あいおいニッセイ同和損害保険は2026年11月6日、契約者向けの「ご契約者さま専用ページ」への不正アクセスで、約44.4万件の顧客情報が漏えいしたと公表しました。漏えいしたのは保険証券番号・氏名・住所・電話番号・メールアドレスなどで、一部の顧客ではカード番号の下4桁や口座番号の一部も含まれているとの発表です。前半では、何が漏れたのか、本物の問い合わせ窓口はどれか、止まった手続きや事故の連絡をどこで受けるかを公式発表から整理します。後半は開発者向けに、会員ページの応答に全桁のカード番号や口座番号が出ていないかを調べる検査コードを、実行結果つきで示します。
まとめ：あいおいニッセイ同和の漏えい44.4万件の中身と、契約者が今日やること
あいおいニッセイ同和のニュースリリースによると、11月2日の夜間にご契約者さま専用ページへの不正アクセスを検知し、翌3日の深夜に関連サービスを止めました。その後の影響調査で漏えいを確認しています。件数は11月6日9時時点で約44.4万件です。専用ページはネットワークから切り離しており、停止後の外部からの不正アクセスはないとしています。漏えいした情報が不正に使われた事実は、現時点で確認されていません。
契約者が今日やることは2つです。あいおいニッセイ同和を名乗るメール・SMS・電話のリンクを開かないこと、そして事故の連絡や手続きは電話か代理店で済ませることです。保険証券番号と氏名と電話番号がそろって漏れたため、契約内容を言い当てる偽の連絡が成り立ちやすくなっています。
| 項目 | 公表内容（2026年11月6日時点） |
|---|---|
| 対象 | ご契約者さま専用ページの登録者 |
| 検知と停止 | 11月2日夜間に検知・3日深夜に停止 |
| 漏えい件数 | 約44.4万件（6日9時時点） |
| 主な項目 | 証券番号・氏名・住所・電話・メール |
| カードの情報 | 名義人と番号下4桁（3件） |
| 口座の情報 | 名義・金融機関・番号の一部（19件） |
| 問い合わせ | 0120-705-101（無料） |
あいおいニッセイ同和の契約者が確かめること：漏えい項目、窓口、事故の連絡先
カード番号は下4桁だけ、口座番号は下3桁を伏せた形で漏えいした
漏えいした項目は、保険証券番号、氏名、住所、電話番号、メールアドレス、専用ページIDです。客ごとに該当する項目は違い、全員の全項目が漏れたわけではありません。病歴などの要配慮個人情報は含まれていないとしています。
決済の情報は件数が少なく、クレジットカードの名義人とカード番号の下4桁が3件、口座名義人・金融機関名・口座番号の一部が19件です。カード番号は下4桁以外が、口座番号は下3桁が伏せられた形で保存されていたため、カード番号の全桁、セキュリティコード、口座の暗証番号、ネットバンキングの認証情報は漏れていません。カードの再発行が必要になる形ではありませんが、「カードが不正利用されたので番号を確認したい」と言ってくる連絡には応じないでください。
問い合わせ窓口0120-705-101の受付時間と、個別の案内を待つ間の注意
あいおいニッセイ同和の問い合わせ窓口は0120-705-101（無料）です。受付は11月6日が9時から18時、7日と8日の土日が9時から17時、9日以降は平日の9時から17時で、年末年始と土日祝日は休みです。対象の顧客には、準備が整いしだい順に個別の案内を送るとしています。11月6日時点で、対象かどうかを自分で調べるページはありません。
同社は、自社を装ったメール・SMS・電話に注意し、記載のリンクを開かない、添付ファイルを開かない、パスワードやクレジットカード情報を入力しないよう求めています。個別の案内を装った連絡が先に届くおそれがあるので、届いた連絡に書かれた番号ではなく、上の番号に自分からかけて確かめてください。偽の連絡が成り立つ仕組みはフィッシング詐欺の成立の仕組みと技術的対策で解説しています。専用ページと同じパスワードをほかのサービスで使っているなら、ほかのサービス側を先に変えておくと安全です。漏れたIDで別サービスへのログインを試す手口はパスワードリスト攻撃の検知と漏えい照合にまとめました。
専用ページが止まっている間の事故連絡は24時間の電話窓口で受ける
サービスの一時停止のお知らせによると、11月6日12時時点で止まっているのは、ご契約者さま専用ページ（契約内容の確認、各種手続き、事故サービス）、ワンデーサポーター、eとらべる海外旅行保険、Myエージェント、法人お客さまWebサービス、e－G1、ウェブサイトからの事故の連絡です。契約の変更や加入・更新は、電話・書面・担当代理店・営業課支社で受ける場合があります。
事故の連絡は、自動車保険（タフ・クルマの保険など）が0120-024-024、タフ・つながるクルマの保険が0120-907-995、火災・傷害・新種保険が0120-985-024で、いずれも無料・24時間365日受け付けています。海外旅行保険は滞在国ごとの無料番号があり、日本国内からは0120-853-024です。11月6日には別に、タフ・つながるクルマの保険のお客さまサイトとアプリのログインも、セキュリティ強化のための緊急メンテナンスで止まりました。11月15日18時から16日7時までは、保険料請求内容照会など6つのWeb手続きが計画メンテナンスで止まると別のお知らせで案内されています。
MS&ADグループ4社の公表を並べる：三井住友海上・生命・三井ダイレクトの件数
同じ日に、MS&ADインシュアランス グループの4社が漏えいを公表し、MS&ADホールディングスのお知らせが4社の発表をまとめています。公表値を並べると次のとおりです。
| 会社 | 件数（11月6日時点） | 問い合わせ |
|---|---|---|
| あいおいニッセイ同和損保 | 約44.4万件 | 0120-705-101 |
| 三井住友海上 | 約3.7万件 | 0120-560-559 |
| 三井住友海上あいおい生命 | 約5,300件 | 0120-321-993 |
| 三井ダイレクト損保 | 最大23.4万件 | 0120-312-770 |
足し合わせると約72万件です。ただし三井ダイレクトの件数は最大値で、確定値は続報で変わる場合があります。
三井住友海上は同じ専用ページで検知、カード情報と口座情報は含まない
三井住友海上のニュースリリースは、あいおいニッセイ同和と同じく11月2日の夜間に自社のご契約者さま専用ページへの不正アクセスを検知し、3日の深夜に止めたと書いています。漏えいは約3.7万件で、項目は保険証券番号・氏名・住所・電話番号・メールアドレスなどです。クレジットカード情報と口座情報は含まれていません。同社は専用ページのほか、1DAY保険や@とらべるなど12のサービスを止めており、代わりの手続き先を一時停止のお知らせの別紙に載せています。2社の専用ページが同じ基盤で動いているかどうかは、公表されていません。
生命保険の顧客は、損保の専用ページに契約を表示させていた人が対象
三井住友海上あいおい生命の発表によると、漏えいした約5,300件は、損保2社のご契約者さま専用ページに自分の生命保険の契約を表示するよう設定していた顧客です。項目は保険証券番号・氏名・生年月日・メールアドレスなどで、口座情報・カード情報・要配慮個人情報は含みません。生命保険会社のシステムが直接狙われたのではなく、損保のページに集めた表示から漏れた形です。
三井ダイレクト損保の発表は、11月4日の早朝に自社のWebサイトへの不正アクセスを検知し、Webサイトとアプリの手続きをすべて止めたとしています。漏えいは最大23.4万件で、契約者と記名被保険者の氏名・住所・生年月日、車名や登録番号などの車両情報、補償内容が含まれます。カード番号・口座番号とマイページのパスワードは漏れていません。損保2社の専用ページとの関係は示されていません。
個人情報保護委員会への確報の期限から見た、原因と侵入経路の続報の時期
原因と影響範囲は、各社とも外部の専門機関によるフォレンジック調査で調べている最中です。個人情報保護委員会の漏えい等の対応ページは、速報を知った日から3〜5日以内、確報を30日以内とし、不正の目的によるおそれがある漏えいは確報を60日以内としています。11月2日を起点にすると、確報の期限は2027年1月上旬です。原因と侵入経路は、遅くともそのころまでに続報で出る見込みです。報告に書く内容は個人情報保護委員会への報告義務の実務で整理しました。
開発側の作業：会員ページの応答に全桁の決済情報が出ていないかをPythonで調べる
カード番号を下4桁しか持たない設計が、漏えいの被害を小さくした仕組み
侵入経路は未公表なので、ここからはあいおいニッセイ同和の事案を離れた一般論です。今回の発表で開発側が読み取れるのは、カード番号と口座番号が伏せた形で保存されていたため、漏れても決済には使えなかった点です。画面に出すための値を、元の値とは別に伏せた形で持っておけば、画面の裏のAPIが読まれても全桁は外に出ません。
OWASP API Security Top 10 2023のAPI3は、APIが画面に要らない項目まで返してしまう弱点を「Broken Object Property Level Authorization」として挙げています。会員ページのAPIは、画面に出す項目だけを返す設計にし、それが守られているかを応答から確かめるのが確実です。生命保険の顧客が損保のページ経由で巻き込まれたように、1つの画面に他社や他部門の情報を集めるほど、その入口が破られたときの範囲は広がります。集めた表示についても、返す項目を絞っておく必要があります。
応答の控えから全桁のカード番号と口座番号を探し、項目ごとに数える検査
次のコードは標準ライブラリだけで動きます。会員ページのAPIが返した応答の控え（1行1件のJSON）を読み、伏せられていないカード番号と口座番号を見つけて出し、顧客ごとに外へ出た項目を数えます。応答の控えをどこまで残すかは、OWASPのLogging Cheat Sheetが勧めるとおり、カード番号などをログに残さない前提で、検査用の環境で取ってください。
# 会員ページAPIの応答を検査し、(1)全桁のカード番号・口座番号が出ていないか (2)顧客ごとに外へ出た項目を数える
# Python 3.8以上・標準ライブラリのみ。使い方: python exposure_audit.py
import json
import re
from collections import Counter
# 会員ページAPIが返した応答の控え（1行1件のJSON。実運用ではログ基盤から抜き出す）
RESPONSES = """
{"customer":"P0001","body":{"policy_no":"A12-345678","name":"山田 太郎","tel":"090-0000-0001"}}
{"customer":"P0002","body":{"policy_no":"A12-345679","name":"佐藤 花子","card_holder":"HANAKO SATO","card_no":"************1111"}}
{"customer":"P0003","body":{"policy_no":"A12-345680","name":"鈴木 一郎","bank":"例示銀行","account_no":"1234***"}}
{"customer":"P0004","body":{"policy_no":"A12-345681","name":"高橋 次郎","card_no":"4111111111111111"}}
{"customer":"P0005","body":{"policy_no":"A12-345682","name":"田中 三郎","account_no":"7654321"}}
"""
def luhn_ok(digits):
# カード番号の検査数字（Luhn）が合うか
total = 0
for i, ch in enumerate(reversed(digits)):
n = int(ch)
if i % 2 == 1:
n = n * 2 - 9 if n * 2 > 9 else n * 2
total += n
return total % 10 == 0
PAN = re.compile(r"^\d{13,19}$") # マスクされていないカード番号の形
ACCOUNT = re.compile(r"^\d{7}$") # マスクされていない口座番号（7桁）の形
items = Counter()
for line in RESPONSES.strip().splitlines():
r = json.loads(line)
for key, value in r["body"].items():
items[key] += 1
v = str(value).replace("-", "").replace(" ", "")
if key == "card_no" and PAN.match(v) and luhn_ok(v):
print("[FULL-PAN ]", r["customer"], "card_no is not masked")
if key == "account_no" and ACCOUNT.match(v):
print("[FULL-ACCT]", r["customer"], "account_no is not masked")
print("[items ]", dict(items))Python 3.14.10（Windows）で実行した結果です。
$ python exposure_audit.py
[FULL-PAN ] P0004 card_no is not masked
[FULL-ACCT] P0005 account_no is not masked
[items ] {'policy_no': 5, 'name': 5, 'tel': 1, 'card_holder': 1, 'card_no': 2, 'bank': 1, 'account_no': 2}P0002は下4桁だけ、P0003は末尾を伏せた口座番号なので何も出ません。P0004は16桁がそのまま返り、検査数字も合うため、本物のカード番号として出ています（番号は国際ブランドが公開しているテスト用の番号です）。P0005は7桁の口座番号がそのまま返っています。この2行が出たら、APIか保存の段階で伏せる処理が抜けています。最後の行は、項目ごとに何人分が外へ出たかの集計です。あいおいニッセイ同和の発表がカードの情報を3件、口座の情報を19件と項目別に書いているように、漏えい時には顧客ごとに該当項目が違います。この集計を平時から取れるようにしておくと、個別の案内と報告の準備が早く進みます。
本番では、検査で出た行は1件でも直す対象です。根本の対策は、全桁の値を返すAPIそのものを無くし、決済の番号は決済代行会社のトークンに置き換えて自社では持たないことです。認可とレート制限の実装はAPI不正アクセス対策の実装手順で、侵入が分かったあとにログイン中のセッションをまとめて切る実装はセッションハイジャックと全セッション失効の実装で扱っています。
事業者の判断：契約者ポータルに他社の情報を集める企業が診断を入れる条件
グループ会社の契約を1つの画面に集めるなら、入口の点検を年1回
保険・金融・通信のように、1人の顧客の契約を複数の会社や部門から集めて1つの画面に出すサービスは増えています。顧客には便利ですが、その画面が破られると、集めた分だけ漏えいの範囲が広がります。今回も生命保険会社は、自社のシステムではなく損保の専用ページから約5,300件を失いました。
次の3つのどれかに当てはまるなら、外部の脆弱性診断と、APIが返す項目の点検を年1回入れるべきです。他社や他部門のデータを表示する会員ページがあること、APIの応答に画面で使わない項目が混ざっていないかを確かめていないこと、カード番号や口座番号を全桁のまま自社のデータベースに持っていることです。逆に、決済を外部の代行会社に任せ、会員ページに出すのが自社の契約だけなら、まずは管理画面の公開範囲とソフトウェアの更新の棚卸しを先に済ませれば足ります。診断の種類と費用は脆弱性診断の種類・費用相場と外注の判断基準、企業として点検する範囲は不正アクセス対策の点検手順で解説しています。
会員ページやアプリのAPIが余計な項目を返していないかを第三者に確かめてもらいたいなら、脆弱性診断・セキュリティ診断で相談できます。
よくある質問
あいおいニッセイ同和の不正アクセスについて、契約者から出やすい質問をまとめました。
あいおいニッセイ同和の漏えいで自分が対象か確かめる方法はありますか？
11月6日時点で、対象かどうかを自分で調べるページはありません。あいおいニッセイ同和は、対象の顧客に準備が整いしだい順に個別の案内を送るとしています。対象はご契約者さま専用ページに登録していた顧客です。不安なときは、届いた連絡に書かれた番号ではなく、0120-705-101に自分からかけて確かめてください。
クレジットカードを止めたり口座を変えたりする必要はありますか？
漏えいしたカードの情報は名義人と番号の下4桁で3件、口座の情報は番号の下3桁を伏せた形で19件です。カード番号の全桁・セキュリティコード・口座の暗証番号・ネットバンキングの認証情報は漏れていないとしています。カードや口座を止める必要は公表上ありませんが、利用明細に覚えのない請求がないかは見ておいてください。
事故にあったとき、専用ページが使えない間はどこに連絡すればいいですか？
自動車保険（タフ・クルマの保険など）は0120-024-024、タフ・つながるクルマの保険は0120-907-995、火災・傷害・新種保険は0120-985-024に電話してください。いずれも無料・24時間365日の受付です。取扱代理店に連絡する方法もあります。ウェブサイトからの事故の連絡は止まっています。
三井住友海上や三井ダイレクトの契約も対象ですか？
各社がそれぞれ公表しています。三井住友海上は約3.7万件（問い合わせ0120-560-559）、三井住友海上あいおい生命は約5,300件（0120-321-993）、三井ダイレクト損保は最大23.4万件（0120-312-770）です。複数の会社と契約している人は、会社ごとの窓口で確かめてください。
専用ページはいつから使えるようになりますか？
11月6日12時時点の公表では、再開の時期は示されていません。対象サービスの追加・変更・復旧は、あいおいニッセイ同和のオフィシャルサイトで知らせるとしています。再開を知らせるメールやSMSに書かれたリンクからログインせず、公式サイトから入ってください。
関連記事
- ドコモ不正アクセス：最大30万件の流出項目とMy docomo停止の経過、偽連絡の見分け方：同じ週に公表された契約者ポータルへの不正アクセス
- プレステージ・インターナショナル不正アクセス：最大550万件・日産FSと損保ジャパンの対象確認とカード番号3件・認証失効の設計：損保の顧客が委託先経由で巻き込まれた事案
- SMBCコンシューマーファイナンスの情報漏洩：最大32万人の対象確認と保証会社に集まる情報：同時期の金融系の漏えい
- スカラコミュニケーションズの不正アクセスと最大71万件：管理サイトから他社へ広げない設計：1つの入口から複数社の情報が漏れる構造
- 個人情報保護委員会への報告義務｜対象4類型・速報3〜5日と確報30日の実務：漏えい時に事業者が報告する内容と期限
