アフラック生命保険で438万人情報流出――CPU高負荷が明かした攻撃者の10日間

アフラック生命保険は2026年6月30日、契約者向けサイト「アフラック よりそうネット」等が不正アクセスを受け、顧客約438万人分の個人情報が流出したと公表した。漏洩した情報は氏名・生年月日・住所・電話番号・証券番号に及び、そのうち約23万人については保険料振替口座情報（銀行口座番号・名義）まで含まれる。代理店関連約4万店分の情報も流出対象だ。

侵入から発覚まで10日間 #

最初の侵入は6月15日。その後6月25日6時30分にサーバーのCPU高負荷が検知されたことで不正アクセスが発覚し、同日中に遮断・システム停止が実施された。

注目したいのは「CPU高負荷で気づいた」という検知の経緯だ。これは大量データの読み取りや暗号化など、リソース集約型の処理が走っていた可能性を示唆する。攻撃者は6月15日から25日まで複数回にわたってアクセスを繰り返しており、情報を段階的に持ち出していたとみられる。「低速・断続的に動いて検知を回避する」はずが、どこかで大量処理が起動して自ら存在を露呈させた格好だ。

侵入経路や具体的な攻撃手口は「調査中」のまま。金融庁は6月30日付で保険業法・個人情報保護法に基づく報告徴求命令を発出しており、法的プレッシャーのもとで原因解明が進む。

口座情報流出後の自衛策 #

アフラックは「現時点で不正利用は確認されていない」としているが、口座情報の流出は二次被害リスクを直接伴う。口座番号は闇市場での需要が高く、フィッシング・スミッシングと組み合わせた不正引き落とし試行に使われやすい。

アフラックの振替口座として登録していた金融機関の取引明細を定期的に確認し、身に覚えのない少額引き落とし（テスト用の数十〜数百円）がないかチェックしてほしい。アフラック名義を詐称した不審な電話・SMSには絶対に応じないこと。