要点
発表された事実
- 三井住友海上火災保険とあいおいニッセイ同和損害保険は、両社の「ご契約者さま専用ページ」に対する第三者からの不正アクセスを検知し、影響調査の過程で情報漏えいを確認したと発表した（三井住友海上 PDF、あいおいニッセイ同和損保 PDF）。
- 2026年11月2日夜間に不正アクセスを検知し、翌3日深夜に関連サービスを停止した。専用ページはネットワークから切り離しており、停止以降の外部からの不正アクセスはないとしている（同）。
- 11月6日9時時点の漏えい件数は、あいおいニッセイ同和損保が約44.4万件、三井住友海上が約3.7万件（同）。
- 三井住友海上あいおい生命は、損保2社の専用ページに自社の生命保険契約を表示するよう設定していた顧客約5,300件の情報漏えいを確認した（三井住友海上あいおい生命 PDF）。
- 各社とも、発表時点で漏えい情報の不正使用は確認されていないとしている（各社PDF）。
わかっていないこと
- 不正アクセスの侵入経路・原因。
- 漏えい件数・対象範囲の最終的な確定値。
- 停止中サービスの再開時期。
関係しそうな既知の手口
- （考察）契約者向けのマイページに証券番号・連絡先・支払情報の一部が集約されていると、その画面や背後のAPIが侵害されたときの漏えい範囲が大きくなる。経路は未公表である。
概要
- あいおいニッセイ同和損保の漏えい項目には、保険証券番号、氏名、住所、電話番号、メールアドレス、専用ページIDに加え、クレジットカード名義人とカード番号下4桁（3件）、口座名義・金融機関名・口座番号のうち下3桁を除く部分（19件）が含まれる。カード番号の全桁とセキュリティコード、口座番号の全桁、暗証番号、インターネットバンキングの認証情報は漏えいしていない。要配慮個人情報は含まれない（あいおいニッセイ同和損保 PDF）。
- 三井住友海上の漏えい項目は保険証券番号、氏名、住所、電話番号、メールアドレスなどで、クレジットカード情報と口座情報は含まれない（三井住友海上 PDF）。
- 三井住友海上あいおい生命の漏えい項目は保険証券番号、氏名、生年月日、メールアドレスなどで、口座情報・クレジットカード情報・要配慮個人情報は含まれない（生命 PDF）。
- 各社は外部専門機関によるフォレンジック調査を実施し、対象顧客には準備が整い次第個別案内するとしている（各社PDF）。
- 三井住友海上は11月7日更新のお知らせで、ご契約者さま専用ページや一部のネット完結保険、事故受付などを停止中とし、代替手段を案内している（サービス停止のお知らせ PDF）。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-11-02夜間 | 損保2社の「ご契約者さま専用ページ」への不正アクセスを検知 | 三井住友海上 PDF、あいおい PDF |
| 2026-11-03深夜 | 関連サービスを停止。専用ページをネットワークから切り離す | 同 |
| 2026-11-04 | 不正アクセス検知とサービス一時停止を公表 | 各社お知らせ（各PDFが言及） |
| 2026-11-06 | 情報漏えいを公表（9時時点の件数を発表） | 各社PDF |
| 2026-11-07 | 三井住友海上が停止中サービス一覧を更新 | サービス停止のお知らせ |
発表内容の整理
事実（各社の2026年11月6日発表による。件数は同日9時時点）
| 会社 | 件数 | 主な漏えい項目 | 含まれないとしたもの |
|---|---|---|---|
| あいおいニッセイ同和損保 | 約44.4万件 | 証券番号、氏名、住所、電話番号、メールアドレス、専用ページID。カード名義・番号下4桁（3件）、口座名義・金融機関名・口座番号の一部（19件） | カード番号の全桁とセキュリティコード、口座番号の全桁、暗証番号、IB認証情報、要配慮個人情報 |
| 三井住友海上 | 約3.7万件 | 証券番号、氏名、住所、電話番号、メールアドレスなど | クレジットカード情報、口座情報 |
| 三井住友海上あいおい生命 | 約5,300件 | 証券番号、氏名、生年月日、メールアドレスなど（損保2社の専用ページに生命保険を表示設定していた人） | 口座情報、クレジットカード情報、要配慮個人情報 |
出典：三井住友海上 PDF、あいおいニッセイ同和損保 PDF、三井住友海上あいおい生命 PDF
考察
- 3社の件数を単純に足すと約48.6万件になるが、生命の対象は損保専用ページ上に生命契約を出していた人であり、重複の有無は各社発表からは分からない。
- あいおいのカード・口座は件数がごく一部で、かつマスキングされていたと説明されている。全桁が漏れたとは発表されていない。
関係しそうな既知の手口
事実
- 各社は原因と影響範囲を外部専門機関が調べているとしており、侵入経路は公表していない（各社PDF）。
考察
- 契約者ポータルの認証突破、セッション侵害、背後のAPIやバッチ連携の悪用など複数の仮説があり、現時点では特定できない。
- 同じ11月6日、グループの三井ダイレクト損保は自社Webサイトへの別の不正アクセスで約23.4万件の漏えいを公表している（三井ダイレクト損保）。同一の侵入だとは各社とも述べていない。
利用者・運用者がいまできること
- 対象の可能性がある契約者：各社や代理店を装うメール、SMS、電話に注意する。リンクを開かず、パスワードやカード情報を入力しない。手続きは公式サイトや取扱代理店、各社が案内する代替窓口から行う。
- 事故連絡や契約変更は、停止中の専用ページではなく、各社が示す電話・書面・代理店などの代替手段を使う。
- ポータル運用者：画面に出す支払情報は必要な桁だけにする（今回も一部マスキングされていたと説明されている）。不審アクセスを検知したあとにサービスを止める手順を、事前に決めておく。