ソニー生命38万件情報漏えい｜何が起きたのかと企業の教訓

社長、会社が預かっている顧客情報が、取引先や外部のシステムを通じて漏えいする可能性を考えたことはありますか。自社のパソコンを守るだけでは、顧客情報を取り巻くすべてのリスクを管理できるとは限りません。

2026年10月28日、ソニー生命保険株式会社は、第三者による不正アクセスによって約38万5,000件の個人情報が漏えいしたと公表しました。対象は、ソニー生命が保険代理店として取り扱ったメディケア生命保険株式会社の契約者・被保険者情報です。

今回は両社の公式発表を基に、何が起きたのか、どのような情報が漏えいしたのか、企業経営者がどのような点を確認すべきかを整理します。

1．ソニー生命で何が起きたのか

ソニー生命は2026年10月28日、契約者向けの「お客さまWEBサービス」などのシステムが、第三者による不正アクセスを受けたと発表しました。この不正アクセスによって、顧客情報の漏えいが確認されています。

対象となったのは、ソニー生命が保険代理店として取り扱ったメディケア生命の保険契約に関する情報です。ソニー生命のすべての保険契約者情報が漏えいしたと公表されたわけではありません。

同社は被害拡大を防ぐため、対象システムへの外部からのアクセスを遮断し、関係するサービスを一時停止しました。原因や影響範囲については調査を続けると説明しています。

公式発表：ソニー生命｜不正アクセスと情報漏えいに関するお知らせ（2026年10月28日）

2．約38万5,000件の意味と対象者

ソニー生命とメディケア生命の公式発表によると、漏えい件数は約38万5,000件です。ここで注意したいのは、発表されているのが「件数」であり、38万5,000人という実人数を示したものではないことです。

対象には、ソニー生命が保険代理店として取り扱ったメディケア生命の保険契約について、契約者と被保険者の情報が含まれています。契約者と被保険者が異なる場合もあるため、単純に契約数や人数へ置き換えることはできません。

メディケア生命は、ソニー生命による募集契約以外の顧客情報について、今回の情報漏えいの事実はないと説明しています。対象範囲を正確に伝えることは、不必要な不安や誤解を避けるうえで重要です。

3．漏えいが確認された個人情報

公式発表で漏えいが確認された情報は、氏名、生年月日、性別、住所、電話番号、保険証券番号、契約内容です。これらは、契約者や被保険者を識別し、保険契約に関する内容を把握するための情報です。

右欄は一般的に考えられるリスクであり、今回の事故で実際にこれらの悪用が確認されたという意味ではありません。漏えいした情報の種類と、現実に発生した二次被害を分けて考えることが大切です。

4．漏えい対象外とされた情報

ソニー生命とメディケア生命は、今回漏えいが確認された情報には、マイナンバー、クレジットカード情報、保険料振替口座情報が含まれていないと説明しています。

これらの情報が対象外であることは重要ですが、氏名や住所、保険証券番号、契約内容が漏えいしたこと自体は軽視できません。金銭に直接関係する情報が含まれていなくても、不審な連絡や本人確認を装った行為には注意が必要です。

5．不正アクセスの発覚と公表までの経緯

ソニー生命によると、第三者からの不正アクセスが判明したのは2026年10月27日です。翌28日に情報漏えいを公表し、被害拡大防止のため、関係するシステムへの外部アクセス遮断とサービス停止を実施しました。

10月27日は不正アクセスの判明日であり、攻撃が始まった日付と同じとは限りません。侵入開始時期や具体的な手口については、調査結果を待つ必要があります。

6．原因と不正利用の確認状況

ソニー生命は、第三者による不正アクセスが発生したことを確認しています。ただし、侵入経路や技術的な原因などの詳細は、10月28日の発表時点で調査中とされています。

また、同日時点で顧客情報が不正使用された事実は確認されていないと説明しています。これは、その時点で不正使用を確認していないという意味であり、今後も被害が絶対に発生しないという保証ではありません。

事故の原因を説明する際に、パスワードの使い回しや設定ミスなどを根拠なく断定することは避けるべきです。今回の事故について確認されていない技術的な原因を、推測で記事に書くことは適切ではありません。

7．ソニー生命とメディケア生命の関係

今回の事故で重要なのは、ソニー生命がメディケア生命の保険商品を代理店として取り扱っていたことです。メディケア生命は、自社が保険代理店業務を委託しているソニー生命のシステムで不正アクセスが発生したと説明しています。

つまり、保険契約を引き受ける会社と、保険募集を担当する会社が異なる関係の中で、顧客情報が漏えいした事例です。これは保険業界特有の仕組みに見えますが、外部の会社へ業務を委託する一般企業にも通じる問題です。

例えば、建設会社が協力会社に工事情報を共有する場合や、製造会社が外部業者に顧客データの処理を依頼する場合にも、情報の管理先を把握しておく必要があります。ただし、これらは一般的な教訓であり、今回の事故で建設会社や製造会社の情報が漏えいしたという意味ではありません。

8．サービス停止と顧客対応

ソニー生命は10月28日午前8時から、「お客さまWEBサービス」「ソニー生命 アプリ」「ダイレクト請求サービス」「申込内容控WEB」「書類確認WEB」「為替レート照会システム」を一時停止しました。10月28日時点では、復旧時期は未定と案内しています。

急ぎの手続きについては、担当者またはカスタマーセンターへの連絡を案内しています。メディケア生命も10月29日、マイページの新規利用登録の停止などを公表しました。

この対応から、中小企業が学べるのは、システム停止時に顧客対応を継続する代替手段の重要性です。オンラインサービスが使えない場合に、電話や担当者を通じてどこまで対応できるかを決めておくことが役立ちます。

公式案内：ソニー生命｜サービス一時停止のお知らせ

9．漏えい情報から考える二次被害

今回漏えいが確認された情報には、氏名、住所、電話番号、保険証券番号、契約内容が含まれています。これらの情報を組み合わせると、保険会社や契約担当者を装った連絡が、もっともらしく見える可能性があります。

ソニー生命とメディケア生命は、両社を装ったメール、SMS、電話への注意を呼びかけています。また、メールや電話でパスワード、暗証番号、ワンタイムパスワードなどを尋ねることはないと説明しています。

不審な連絡を受けた場合は、届いたメールのリンクや電話番号をそのまま利用せず、公式サイトや保険証券などで確認した連絡先を使うことが重要です。相手が証券番号や契約内容を知っているだけで、本物の担当者だと判断しないようにしましょう。

10．確認済みの事実と未判明事項の比較

新しい調査結果が公表されれば、確認状況が変わる可能性があります。最新情報はソニー生命とメディケア生命の公式サイトで確認してください。

11．社長向け10項目チェックリスト

このチェックリストは今回の事故原因を示すものではありません。一般的な顧客情報管理の確認項目として、自社の状況を点検するために利用してください。

12．中小企業が学ぶべき情報管理の教訓

今回の事故から考えたいのは、顧客情報が自社の管理するパソコンやサーバーだけに保存されているとは限らないという点です。保険会社と代理店のように、複数の会社が関わる業務では、情報の取り扱い先を把握する必要があります。

建設業では、元請会社と協力会社の間で図面や工事情報を共有することがあります。製造業では、受発注データや取引先情報を外部システムで管理することがあります。こうした場面では、情報を誰が利用できるのか、事故が起きた場合に誰が連絡するのかを整理しておくことが重要です。

また、情報漏えいとサービス停止は別々の問題ではありません。不正アクセスの調査や被害拡大防止のために、通常のオンライン業務が一時的に使えなくなる場合があります。顧客情報の管理と業務継続の両面から備えることが大切です。

13．まとめ｜今日できる一つの行動

2026年10月28日、ソニー生命は約38万5,000件の個人情報漏えいを公表しました。対象は、同社が保険代理店として取り扱ったメディケア生命の契約者・被保険者情報です。

漏えいが確認されたのは、氏名、生年月日、性別、住所、電話番号、証券番号、契約内容です。マイナンバー、クレジットカード情報、保険料振替口座情報は含まれていないと説明されています。侵入の詳細は調査中で、10月28日時点では不正使用は確認されていません。

今回の事例は、情報漏えいが起きた企業を批判するためではなく、自社の情報管理を確認するきっかけとして活用することが重要です。

公式一次情報

• ソニー生命｜不正アクセスと情報漏えいに関する公式発表（10月28日）
• ソニー生命｜一部サービス停止に関する公式発表（10月28日）
• メディケア生命｜10月28日・29日のお知らせ一覧

※本記事は2026年10月29日時点で確認できる両社の公式発表を基に作成しています。事故の確認事実と、一般的に考えられる情報管理上のリスクを区別しています。