KDDI顧客情報に漏えいの可能性｜ライフネット生命の連携システムに不正アクセス

KDDIとライフネット生命は2026年10月30日、両社の連携システムへの不正アクセスにより、KDDIが保有する顧客情報の一部が外部へ漏えいした可能性があると発表しました。対象者には順次、個別に案内するとしています。対象となるメールアドレスや電話番号への不審なメール、SMS、電話に注意が必要です。両社は、パスワードや暗証番号を尋ねることはないと明記しています。

公表された6区分の件数を合算すると22,541件です。ただし、これは本サイトが表の件数を合計した値であり、重複を除いた人数を独自に確認したものではありません。不正アクセスは確認されていますが、情報の外部漏えいについては「可能性」の段階です。本稿は11月1日にKDDI・ライフネット生命の共同発表（2026年10月30日）の本文を確認して整理しました。

10月23日に検知し翌日に連携経路を遮断

ライフネット生命のシステムのうち、KDDIと連携する部分を発表資料は「LNシステム」、KDDI側のシステムを「Kシステム」と呼んでいます。ライフネット生命は10月23日にLNシステムへの不正アクセスを検知し、同日KDDIへ報告しました。被疑箇所を特定して技術的な防御措置を実施し、KDDIは翌24日にLNシステムからKシステムへのアクセス経路を遮断しています。

調査では、第三者がLNシステムの一部機能の脆弱性を通じ、Kシステムの顧客情報を取得した可能性が判明したと説明しています。脆弱性の種類、製品名、CVE番号、実際の侵入開始日時は資料に示されていません。検知日を攻撃開始日と同一視したり、特定の攻撃手法やランサムウェアへ結び付けたりする根拠はありません。

対象情報は6区分で公表

漏えいした可能性がある情報は、氏名・郵便番号・電話番号・メールアドレス・会員識別子の組み合わせで区分されています。すべての対象者について同じ項目が含まれるわけではありません。

上記に加え、一部の顧客では性別と生年月日も漏えいした可能性があります。一方、パスワード、クレジットカード情報、口座情報、運転免許証などの本人確認情報は含まれないとしています。ライフネット生命が保有する保険契約に関する情報も対象には含まれません。この説明を、顧客情報の影響が一切ないという意味へ広げないことが必要です。

通信設備への影響と保険申込機能の停止を分ける

共同発表は、不正アクセスの範囲がLNシステムからKシステムへの連携に限定され、KDDIの通信・サービスなどの設備とライフネット生命の他のシステムへの影響はないと説明しています。一方、LNシステムを利用する「au の生命ほけん」では、申し込み受け付けを含む一部機能がメンテナンス中です。通信設備への影響がないことと、利用者向けの全機能が通常どおり使えることは別です。

両社は影響範囲の全容把握に向けて調査を続け、再発防止策を策定し、関係当局への報告などを進めています。10月30日発表時点では、対象情報を基にした不正利用などの二次被害は確認されていません。ただし、これは今後の被害が起きない保証ではなく、調査継続中の状況です。

個別案内と不審な連絡への対応

公式に求められているのは、対象者への個別案内の確認と、不審な連絡への注意です。問い合わせ先は共同発表に掲載されています。パスワードや暗証番号を求める連絡は、両社の説明と一致しません。案内を装うメールやSMSのリンクから入力を進めず、公式サイトや発表資料の窓口を自分で確認する方法を本サイトでは勧めます。

運用担当者にとっての示唆は、連携先での不正アクセスが、自社側で保有するデータの影響評価にもつながる点です。今回確認された防御措置は連携経路の遮断ですが、そのことだけで漏えいの有無や範囲が確定したわけではありません。自社で類似の構成を扱う場合も、連携の停止、対象データの確認、利用者通知を別々の対応として記録することが有用です。これは本サイトの提案であり、両社で未公表の対策が実施されたと推定するものではありません。