KDDIで最大2万2千件の情報流出の恐れ、なぜ?ライフネット生命への不正アクセスが原因、auの契約者は対象か

KDDIは、保有するユーザー情報の一部が外部に流出した恐れがあると明らかにした。NHKや共同通信などが10月30日に報じ、件数は最大で2万2千件余りとされる。きっかけは、生命保険の販売で連携するライフネット生命保険のシステムへの不正アクセスだった。報道を基に、現時点で分かっている内容を整理する。

KDDIの情報流出、何が起きたのか

SmartScopeがまとめた報道によると、ライフネット生命が10月23日に不正アクセスを確認してKDDIに報告し、KDDIは翌日にアクセス経路を遮断したと伝えられている。流出の恐れがあるのは、ライフネット生命が保守する「auの生命ほけん」の一部機能に関わる情報だ。

件数は、共同通信によれば最大で約2万2千件。TBSを引用した報道では約2万2,500件とされ、媒体によって数字が少し異なる。ITmedia Mobileは、項目の組み合わせで最も多いものが8,434件だったと伝えている。

auの契約者全員が対象かどうかは、確認した報道には書かれていない。「全員が対象」とは言えず、あくまで一部のユーザー情報とされている点には注意したい。

報じられている項目は、氏名、メールアドレス、郵便番号、電話番号、会員識別子など。一部には性別と生年月日も含まれるという。一方で、パスワード、クレジットカード情報、口座などの金融情報、保険の契約情報は含まれないとされる。

金融情報が含まれないのは救いだが、氏名とメール、電話番号がそろうと、なりすましメールや電話に使われる余地が生まれる。そこが警戒点になる。

原因は、KDDIの本体ではなく連携先であるライフネット生命のシステムの脆弱性を突いた不正アクセスとされる。企業が外部と連携するほど、守る範囲が広がるという難しさが改めて浮かぶ。ただし、攻撃の手口や詳細な経緯は公表されておらず、原因の全体像は今後の調査を待つ必要がある。

KDDIについては、2026年6月にISP向けメールシステムへの不正アクセス(最大1,422万件の可能性)が公表されており、今回はそれとは別の件と報じられている。

現時点で悪用は確認されていない。対象のユーザーには順次、個別に案内が行われる予定だ。KDDIは不審なメールや電話への注意を呼びかけており、企業側からパスワードや暗証番号を尋ねることはないとしている。

実際の対策としては、KDDIやauを名乗る心当たりのないメール、SMS、電話のリンクや添付ファイルを開かないこと、本物かどうか確かめたいときは連絡内のリンクではなく公式サイトや公式アプリを自分で開くことが基本になる。

KDDIの情報流出の恐れは、連携先のライフネット生命への不正アクセスが発端で、件数は最大約2万2千件と報じられた。パスワードや金融情報は含まれないとされるが、氏名や連絡先を悪用した詐欺には注意が必要だ。詳細はKDDIとライフネット生命の公式発表で確認してほしい。