三井住友海上約3万7000件と決済情報の非対象を分ける

当事者の説明

11月2日夜に不正アクセスを検知し、翌3日深夜に関連サービスを停止

三井住友海上は、11月2日夜に『ご契約者さま専用ページ』への不正アクセスを検知し、翌3日深夜に、顧客情報の保護と影響調査のため関連サービスを停止したと説明しています。その後の影響調査で、登録者情報の漏えいが起きたことを確認しました。

同社は対象ページをネットワーク環境から切り離したため、サービス停止後の外部からの不正アクセスはないと説明しています。これは切り離し後の範囲に関する会社の説明であり、停止前の侵入経路、取得期間、アクセス回数、取得者の行動がすべて確定したという意味ではありません。

• 資料 01三井住友海上火災保険株式会社：当社システムへの不正アクセスに伴う情報漏えいについて

当事者の説明

11月6日午前9時時点で専用ページ登録者の約3万7000件

漏えい対象は『ご契約者さま専用ページ』に登録されている顧客で、件数は2026年11月6日午前9時時点で約37,000件です。対象項目として保険証券番号、氏名、住所、電話番号、メールアドレスなどが示されています。『など』の全項目は公表資料では列挙されていません。

約37,000件は発表時点の概数であり、契約件数、顧客の確定人数、不正使用件数と同じとは限りません。同社は対象者へ準備が整い次第、順次個別に案内するとしています。個人ごとの対象項目や通知方法、通知完了時期は公表資料から確定できません。

• 資料 01三井住友海上火災保険株式会社：当社システムへの不正アクセスに伴う情報漏えいについて

当事者の説明

クレジットカード情報と口座情報は含まれないと説明

同社は、漏えいした顧客情報にクレジットカード情報と口座情報は含まれていないと説明しています。保険証券番号や連絡先が対象であっても、カード番号や銀行口座まで漏えいしたという発表ではありません。対象外の情報を含むとする断定には別の根拠が必要です。

一方、保険証券番号、氏名、住所、電話番号、メールアドレスは、契約者を装う連絡に悪用される可能性があります。同社は、同社を装ったメール、SMS、電話のリンク、添付ファイル、パスワードやカード情報の入力に注意するよう呼びかけています。

• 資料 01三井住友海上火災保険株式会社：当社システムへの不正アクセスに伴う情報漏えいについて

未確認の点

侵入原因、最終件数、個別項目、全サービスの影響、二次被害は未確認

2026年11月8日の確認時点で、侵入方法、認証情報の取得経路、不正アクセスの開始時刻、約37,000件の確定値、個人ごとの項目、『など』に含まれる全項目、関連サービスごとの停止・再開状況、フォレンジック調査の完了時期は公表資料だけでは確定できません。

同社は11月6日時点で漏えい情報が不正使用された事実を確認していないと説明しています。これは今後の悪用が起きないことを保証するものではなく、JBJも専用ページ、アクセス記録、漏えいデータ、通知を独立確認していません。一方、カードや口座情報が含まれたとする根拠もありません。

• 資料 01三井住友海上火災保険株式会社：当社システムへの不正アクセスに伴う情報漏えいについて

確認の範囲

このコラムの確認範囲

本稿は2026年11月8日に、三井住友海上の11月6日付公式PDFとIPAの10月26日付対処案内を確認しました。JBJは同社、契約者、調査機関、関係当局へ直接取材しておらず、専用ページ、侵入経路、アクセス記録、漏えいデータ、通知、不正使用を独立確認していません。掲載画像は説明用イメージです。

• 資料 01三井住友海上火災保険株式会社：当社システムへの不正アクセスに伴う情報漏えいについて
• 資料 02独立行政法人情報処理推進機構：自分の個人情報等が漏えいした際の『対処』と『日頃の対策』

JBJの見解

証券番号を含む通知を公式窓口で照合し、決済情報へ範囲を広げない

契約者情報の漏えいが確認された以上、会社には、原因、影響範囲、停止・再開の判断、個別通知、再発防止を継続して説明する責任があります。正当な説明要求と、約37,000件を被害人数や不正使用件数と決めつけたり、対象外とされたカード・口座情報へ範囲を広げたりすることは分ける必要があります。

契約者は、専用ページの登録時期、保険証券番号、会社からの通知、利用できなかった手続き、不審な連絡の日時を整理します。通知に記載されたリンクや電話番号だけを使わず、保険証券や公式サイトの窓口と照合してください。IPAも、漏えい項目を確認し、不審な連絡のリンクを開かないよう案内しています。

• 資料 01三井住友海上火災保険株式会社：当社システムへの不正アクセスに伴う情報漏えいについて
• 資料 02独立行政法人情報処理推進機構：自分の個人情報等が漏えいした際の『対処』と『日頃の対策』