ソニー生命 ― 不正アクセスで代理店扱いの他社契約者情報が漏えい

要点

ソニー生命保険株式会社は2026年10月28日、契約者専用サイト「お客さまWEBサービス」などのシステムが第三者による不正アクセスを受け、お客さま情報が漏えいしたと公表した（ソニー生命）。
漏えいが確認されたのは、ソニー生命が保険代理店として取り扱ったメディケア生命保険の保険契約の契約者・被保険者の情報で、約38.5万件。項目は氏名、生年月日、性別、住所、電話番号、証券番号、契約内容（同）。
マイナンバー、クレジットカード情報、保険料振替口座情報は含まれない（同）。
不正アクセスは10月27日に判明した。詳細は調査中で、金融庁に報告済み。10月28日時点で不正使用は確認されていない（同）。
10月28日8時から、お客さまWEBサービス、ソニー生命アプリ、ダイレクト請求サービス、申込内容控WEB、書類確認WEB、為替レート照会システムの利用を止めている。復旧時期は未定（ソニー生命）。
メディケア生命も同日、保険代理店業務を委託しているソニー生命のシステムへの不正アクセスとして公表し、ソニー生命による募集契約以外の顧客情報に漏えいはないとした（メディケア生命）。

【2026-11-10追記】ソニー生命は11月9日の第二報で、10月28日に公表した不正アクセスに起因する漏えいを新たに確認したと公表した。ソニー生命自身の保険契約の証券番号・氏名・住所・電話番号などが約290万件（解約などで終了した契約を含む）、代理店募集人のメールアドレスと募集人番号が約780件、従業員のメールアドレスと社員番号が約12,500件。健康状態・病歴などの要配慮個人情報、マイナンバー、クレジットカード情報、口座情報、メールアドレスは含まれない。11月9日時点で不正使用は確認されていない（ソニー生命第二報（PDF））。日本経済新聞は、10月公表分と合わせた漏えいは計328.5万件と報じた（日本経済新聞（2026-11-09））。
【2026-11-10追記】停止中の6サービスの再開は、原因への対応と安全性の評価を踏まえて判断するため時間を要する見込みとされた。対象の顧客と代理店募集人には準備が整い次第、順次案内する（ソニー生命第二報（PDF））。

不正アクセスを受けた「など」のシステムの範囲と、侵入の手口・時期（【2026-11-10追記】第二報でも公表されていない）
ソニー生命自身の保険契約者の情報が見られたかどうか（公表は「漏えいが確認された」範囲としてメディケア生命分のみを挙げている）（【2026-11-10追記】11月9日の第二報で、自社の保険契約約290万件の漏えいを確認）
お客さまWEBサービスのログイン情報（ID・パスワード）への影響
停止中のサービスの再開時期（【2026-11-10追記】第二報でも未定。時間を要する見込み）

（考察）代理店として他社の商品を扱うと、その契約情報も代理店側のシステムに置かれる。今回漏えいが確認されたのが「他社の契約者」だけである理由は公表されていない。

概要

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

時期	出来事
2026-10-27（火）	当社システムへの第三者による不正アクセスが判明（ソニー生命）
10-28（水）8:00	お客さまWEBサービス、ソニー生命アプリなどの利用を一時停止（同）
10-28（水）	ソニー生命とメディケア生命が漏えいを公表。金融庁へ報告済み（同、メディケア生命）
11-09（月）	第二報で、自社の保険契約約290万件、代理店募集人約780件、従業員約12,500件の漏えいを新たに確認したと公表（ソニー生命）

事実（ソニー生命・メディケア生命、10月28日）

項目	内容
侵入されたシステム	契約者専用サイト「お客さまWEBサービス」など
漏えいした情報	メディケア生命の保険契約（ソニー生命が代理店として扱ったもの）の契約者・被保険者の氏名、生年月日、性別、住所、電話番号、証券番号、契約内容
件数	約38.5万件
含まれない情報	マイナンバー、クレジットカード情報、保険料振替口座情報
停止中のサービス	お客さまWEBサービス、ソニー生命アプリ、ダイレクト請求サービス、申込内容控WEB、書類確認WEB、為替レート照会システム（10月28日8時〜、復旧未定）
対応	外部からのアクセス遮断、金融庁への報告、対象者への順次連絡

急ぎの手続きは担当者かカスタマーセンターで受け付ける。同社を装うメール・SMS・電話に注意するよう呼びかけ、同社がパスワードや暗証番号、ワンタイムパスワードを尋ねることはないとしている（ソニー生命）。

考察

漏えいが「確認された」のはメディケア生命の契約分だけで、ソニー生命自身の契約者については、漏えいがないとも書かれていない。調査が進むと範囲が広がる可能性もあるため、ソニー生命の契約者も続報を見ておきたい（考察）。

保険の契約内容は、特定の病気や入院への備えを示すことがあり、氏名・住所・電話番号と組み合わさると、保険会社を名乗った電話や郵送物による詐欺にそのまま使える情報になる（考察）。

事実（既知の知見）

考察

侵入されたのが契約者向けのWebサービスとアプリ周辺であること、止めたサービスがアプリや書類確認など利用者向けの窓口に集中していることから、利用者向けの入口のどこかが経路になった可能性はある。ただし同社は手口を公表しておらず、断定はできない（考察）。

ソニー生命経由でメディケア生命の保険に入っている人は、ソニー生命からの連絡を確認する。保険会社を名乗る電話・SMS・メールで、手続きや支払いを急がされても応じない。
ソニー生命の契約者は、サービス再開後にお客さまWEBサービスのパスワードを見直す。他のサービスと同じパスワードは使わない。
代理店として他社の契約情報を預かる事業者は、その情報が利用者向けWebサービスと同じ環境から届く範囲にないかを確認する。