損害保険ジャパン株式会社のサイバー攻撃被害事例

AI要約・精査

要約

精査

AI要約

AI精査

ChatGPTによるAI精査

GeminiによるAI精査

サイバー攻撃の被害事例

損害保険ジャパン株式会社

不正アクセス

被害発生日2025年4月17日

企業名損害保険ジャパン株式会社

事例の概要

企業名	損害保険ジャパン株式会社
売上高	2兆2,299億円（2024年度）
総資産	7兆1,901億円（2024年度）
従業員数	20,731名（単体）（2024年度）
被害発生日	2025年4月17日
被害の内容	社内Webシステム（各種指標管理を主としたサブシステム）に第三者による不正アクセスを受け、最大1,750万件（約1,748万件）の情報が漏えいまたは外部から閲覧された可能性。顧客情報（証券番号等）約904万件、代理店情報約844万件が含まれる。
出典	損保ジャパン、Webシステムへの不正アクセスで顧客データなど約1750万件流出の恐れ

対策に向けたガーディアンの見解

1「セキュアバイデザイン」思想に基づくWebアプリケーション開発・運用体制の構築

インシデントの侵入口が「Webシステム」であったことから、アプリケーションそのものに脆弱性が存在したか、あるいはその稼働環境に設定ミスがあった可能性が極めて高いと考えられます。完成したシステムの外側からセキュリティ対策を施すだけでは、巧妙な攻撃を防ぐことは困難です。対策の方向性: システムの企画・設計段階からセキュリティを組み込む「セキュアバイデザイン」または「シフトレフト」と呼ばれる考え方を徹底すべきです。具体的には、開発の上流工程で脅威となりうる箇所を洗い出す脅威モデリングを実施し、開発者に対してセキュアコーディングの教育を徹底します。さらに、開発プロセスの中に、ソースコードの脆弱性を自動で検査するツール（SAST）や、稼働中のアプリケーションを擬似的に攻撃して検査するツール（DAST）の組み込みを必須とします。これにより、脆弱性が作り込まれることを防ぎ、リリース前に問題を修正する文化とプロセスを確立します。

2ゼロトラスト原則に基づくデータアクセス制御と最小化

一つのWebシステムへの不正アクセスが、905万件という膨大な個人情報へのアクセスを許してしまった事実は、そのシステムに過大なデータアクセス権限が付与されていたことを示唆しています。万が一システムが侵害されても、被害を最小限に食い止める「データ中心」の防御策が不可欠です。対策の方向性: 「何も信頼しない」を前提とするゼロトラストの原則に基づき、システムや利用者からのデータアクセスを厳格に制御すべきです。Webシステムには、そのトランザクションで必要となる最小限のデータへのアクセス権限しか与えない**「最小権限の原則」を徹底します。また、データベースに保管されている個人情報、特に口座情報のような機微なデータは、アプリケーションレベルで暗号化したり、意味のない別の文字列に置き換えるトークナイゼーション**を施したりすることで、万が一データが窃取されても、その内容を解読・悪用されるリスクを大幅に低減できます。

3侵害の早期検知と迅速な対応（EDR/NDR）体制の強化

攻撃者が4月17日から21日までのおよそ5日間にわたりシステム内部で活動していた可能性があり、この「潜伏期間（Dwell Time）」が被害を拡大させる一因となりました。攻撃の痕跡をいかに早く見つけ出し、封じ込めるかが、情報漏えいの被害を最小化する上で決定的に重要です。対策の方向性: 従来の境界型防御に加えて、内部に侵入した脅威を早期に検知し、対応する能力を強化する必要があります。具体的には、Webサーバーやデータベースサーバーなどの挙動を常時監視し、不審なプロセス実行や通信を検知・ブロックする**EDR（Endpoint Detection and Response）を導入します。さらに、ネットワーク全体の通信を監視・分析し、不正なデータ持ち出しの兆候などを検知するNDR（Network Detection and Response）を組み合わせることで、攻撃者の内部活動を多角的に捉えることが可能になります。これらのツールからの警告を24時間体制で分析・対応するSOC（Security Operation Center）**を構築することで、インシデントの検知から封じ込めまでの時間を劇的に短縮できます。

企業がするべきセキュリティ対策については

サプライチェーン攻撃の起点は中小企業にある

ランサムウェアのカラクリと、ホームページ・メール・ブラウザ「3つの接点」の対策をまとめて解説しています。

対策の解説を読む

お勤め先のホームページは大丈夫ですか？守りの基本を無料で確かめられます

セキュリティ対策を相談する

大企業の情報システム・調達のご担当者取引先のセキュリティを診断で確かめる中小企業の経営者・ご担当者自社のホームページの守りを無料で確かめる

SOLUTION

GUARDIANの
サイバーセキュリティ
対策サービス

SCAN DOG ライト版

まずは大企業が保有する取引先（中小企業）数千社規模をライト版で一斉に簡易診断し、現状把握しましょう！経済産業省も推進する『サプライチェーン強化に向けたセキュリティ対策評価制度』にも対応した、自己評価・第三者評価をクリアにし、次なる対策「SCSC Dog」で課題を解決していきましょう。

SCSC Dog

診断によって現状把握を終えた取引先（中小企業）には、評価という結果＝課題だけが残ります。その解決策として、同時にご提供するのがSCSC Dogとなります。セキュリティ対策に特化した弊社WEBプラットフォーム上に、取引先（中小企業）ホームページをお預かりしサプライチェーン網をこれまで以上に強固なものへ引き上げます。

SCAN DOG 正規版

WEBプラットフォームとして安全を確保して終わりではありません。SCSC Dogご利用のお客様ホームページには、世界水準で最新鋭の攻撃パターンを網羅した第三者機関による診断サービス「SCAN DOG 正規版」を定期的に受け続けることができ、一時的な対策だけではなく恒久的に保全し続ける環境をご提供します。