― 公開情報から考える「発覚の経緯」と防御の視点 ―
現時点で分かっていることは「第三者による不正アクセスがあった」という事実だけのようです。
逆に言えば、
- どのように侵入したのか
- ソフトウェアの脆弱性が悪用されたのか
- 人を騙すソーシャルエンジニアリングだったのか
- どの犯罪グループによる犯行なのか
こうした点は、現時点では公表されていません。
したがって、現段階で攻撃者を特定したり、「このグループに違いない」と断定したりすることは、憶測の域を超えません。
サイバー攻撃が発生すると、私たちはつい「犯人は誰なのか」という点に注目しがちです。
もちろん、それは捜査機関や専門家にとっては重要なテーマです。しかし、私たち一般利用者にとって、それ以上に重要なのは「同じような攻撃からどう身を守るか」という視点ではないかと思います。
その意味で参考になるのが、2025年に米国のアフラックで発生したサイバー攻撃です。
米国法人もサイバー攻撃を受けましたが、調査の初期段階から「ソーシャルエンジニアリングによる侵入の可能性」が公表されました。また、複数の海外報道では、保険会社を狙った一連の攻撃との関連や、Scattered Spider（スキャタード・スパイダー）と呼ばれるサイバー犯罪グループとの類似性が指摘されています。
ただし、ここでも注意すべき点があります。
アフラック自身は、Scattered Spiderによる犯行であるとは公式に断定していません。あくまで「高度なサイバー犯罪グループ」と説明しており、Scattered Spiderとの関連は報道や専門家による分析に基づくものです。
日本法人の事案については、さらに情報が限られており、米国法人と同一グループによる攻撃であると結論付けることはできません。
しかし、米国事案から学べることはあります。
近年のサイバー攻撃では、未知の脆弱性を悪用する高度な技術だけではなく、「人」を狙う攻撃が急速に増えています。
社員になりすました電話、偽のログイン画面、SMSを悪用した認証情報の窃取など、人間の心理や業務手順の隙を突く攻撃です。
このような攻撃は、大企業だけの問題ではありません。
私たち一人ひとりも、
- 不審なメールやSMSを安易に信用しない
- パスワードを使い回さない
- 多要素認証を利用する
- OSやソフトウェアを常に最新の状態に保つ
- 「急がせる」「焦らせる」連絡ほど一度立ち止まって確認する
といった基本的な対策を積み重ねることが、被害の防止や被害の限定につながります。
サイバー攻撃は、これからもなくなることはないでしょう。
だからこそ重要なのは、犯人探しだけで終わるのではなく、「この事件から何を学び、次にどう活かすのか」という視点を持つことだと思います。
公開された事実を丁寧に積み重ね、未確認事項は未確認事項として受け止める。
その姿勢こそが、サイバーセキュリティを考える上で最も大切な第一歩なのではないかと私は考えています。
ー米国事案を手がかりに、日本の事案をどう受け止めるべきか ー
アフラックをめぐっては、日米それぞれで大規模なサイバー攻撃事案が公表されています。
まず米国のアフラックでは、2025年6月12日に米国内ネットワークで不審な活動を検知し、数時間以内に侵入を封じ込めたと公表されました。システムはランサムウェアによる暗号化被害を受けておらず、業務は継続されたと説明されています。一方で、調査の結果、約2,265万人分の個人情報が関係していたことが後に明らかにされました。
米国事案で注目すべき点は、侵入のきっかけとして「ソーシャルエンジニアリング」が挙げられていることです。これは、システムそのものを力技で破るというより、社員や関係者をだまして認証情報を得る手口です。たとえば、社内のIT担当者を装った電話、偽のログイン画面、SMSを使った認証情報の窃取などが典型例です。
また、複数の報道では、米国の保険業界を狙った一連の攻撃と、Scattered Spider（スキャタード・スパイダー）と呼ばれるサイバー犯罪グループとの関連が指摘されています。ただし、ここは慎重に見る必要があります。アフラック自身は攻撃者名を公式に断定しておらず、「高度なサイバー犯罪グループ」と説明するにとどまっています。
一方、日本のアフラック生命保険では、2026年6月30日に「アフラック よりそうネット」などのシステムへの不正アクセスと情報漏えいが公表されました。公式発表によれば、不正アクセスは2026年6月15日に最初に発生し、6月25日までに複数回確認されています。発覚のきっかけは、2026年6月25日 06:30にシステムでCPU高負荷を検知したことでした。
日本事案では、約438万人分の顧客情報が漏えいし、そのうち約23万人分には保険料振替口座情報も含まれていました。漏えいした情報には、氏名、生年月日、性別、住所、電話番号、証券番号、保障内容、金融機関名、支店名、口座番号、口座名義などが含まれます。一方で、マイナンバーとクレジットカード情報は含まれていないとされています。
ここで重要なのは、日本事案については、現時点で侵入経路、攻撃手法、攻撃者名が公表されていないことです。つまり、米国事案と同じ攻撃者なのか、同じ手口なのか、Scattered Spiderが関与したのかは、公開情報だけでは判断できません。
したがって、日本事案を米国事案と直接結び付けて「同一犯だ」と断定することはできません。
ただし、比較から見えてくる教訓はあります。
米国事案では「人をだます攻撃」が疑われ、日本事案では「約10日間にわたる複数回の不正アクセス」が確認されています。どちらも、単にウイルス対策ソフトを入れていれば防げるという種類の問題ではありません。企業側には、本人確認、アクセス権限の管理、異常検知、ログ監視、早期遮断の仕組みが問われます。そして利用者側には、漏えい後の二次被害に備える姿勢が求められます。
特に注意すべきは、便乗詐欺です。
情報漏えいの直後には、企業や代理店を装った電話、メール、SMSが増える可能性があります。「保険の確認が必要です」「口座情報を再登録してください」「補償手続きのためログインしてください」といった連絡が来ても、本文中のリンクを押してはいけません。必ず公式サイトや公式窓口から確認するべきです。
日米アフラック事案の比較
| 項目 | 米国アフラック | 日本アフラック生命 |
|---|---|---|
| 公表時期 | 2025年6月 | 2026年6月30日 |
| 発覚 | 2025年6月12日に不審活動を検知 | 2026年6月25日 06:30にCPU高負荷を検知 |
| 影響人数 | 約2,265万人 | 約438万人 |
| 主な漏えい情報 | 個人情報、健康関連情報、社会保障番号など | 氏名、住所、電話番号、証券番号、保障内容、口座情報の一部など |
| ランサムウェア | 暗号化被害なしと説明 | ランサムウェア被害の公表なし |
| 攻撃手法 | ソーシャルエンジニアリングの可能性を公表 | 侵入経路・手口は未公表 |
| 攻撃者 | 公式には未特定。報道ではScattered Spiderとの関連指摘 | 攻撃者名は未公表 |
| 現時点の評価 | 人をだます攻撃が重要な焦点 | 発覚経緯と侵入経路の開示が今後の焦点 |
利用者がまず行うべきこと
今回のような個人情報漏えいで、利用者がまず取るべき行動は、慌てて契約を解約することではありません。
第一に、アフラックから届く公式通知を確認することです。対象者には文書で案内されるとされています。メールやSMSだけで判断せず、公式サイトや郵送物を確認することが重要です。
第二に、アフラックや代理店を名乗る電話、メール、SMSに警戒することです。特に、口座情報、ログイン情報、認証コードを求める連絡には注意が必要です。
第三に、口座情報が対象に含まれる可能性がある人は、銀行口座の入出金履歴を定期的に確認することです。不審な引き落としや見覚えのない取引があれば、すぐに金融機関へ相談するべきです。
第四に、同じパスワードを他のサービスでも使っている場合は、速やかに変更することです。可能であれば、多要素認証も有効にしておきたいところです。
今回の事案から私たちが学ぶべきことは、犯人探しだけではありません。
もちろん、攻撃者の特定や侵入経路の解明は重要です。しかし、公開情報が限られている段階で断定を急げば、かえって本質を見誤ります。
大切なのは、確認できる事実と、まだ分からないことを切り分けることです。
そして、被害を受けた可能性のある利用者は、公式情報を確認し、便乗詐欺に注意し、口座やアカウントの異常を冷静に確認することです。
発覚の経緯を追うことは、単なる犯人探しではありません。
次の被害を防ぐために、社会全体で知見を共有するための第一歩なのだと思います。
最後に、記事に登場した用語集を付け加えて結びとしたいと思います。
読んでいてなんのこっちゃ？と思われる方もおられるやも知れないと思い…オマケです。別途、用語集を充実化していきたいと考えていますが、今のところ抱負を語る段階で留まっています(^_^;)
用語解説
- サイバー攻撃
- インターネットやコンピューターを悪用して、企業や個人のシステムへ不正に侵入したり、情報を盗んだり、業務を妨害したりする行為です。
- 不正アクセス
- 本来アクセスする権限のない人が、IDやパスワードなどを悪用してシステムへ侵入することです。
- 個人情報
- 氏名、住所、生年月日、電話番号、メールアドレスなど、個人を特定できる情報を指します。
- 情報漏えい
- 本来公開されるべきではない情報が、第三者へ流出してしまうことです。盗み出された場合だけでなく、誤送信や設定ミスによって公開されるケースも含まれます。
- ランサムウェア（身代金要求型マルウェア）
- パソコンやサーバー内のデータを暗号化し、「元に戻してほしければ身代金を支払え」と要求するマルウェア（悪意あるプログラム）のことです。
- マルウェア
- コンピューターウイルスやランサムウェアなど、利用者やコンピューターへ害を与える目的で作られた悪意あるプログラムの総称です。
- ソーシャルエンジニアリング
- システムを攻撃するのではなく、「人」をだまして情報を盗み出す手口です。電話でIT担当者を名乗ったり、偽のメールを送ったりして、IDやパスワードを聞き出す方法などがあります。
- フィッシング
- 本物そっくりのWebサイトやメールを使って、IDやパスワード、クレジットカード情報などを入力させて盗み取る詐欺の手口です。
- SMS（ショートメッセージ）
- 携帯電話番号宛てに送受信する短いメッセージのことです。近年はSMSを悪用した詐欺も増えています。
- 認証情報
- 本人確認に使用される情報です。代表的なものはID、パスワード、暗証番号、認証コードなどがあります。
- 多要素認証（MFA）
- パスワードだけではなく、スマートフォンに届く確認コードや指紋認証などを組み合わせて本人確認を行う仕組みです。不正ログイン対策として非常に有効です。
- CPU
- パソコンやサーバーの「頭脳」と呼ばれる部品です。CPU使用率が急激に高くなると、サイバー攻撃やシステム障害の兆候である場合があります。
- ログ
- システム内で「いつ、誰が、何をしたか」を記録した履歴です。事件の原因を調査する際の重要な証拠になります。
- ソフトウェアの脆弱性（ぜいじゃくせい）
- ソフトウェアに存在する設計上やプログラム上の弱点です。攻撃者はこの弱点を悪用して侵入を試みます。
- Scattered Spider（スキャタード・スパイダー）
- 海外のセキュリティ企業などが使用しているサイバー犯罪グループの呼称です。人をだまして認証情報を盗み、不正アクセスを行う手口で知られています。ただし、日本のアフラック事案との関係は現時点では確認されていません。
- 発覚の経緯
- 本サイト「ネット探検ラボ」で特に重視している視点です。事件そのものだけではなく、「どのようなきっかけで異常が見つかったのか」「誰が最初に気付いたのか」を分析することで、今後の被害防止につながる教訓を見いだそうとする考え方です。
コメント