--- title: "TOPPANのドラッグ&ドロップ1回で17万7,426人分が同業他社へ誤送付、損保ジャパン契約者情報はなぜ混入したのか。発表内容を整理する" description: "TOPPANは9月29日、受託業務での操作ミスにより損保ジャパン契約者17万7,426人分の情報を別の損害保険会社に誤送付したと発表。マイナンバーや口座情報は対象外だ" url: https://itpostjp.com/security/toppan-sompo-japan-misdirected-data-177426/ category: "セキュリティ" published_at: 2026-10-02T08:30:00Z updated_at: 2026-10-02T08:30:00Z author: "IT Post編集部" editor: "編集長 千田智也" publisher: "IT Post by Rice Studio Lab" language: ja-JP ai_generated: true ai_model: claude-sonnet-5 --- # TOPPANのドラッグ&ドロップ1回で17万7,426人分が同業他社へ誤送付、損保ジャパン契約者情報はなぜ混入したのか。発表内容を整理する IT Post編集部 ＆ 編集長 千田智也 TOPPANは9月29日、受託業務での操作ミスにより損保ジャパン契約者17万7,426人分の情報を別の損害保険会社に誤送付したと発表。マイナンバーや口座情報は対象外だ ## 30秒で分かる結論 - TOPPANは2026年9月29日、損害保険ジャパンから受託している「保険料控除証明書発行サービス」の運用業務で、同社契約者17万7,426人分のデータを誤って別の損害保険会社に送付していたと発表しました。 - 誤送付されたのはカナ氏名・保険料控除用証券番号・業務IDで、漢字氏名・住所・マイナンバー・クレジットカード情報は対象に含まれていません。 - 原因は、複数の損保会社から同種の業務を受託している担当者が、ファイル添付時のドラッグ&ドロップ操作を誤ったことでした。誤送付先ではデータは既に完全に削除されており、二次被害は確認されていません。 ## まず初めに サイバー攻撃でも、脆弱性でもない。原因はただの「ドラッグ&ドロップの誤操作」だ。17万7,426人分の契約者情報が、マウスをちょっと誤動作させただけで同業他社に渡ってしまったという話で、ハッカーすら出てこない。高度な防御システムをいくら積み上げても、最後の最後で人間がファイルを間違えて放り込めば、あっさり突破されてしまう。これは皮肉というより、むしろ「人間の手作業」というセキュリティ最大の弱点を、あらためて見せつけられた事例だと言えそうだ。※個人の感想です ## 何が起きているのか TOPPANは、複数の損害保険会社から「保険料控除証明書発行サービス」の運用業務を受託しています。これは、契約者が確定申告や年末調整で使う保険料控除証明書を発行する業務です。発表によると、担当者が複数の損保会社向けのデータをそれぞれZIPファイルにまとめて送付する作業の中で、ファイルを添付する際のドラッグ&ドロップ操作を誤り、損害保険ジャパンの契約者データが入ったZIPファイルを、別の損害保険会社向けのZIPファイルの中に混入させてしまいました。 ![書類を描いた挿絵](/images/articles/toppan-sompo-japan-misdirected-data-177426-inline-1.webp) 誤送付が発覚したのは2026年9月1日です。データを受け取った側の損害保険会社が異変に気づき、日本損害保険協会に照会したことで表面化しました。同協会は9月2日にTOPPANへ調査を依頼し、調査の結果、操作ミスによる誤送付であることが判明しました。TOPPANと損害保険ジャパンは2026年9月29日、それぞれ公表しました。対象となったのは損害保険ジャパンの契約者17万7,426人分で、誤送付されたデータはカナ氏名、保険料控除用証券番号、業務IDです。保険料控除用証券番号は損害保険ジャパン独自の識別番号で、これだけで契約内容を照会したり、個人を特定したりすることはできないとされています。漢字氏名、住所、マイナンバー、クレジットカード情報などは対象に含まれていません。誤送付先の損害保険会社では、受け取ったデータを既に完全に削除済みで、現時点で第三者への流出や不正利用は確認されていないとしています。 ## なぜ重要なのか 今回の事例が示すのは、同じ業務委託先が複数の企業の業務を並行して処理している場合、1回の操作ミスで複数企業のデータが混在するリスクがあるという点です。TOPPANのように、複数の損害保険会社から同種の業務をまとめて受託する形態は、業務の効率化という点では合理的ですが、データを取り違えるリスクも、取引先の数に応じて増えることになります。 また、今回漏れた情報自体は氏名(カナのみ)と証券番号という限定的なものでしたが、仮に漢字氏名や住所まで含まれていた場合、被害の実害性はより大きくなっていたと考えられます。企業がどこまでの情報を1つのファイルにまとめて扱うか、という設計自体が被害の大きさを左右することも、今回のケースから読み取れます。 ## 私たちへの影響 対象となったのは損害保険ジャパンの契約者17万7,426人で、漏えいしたのはカナ氏名・保険料控除用証券番号・業務IDに限られます。クレジットカード情報や口座情報、マイナンバーは含まれておらず、証券番号単体から個人の契約内容を照会することもできないとされているため、直接的な金銭被害につながるリスクは低いとみられます。ただし、損害保険ジャパンの契約者である場合、保険料控除証明書に関する連絡が届いていないか確認しておくと安心です。 ## 初心者が知っておくべきこと 企業が外部の委託先に業務を依頼する場合、委託先の担当者が複数の取引先のデータを並行して扱うことは珍しくありません。こうした環境では、「ファイルを選択」のような明示的な操作に比べて、ドラッグ&ドロップのような直感的な操作は、誤った場所にファイルを動かしてしまうミスが起きやすいという特性があります。重要な個人情報を取り扱う業務では、操作手順そのものを、ミスが起きにくい形に設計することが、システムの脆弱性対策と同じくらい重要です。 ## IT Postの見方 IT Postでは、今回の事例が、サイバー攻撃への対策ばかりに目が向きがちな個人情報保護の議論において、「人間の操作ミス」という、地味だが現実的なリスクへの対策が後回しにされやすい現状を映し出していると考えます。ランサムウェアや不正アクセスのニュースが相次ぐ中、こうした初歩的なヒューマンエラーが17万人規模の情報を動かしてしまう事実は、企業のセキュリティ投資が、技術的な防御に偏りすぎていないかを見直す材料になるはずです。業務委託が一般化した今、委託先の「操作ルール」そのものの質も、委託元が確認すべき項目に含めるべきではないかというのがIT Postの見方です。※個人の感想です ## 今後どうなりそうか TOPPANは再発防止策として、ファイルを添付する際の操作方法を「ファイルを選択」する方式に統一するとしています。損害保険ジャパンは対象となった契約者への対応を進めるとみられます。IT Postでは、他の委託元企業への影響や、業界全体の対応状況について、新たな発表があれば取り上げます。 ## 情報源 - [当社受託業務における個人情報の誤送付について](https://www.holdings.toppan.com/ja/info/toppan_info20260929.pdf) — TOPPANホールディングス（一次情報） - [お客様情報の誤送付に関するお詫びとお知らせ](https://www.sompo-japan.co.jp/-/media/SJNK/files/news/2026/20260929_1.pdf?la=ja-JP) — 損害保険ジャパン（一次情報） - [ドラッグ＆ドロップ操作ミスで……TOPPAN、損保ジャパン契約者17万人分のデータを他社に誤送付](https://www.itmedia.co.jp/news/article/2609/30/2000001870/) — ITmedia NEWS --- この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。 出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/toppan-sompo-japan-misdirected-data-177426/