Aflac／Zurich でハッキングが発生：日本人顧客約 200万人の情報が漏洩

Millions of Insurance Customers Compromised Via Supplier

2023/01/13 InfoSecurity — 保険会社である Aflac／Zurich は、第三者である請負業者がハッキングについて報告した後に、数百万人の日本人顧客の情報が侵害され、売りに出されていたことを明らかにした。両社の発表では、ハッキングされた業者の名前は明らかにされていないが、東京の通信社である時事通信の現地レポートでは、米国内の下請け業者に原因があるとされている。このインシデントの被害を受けたのは、Aflac のがん保険加入者 130万人と、Zurich の自動車保険契約者 76万人を含む、合計で約 200万人の顧客だという。

Aflac によると、漏洩したデータには、年齢／性別／姓／保険証券番号／保険種類番号／保険金額／保険料などが含まれるとのことだ。

同社は、「情報漏洩サイトに流出した、上記の個人情報の項目だけでは、個人を特定することはできない。したがって、流出した情報が第三者により悪用される可能性は極めて低いと考えている」と述べている。さらに同社は、最初に情報漏洩させてしまった下請け会社は、標的となったサーバから顧客情報を削除したとし、同様の事件が再発しないよう、各種の追加的な対策をとっているという。

Zurich の自動車保険に関連する、顧客情報へのハッキングに関しては、氏名／電子メールアドレス／保険証券番号／顧客 ID／生年月日／車両情報などが漏洩したと報じられている。

一連のインシデントの影響を受けたのは、両保険会社の日本人顧客のみとみられている。

Grip Security の CEO 兼共同設立者である Lior Yaari は、ハッカーは漏洩した認証情報を使用して、サーバに侵入した可能性が最も高いと主張している。

彼は、「認証情報を悪用した機密情報へのアクセスは、つまり、サードパーティ／元従業員に付与された過度の権限や、ゾンビ・アカウントのぶら下がりアクセスなどの悪用は、かつてないほど魅力的なものになっている。それにより、依然として攻撃者たちは、サードパーティと認証情報を悪用して、ターゲットのシステムへ侵入することを、最大の標的にしている」と加えている。

Eureka Security の CEO である Liat Hayun は、「現在の重要なデータ資産を安心して預けられる組織は存在しない。ユーザー組織は、日々の業務を遂行するために、サードパーティ・ベンダーを利用している。業務を円滑にしていくためには、自組織と同じレベルの、あるいはそれ以上のレベルの、データ・セキュリティ・ポリシーを持つサードパーティ・ベンダーと協力すべきだ」と述べている。

ついに、日本で展開される大手の保険会社まで、サイバー犯罪にターゲットにされ、顧客データが侵害されるという状況になってきました。関連する情報としては、以下のものがあります。

2022/11/07：Medibank にランサムウェア攻撃が発生：豪保険大手を脅迫
2022/11/03：Zurich と Mondelez の和解が成立：NotPetya マルウェア
2022/04/08：保険会社とランサムウェア：上位 99社のうち 18% が脆弱
2021/08/18：東京海上シンガポール支店がランサムウェアに遭う

また、保険業界に限定した話ではありませんが、2022/12/27 の BlueNoroff APT の戦術：日本への強い関心 も、よろしければ、ご参照ください。