三井住友海上火災保険とあいおいニッセイ同和損害保険は11月4日、自社のシステムが2日に不正アクセスを受けたと発表した。両社は3日から契約者向けの専用ページなど複数のサービスを止めており、再開時期は未定である。

概要

両社は、第三者による不正アクセスを検知し、予防的にサービスを停止した。現時点で個人情報の流出は確認されていない。

三井住友海上とあいおいニッセイ同和損保は11月3日に不審なアクセスの検知を公表し、4日に内容を更新した。両社の発表によると、時系列は次のとおり。

11月2日。両社は第三者からの不正アクセスを検知した。

11月3日。両社は情報流出を未然に防ぐため、保険契約者向けのサイトを停止した。三井住友海上とあいおいニッセイ同和損保は、この日付でそれぞれ停止の案内を掲載している。

11月4日。三井住友海上は告知内容を更新した。更新では、同日8時時点で停止中のサービスを示した。

侵入経路や原因は、発表では示されていない。11月4日付の三井住友海上の告知にも、侵入経路や被害人数、復旧予定日時の記載はないという。

被害・影響の範囲

漏えいした情報の項目や件数は、公表されていない。両社は個人情報の流出の有無を含め、影響を調査中としている。二次被害の報告も、確認できた範囲では出ていない。

三井住友海上で11月4日8時時点に停止しているのは、次のサービスである。ご契約者さま専用ページ（専用ページから移る一部のシステムにも影響）、1DAY保険、ネットde保険の3商品（@とらべる、@ごるふ、@さいくる）、Myエージェント、防災アラート、法人お客さまWebサービス、e-G1。

あいおいニッセイ同和損保でも、ご契約者さま専用ページなどが停止している。同社の個別の停止対象は、公式サイトで確認されたい。

加入申し込みや保険金請求の相談は、本社の事故受付センターや保険代理店への電話やメールで、従来どおり可能とされる。

企業・団体の対応

両社は、停止の目的を顧客情報の保護、被害の拡大防止、影響の調査としている。

両社は、今後ほかのサービスも停止する可能性があるとしている。対象の追加や復旧は、公式サイトで知らせるという。

警察や個人情報保護委員会への届出、外部専門機関による調査の有無は、確認できた範囲では公表されていない。

編集部コメント（読者企業が取るべき対策）

今回の事案では、被害の全容が分からない段階で、顧客向けサービスを早期に止める判断がなされた。読者企業も、停止の判断基準と代替の連絡手段を事前に決めておく必要がある。

停止判断の基準づくり
不審なアクセスを検知した際に、どの段階でどのサービスを止めるかを文書で定めておく。判断者と連絡経路も明確にし、夜間や休日にも動ける体制にする。

代替窓口の確保
Web手続きが止まっても、電話やメールで受け付ける窓口を維持できるようにする。窓口の案内文は、あらかじめ用意しておく。

顧客向けサービスの棚卸し
契約者向けページやアプリ、短期商品の申込サイトなど、外部に公開しているサービスを洗い出す。サービス同士の連携関係も整理する。専用ページから別システムへ遷移する構成では、停止の影響が広がりやすい。

ログの保全と監視
認証ログやアクセスログを十分な期間保存し、異常を検知できる状態にする。流出の有無を調べる際には、ログが判断の根拠になる。

情報発信の準備
停止の事実、確認できたこと、調査中の事項を分けて顧客に伝えられるよう、広報の手順を整える。更新のたびに停止対象を明記すると、利用者の混乱を減らせる。

なお、侵入経路、情報流出の有無、影響範囲、サービスの再開時期は現在調査中とされている。今後の続報に注意されたい。

出典

• 三井住友海上 オフィシャルサイト（お知らせ一覧）
• あいおいニッセイ同和損保 オフィシャルサイト
• 日本経済新聞
• 時事通信（Yahoo!ニュース）
• 株式会社アクト

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから