住友生命が委託先NTTデータの不正アクセスで約8万人の個人情報漏えいを発表｜サイバーセキュリティ.com

  1. ホーム /
  2. サイバーセキュリティ・情報漏洩ニュース /
  3. 住友生命が委託先NTTデータの不正アクセスで約8万人の個人情報漏えいを発表
             

住友生命が委託先NTTデータの不正アクセスで約8万人の個人情報漏えいを発表



住友生命保険は11月9日、およそ8万人分の顧客情報が漏えいしたと発表した。保険契約のない健康プログラム単独利用者が対象で、約1,000人分にはクレジットカード番号の一部も含まれる。

概要

システム構築・運用を受託するNTTデータのサービスで第三者による不正アクセスが起き、住友生命の健康増進プログラム「Vitality」の単独利用者の個人情報が外部に漏えいした。対象者は保険契約をせずに同プログラムを利用している人で、過去の利用者も含まれる。

NTTデータの発表によると、時系列は次のとおり。

NTTデータは、住友生命から構築・運用を受託している「Vitality体験版・企業型」「Vitalityスマート（福利厚生タイプ含む）」の申込みに係るサービスで不正アクセスが発生したとしている。

11月2日、NTTデータは当該サービスへの第三者による不正アクセスを確認した。調査の結果、登録されている一部利用者の個人情報が外部に漏えいしたことが判明したとされる。

11月3日、当該サービスへの外部からのアクセスを遮断し、サービスを一時停止した。

不正アクセスの原因や詳細な経緯は、引き続き調査中としている。侵入経路や攻撃手法は公表されていない。

住友生命は11月9日に件数などを公表した。住友生命自身のリリースは、今回の検索では確認できなかった。件数と報道内容は日本経済新聞、NHK、時事系の報道によるもので、NTTデータの発表とは別に確認した。

被害・影響の範囲

漏えいした情報は、氏名、住所、電話番号などである。追加の項目や内訳の詳細は、確認できた範囲では公表されていない。

約1,000人分はクレジットカード番号が漏えいしており、一部はマスキング済みとされる。

NTTデータの発表では、保険契約や保険契約に付随するVitality、Vitality健康プログラムの利用による歩数等のデータは、漏えいした情報に含まれない。

現時点で、本件に関する不正利用は確認されていないという。

対象は、体験版・企業型やVitalityスマートを現在利用中か、過去に利用した人である。企業の福利厚生として導入された利用者も含まれる。住友生命以外の組織への影響は、確認できた範囲では公表されていない。

NTTデータは10月31日以降、委託先Securitize JapanのSaaSへの不正アクセスに関する別の事案も公表している。この事案では社債購入者などの個人情報の一部が漏えいした。今回の事案との関連は、確認できた範囲では示されていない。

企業・団体の対応

NTTデータは、個人情報が漏えいした利用者や関係者に深くお詫びするとしている。

利用者には、NTTデータや住友生命を装った不審な電話、メール、郵便物に注意するよう呼びかけている。パスワードやクレジットカード情報などを開示しないよう求めている。

NTTデータは現在、住友生命と連携して原因の確認や再発防止策の検討を進めている。

技術的な措置としては、外部からのアクセス遮断とサービスの一時停止を実施した。日本経済新聞は、関連サービスの申し込みが停止されたと報じている。

警察や個人情報保護委員会への届出、対象者への個別連絡の方法は、確認できた範囲では公表されていない。

編集部コメント（読者企業が取るべき対策）

委託先のシステムが侵害されると、自社の顧客情報が漏えいし、自社が公表する立場になる。クレジットカード情報のように悪用リスクの高い情報では、保有の要否が被害規模を左右する。今回の事案を参考に、委託先を含めた管理体制を点検したい。

委託先での保管情報の棚卸し
委託先に預けている個人情報の項目と件数を一覧にする。特にカード番号など決済関連情報は、保管の必要性を確認する。不要な情報は削除や匿名化を依頼する。

委託先への確認事項の整理
委託先のアクセス制御、ログの保管、侵害時の報告期限を確認する。契約書に、検知から報告までの時間と連絡窓口を明記する。過去の利用者の情報がいつまで残るかも確認する。

フィッシング対策と利用者への注意喚起
漏えいした氏名、住所、電話番号は、なりすましの電話やメールに使われるおそれがある。自社の連絡手段と正規の問い合わせ窓口を、利用者へ事前に示す。カード情報を含む場合は、カード会社と連携した対応も検討する。

委託先管理の見直しと再委託の把握
委託先の先にある再委託先やSaaSまで、情報の流れを把握する。外部サービスの利用状況を定期的に棚卸しする。委託先で事案が起きた場合の初動手順も、あらかじめ決めておく。

福利厚生などで導入した外部サービスの確認
従業員向けに外部の健康プログラムを導入している企業は、提供元に影響の有無を確認する。従業員への案内文面と問い合わせ窓口を準備する。対象者への周知方法は、提供元と調整しておく。

なお、不正アクセスの原因や詳細な経緯は現在調査中とされている。今後の続報に注意されたい。

出典

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。