損保ジャパンの個人情報漏えいの可能性、なぜ大和証券・シチズン時計と同じ委託先だったのか。延べ6万件の内訳を確かめる

まず初めに

大和証券、シチズン時計に続いて、損保ジャパンも同じ委託先のシステムへの不正アクセスを公表した。保険会社の料率表にも、問い合わせ窓口の先までは載っていない。IT Postでは、自社のシステムだけでなく、委託先にどんな情報を預けているかを確認する重要性が伝わる事案だと考える。ただし、今回の発表だけで損保ジャパンの管理過失や漏えいの確定を判断することはできない。※個人の感想です

何が起きているのか

損害保険ジャパンは2026年10月7日、事業者向けドライブレコーダーサービス「SMILING ROAD」の「よくあるご質問・お問い合わせ機能」に関連し、不正アクセスふせいあくせすによる情報漏えいの可能性があると発表しました。不正アクセスを受けたのは、損保ジャパン自身のシステムではなく、問い合わせ対応を委託している株式会社スカラコミュニケーションズ(東京都渋谷区)が運営するFAQシステム「i-ask」のサーバーです。損保ジャパンは、自社システムへの不正アクセスは確認されていないとしています。

対象となるのは、SMILING ROADを導入している企業の従業員らが寄せた問い合わせで、延べ約6万件です。これは問い合わせの件数であり、人数を意味するものではありません。同じ人が複数回問い合わせていれば、その分だけ重複して数えられています。漏えいした可能性がある情報は、氏名、電話番号、住所、勤務先情報などとされています。報道によっては、運転アラートの種別や発生日時といった、サービス利用に関する内容も対象に含まれるとしているものもあります。一方、金融機関の口座番号、クレジットカード情報、マイナンバーカードに関する情報は、今回の対象には含まれていないとされています。

不正アクセスが発生したのは2026年10月2日の夜から10月3日の朝にかけてです。委託先からの連絡を受けて損保ジャパンが把握したのは10月3日で、発表は10月7日でした。この時期には、同じスカラコミュニケーションズのシステムを使っていた大和証券(10月5日発表、最大22万件・約11万人)と、シチズン時計(10月6日発表、約10万人分)が、それぞれ別に不正アクセスを公表しています。*一つの委託先から、こうも次々と別の企業名が出てくると、もぐら叩きを見ている気分になる。*損保ジャパンは、不審な電話やメールで個人情報の確認を求められても応じないよう、利用者に注意を呼びかけています。

なぜ重要なのか

今回の件が注目されるのは、被害企業の業種が広がり続けている点です。証券会社、時計メーカーに続いて、大手損害保険会社まで同じ委託先のシステムを使っていたことが明らかになりました。業種も企業規模もまちまちな複数の企業が、たった一つの問い合わせ管理システムを共有していたという事実は、現代の企業システムが、見えないところで外部のサービスに依存している実態を浮き立たせています。

また、損保ジャパンのような大手金融機関は、個人情報の管理について比較的厳しい基準を求められる業種です。それでも、問い合わせ対応という一見リスクの低そうな業務を外部に委託した先で、情報漏えいの可能性が公表されました。IT Postがこれまで取り上げてきた「企業名×不正アクセス」の事案の中でも、同じ委託先のシステムへの不正アクセスを巡って複数の有名企業の名前が次々と明らかになるという展開は、2026年秋のセキュリティ動向を象徴する事例のひとつです。

私たちへの影響

今回の対象は、SMILING ROADを導入している企業の従業員らが寄せた問い合わせ情報です。一般の消費者が直接の対象になるわけではありませんが、勤務先がSMILING ROADを導入しているドライバーや担当者は、自分の問い合わせ内容が対象に含まれている可能性があります。金融情報やマイナンバー情報は対象外とされていますが、それだけで金銭的被害の可能性を評価することはできません。氏名や電話番号、勤務先情報を使った、損保ジャパンや関連企業を装うなりすまし連絡には注意が必要です。

大和証券やシチズン時計の対象者だった方は、損保ジャパンの対象者とは別の人である可能性が高い点にも注意してください。委託先が同じだからといって、対象者が重複しているとは限りません。自分がどの企業のサービスを通じて影響を受けているかは、それぞれの企業の公式発表を個別に確認する必要があります。

初心者が知っておくべきこと

企業のウェブサイトやサービスにある「お問い合わせ」窓口は、その企業自身が運営しているとは限りません。多くの場合、専門の外部企業が提供するシステムの上で動いています。これを業務委託ぎょうむいたくといいます。委託先のシステムが攻撃を受けると、委託元の企業がいくら自社のセキュリティを固めていても、問い合わせ内容は流出してしまう可能性があります。今回のように、1つの委託先システムの被害が、業種の異なる複数の企業に同時に広がるのは、この業務委託という仕組みの特徴です。

Q. 自分がSMILING ROADを使っている会社に勤めている場合、問い合わせをしていなければ関係ない? A. 出典で確認できた範囲では、今回の対象は実際に問い合わせを行った人の情報です。問い合わせをしたことがなければ、今回の漏えいの対象には基本的に含まれないとみられます。心当たりのある方は、勤務先や損保ジャパンからの案内を確認することをおすすめします。

IT Postの見方――委託先まで、リスクの見積もりに入っているか

IT Postは、今回の件を損保ジャパン単体の不始末として茶化すつもりはない。委託先の管理まで含めてすべてのリスクを自社で完璧に把握するのは、どの企業にとっても簡単な話ではない。

ただ、どうしても拭えない違和感がある。保険というのは、そもそも「何が起きるか分からないリスク」を計算し、料率という形で数字に落とし込む商売だ。だからこそ、IT Postでは、委託先に保存する情報の範囲や、事故時の連絡・対応を含めて備えを確かめることが重要だと考える。今回確認した公式発表は、委託先管理のあり方を検証し、管理強化策と実施時期を決めると説明しており、管理過失が認定されたという意味ではない。IT Postとしては、今回の一件が「委託先のリスクも、自社のリスクとして料率表に組み込む」くらいの教訓として、保険業界自身にも生かされることを期待したい。※個人の感想です

今後どうなりそうか

損保ジャパンは、対象となる利用者への対応を進めるとみられます。発表時点では、不正アクセスの詳しい侵入経路や、完全な被害範囲は明らかにされていません。スカラコミュニケーションズのシステムを巡っては、他にも影響を受けた企業がある可能性があり、今後さらに別の企業からの発表が続く可能性があります。IT Postでは、新しい事実が確認され次第、あらためて取り上げます。