438万人、10日間の沈黙。アフラック不正アクセスが残した影：口座番号だけでは預金は動かない。それでも23万人が震える理由

検知の合図はCPU負荷だった。保険会社のシステムに残された影

2026年6月30日にアフラック生命保険が公表した約438万人分の情報流出について、一次資料であるプレスリリースと金融庁報告徴求命令をもとに、何が漏れて何が漏れていないのか、なぜ10日間気づけなかったのか、23万人分の口座情報はどれほど危ういのかを、ITセキュリティの実務者目線で解きほぐします。2023年の委託先経由の事案や、2025年に米国アフラック本社が受けたソーシャルエンジニアリング攻撃との構造比較も加え、他社保険加入者を含めて明日から取れる防衛策までを、静かな筆致で辿ります。

何が起きたのか、時系列で

事実関係は、アフラックが2026年6月30日に公表したプレスリリースが一次資料になります。契約者専用サイト「アフラック よりそうネット」などのシステムに、第三者からの不正アクセスがあったこと。最初の侵入が確認されたのは6月15日。以降、25日までの10日間に複数回、侵入が繰り返されていたこと。同社が異常に気づいたのが6月25日で、その日のうちに遮断と関連システムの停止を実施したこと。翌6月30日には、金融庁から保険業法第128条第1項および個人情報保護法第146条第1項に基づく報告徴求命令を受領しています。

漏えいの規模は、顧客情報が約438万人分。うち約23万人分については、金融機関名、支店名、預金種類、口座番号、口座名義といった保険料振替口座の情報も対象に含まれます。氏名、生年月日、性別、住所、電話番号、証券番号、保障内容も含まれる項目です。代理店関連では、代表者氏名や住所、電話番号などが約4万店分。過去に業務委託契約を結び、現在は取引のない代理店も含まれます。マイナンバーとクレジットカード情報は、含まれていないと公式に明言されています。

数字は淡々と並びますが、この10日間という空白の長さは、実務者としてどうしても引っかかるところです。

検知の合図が「CPU負荷」だったこと

報道各社が伝えているところによれば、社内で異常を捉えたきっかけは、システムのCPU負荷が通常より高い、という兆候でした。侵入自体を検知したのではなく、侵入の副作用として現れた挙動の異常。これは、順序として遅い、と言わざるを得ません。

理想を言えば、契約者ポータルのAPIが、通常はあり得ない範囲の契約IDを短時間で照会しはじめた時点、あるいは深夜帯に平時と異なるIPから管理系のセッションが開かれた時点で、警報が鳴っているべきです。
ふだん10件の照会しか動かない画面から、突然数千件が流れ出しているのに気づけなかった。そういう構図が疑われます。
CPUに影響が出るほどの動きが10日間続いていたということは、攻撃者がかなり大胆に取りに来ていた可能性があるということでもあります。

金融機関に準じる情報を扱う保険会社にとって、侵入を防ぐことと同じ重さで、侵入に「早く気づく」体制が問われる事案になりました。ここは、後述する再発防止策の核心になっていきます。

今回概要まとめ図