新しい公式情報が確認できれば、本記事を更新します。 ## 情報源 「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。 - [MSコンパスへの不正アクセスに伴う情報漏えいについて](https://www.ms-ins.com/news/fy2026/pdf/1109_2.pdf) — 三井住友海上火災保険株式会社（一次情報） - [三井住友海上、ロードサービス委託先への不正アクセスで約22万8,000件の個人情報漏洩、車両情報や事故・故障の受付記録も対象](https://rocket-boys.co.jp/security-measures-lab/msig_pcs_228000_roadside_data_leak_20261109/) — セキュリティ対策Lab ## この記事に出てくるIT用語 - [セキュリティインシデント](https://itpostjp.com/terms/security-incident/): 不正アクセスや情報漏えい、マルウェア感染など、情報セキュリティ上の脅威となる事象全般を指す言葉です。 - [フィッシング](https://itpostjp.com/terms/phishing/): 実在する企業になりすまして、パスワードやカード番号をだまし取る詐欺です。 --- この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。 出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/mitsui-sumitomo-ms-compass-unauthorized-access-23000/