NTTデータ・住友生命 ― Vitality申込システムから利用者情報が漏えい

要点

発表された事実

NTTデータは2026年11月9日、住友生命から構築・運用を受託している「住友生命Vitality体験版・企業型」「Vitalityスマート（福利厚生タイプ含む）」の申込みに係るサービスで第三者による不正アクセスが発生し、一部利用者の個人情報が外部に漏えいしたと発表した（NTTデータ）。
11月2日に不正アクセスを確認し、同日住友生命に報告した。11月3日に外部からのアクセスを遮断し、サービスを一時停止した（同、住友生命）。
対象は約8万名。氏名、住所、電話番号、生年月日、メールアドレス、クレジットカード番号（一部マスキング済み）のいずれかで、カード番号が漏えいしたのは約1,000名（同）。
保険契約や保険に付随するVitalityの情報、歩数などのデータは含まれない。不正利用やネット上での公開・拡散は確認されていない（住友生命）。
原因や詳細な経緯は調査中（NTTデータ）。

わかったこと

【2026-11-11追記】東京都は11月10日、住友生命と連携して実施するイベント「東京グリーンビズウォーク」で、住友生命の専用アプリに登録した約3万8千名のうち475名の情報が漏えいしたと公表した。内訳は、氏名（漢字・カナ）・生年月日・アプリの会員番号の4項目が460件、これにメールアドレスと電話番号を加えた6項目が6件、電話番号とメールアドレスの2項目が9件。対象者には住友生命から順次メールを送っており、都は住友生命に原因と再発防止策の詳細な報告を求めている（東京都政策企画局）。
【2026-11-11追記】京都府舞鶴市も11月10日、住友生命と共催するウオーキング事業で、利用者の氏名・電話番号・勤務先などの個人情報が漏えいしたと発表した（京都新聞）。
【2026-11-12追記】自治体の連携事業での判明が続いた。山口県は11月11日、「やまぐちVitalityウォーク」の申込者3,065名のうち42名の漢字氏名・カナ氏名・生年月日・Vitality会員番号が漏えいしたと公表した。11月10日に住友生命から報告を受け、住友生命が42名に個別にメールで連絡している。ウォーク自体の実施には影響がない（山口県）。山陽新聞によると、岡山県も同日、「おかやまVitalityウォーク」の2026年度を含む過去3年間の参加者情報25件（氏名・生年月日などの登録情報。保険契約情報とメールアドレスは含まれない）の漏えいを公表した（山陽新聞）。

わかっていないこと

不正アクセスの原因と侵入経路。
漏えい対象者の特定と個別連絡の状況。
NTTデータが受託する他のシステムへの影響。
停止中の申込受付・団体ポータルの再開時期。

関係しそうな既知の手口

（考察）発表は手口に触れていない。生命保険業界では10月にもソニー生命で不正アクセスによる契約者情報の漏えいが公表されているが、両者の手口が同じかはわからない。

概要

止まっているのは体験版・企業型とVitalityスマートの新規申込、Vitalityスマートの解約・カード情報変更などの手続き、福利厚生タイプの団体ポータル。Vitalityアプリと「Vitality保険」の手続きには影響がない（住友生命）。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

日付	出来事	出典
2026-11-02	NTTデータが不正アクセスを確認し、住友生命に報告	住友生命
2026-11-03	外部からのアクセスを遮断、申込受付などを停止	NTTデータ
2026-11-09	両社が約8万名の漏えいを公表、問い合わせ窓口を開設	同
2026-11-10	自治体の連携事業でも漏えいが判明。東京都はグリーンビズウォーク参加者475名、舞鶴市も共催事業の利用者情報の漏えいを公表	東京都政策企画局、京都新聞
2026-11-11	山口県が「やまぐちVitalityウォーク」申込者42名（申込者3,065名中）の漢字・カナ氏名、生年月日、Vitality会員番号の漏えいを公表。岡山県も「おかやまVitalityウォーク」参加者情報25件の漏えいを公表	山口県、山陽新聞

発表内容の整理

事実（NTTデータ・住友生命の11月9日の発表による）

項目	内容
対象	Vitality体験版・企業型、Vitalityスマート（福利厚生タイプ含む）の申込サービス
運用	NTTデータが住友生命から構築・運用を受託
件数	約8万名（現・元利用者）
項目	氏名、住所、電話番号、生年月日、メールアドレス、クレジットカード番号（一部マスキング済み）のいずれか
カード番号	約1,000名
含まれない	保険契約、保険に付随するVitalityの情報、歩数などのデータ
二次被害	11月9日時点で未確認

出典：NTTデータ「当社受託システムにおける個人情報漏えいについて」（2026-11-09）、住友生命「業務委託先システムへの不正アクセスによるお客さま情報漏えいに関するお詫びとお知らせ」（2026-11-09）

考察

確認から公表まで1週間かかったのは、漏えいの範囲をログで確かめる時間だったと読める。両社とも「漏えいした」と書いており、「可能性」の段階は越えている。
保険契約と切り離された単独型サービスのシステムだったため、保険契約の情報には及ばなかった。システムを分けていたことが被害範囲を限ったといえる。

利用者・運用者がいまできること

利用者：住友生命やNTTデータを装うメール・SMS・電話・郵便物に注意する。両社はパスワードや暗証番号を尋ねないとしている。カード明細も確認する。
運用者：申込受付のような外部公開システムに、マスキング済みでもカード情報を残す必要があるか見直す。

参考リンク

原文をGitHubで読む ↗