要点
- 住友生命の健康プログラム「Vitality」の一部サービスで、約8万人の個人情報が外部に漏れた。
- 漏れた可能性があるのは、氏名・住所・電話番号・生年月日・メールアドレス・クレジットカード番号（一部は伏せ字）のいずれか。カード番号が対象の人は約1,000人。
- 現時点で不正利用は確認されていないが、本物そっくりの偽の電話やメールに使われるおそれがある。
何が起きたか
NTTデータと住友生命は2026年11月9日、同じ日付で発表した。NTTデータが住友生命から構築・運用を受託しているシステムに、第三者が不正にアクセスしたという。
両社の発表によると、経過は次のとおりだ。
- 11月2日: NTTデータが不正アクセスを確認し、その日のうちに住友生命へ伝えた。
- 11月3日: 外部からの接続を止め、サービスも止めた。
対象になったのは、Vitality健康プログラムの申し込みにかかわる次の2つのサービスだ。
- 住友生命Vitality体験版・企業型
- Vitalityスマート（福利厚生タイプを含む）
現在使っている人だけでなく、過去に使った人も含まれる。対象は約8万人。
漏れた可能性のある項目は、次のうち「いずれか」と発表されている。
- 氏名
- 住所
- 電話番号
- 生年月日
- メールアドレス
- クレジットカード番号（一部を伏せたもの）
カード番号が対象なのは約1,000人。保険契約の情報、保険契約に付随するVitalityの情報、歩数などの利用データは含まれないとしている。
原因や詳しい経緯は調査中だ。侵入の経路や、漏れたデータの行き先は公表されていない。住友生命は、漏れた情報がネット上に公開・拡散された事実は確認していないとしている。
影響が出ているサービスは限られる。Vitalityアプリと「Vitality保険」の新規申し込み・手続きは、これまでどおり使える。止まっているのは次の3つだ。
- 2つのサービスの新規申し込み
- Vitalityスマートの解約やカード情報の変更
- 福利厚生タイプの、団体向けの管理画面
再開の時期は、住友生命のホームページで知らせるとしている。
日本の利用者への影響
被害は日本の組織と利用者そのものだ。日本の大手生命保険会社のサービスで、委託先のシステムから情報が漏れた。企業の福利厚生で使っていた人も対象になりうる。
住友生命は、対象になる人の特定を進めている段階だ。本人への連絡方法（郵送かメールか）は、発表の本文に書かれていない。
今すぐやること
- 自分が対象かを考える。Vitality体験版・企業型、Vitalityスマートを今使っている、または過去に使ったなら、対象のおそれがある。勤め先の福利厚生で入った場合も含める。
- 不安なら住友生命の専用窓口に問い合わせる。電話は 0120-550-997、平日9時〜17時（2026年11月9日から）。
- NTTデータや住友生命を名乗る電話・メール・SMS・郵便物に気をつける。NTTデータは、パスワードやクレジットカード情報などの重要な個人情報を開示しないよう、十分に注意してほしいと呼びかけている。住友生命は、装ったメール・SMS・電話に注意するよう求めている。住友生命は、メールや電話で暗証番号などを尋ねることはないとしている。
- 届いたメールのリンクは開かない。気になるときは、自分で公式サイトを開くか、上の窓口に電話して確かめる。
- カード番号が対象かもしれない人は、カード会社の利用明細をこまめに見る。心当たりのない請求があれば、カード会社に連絡する。
背景
今回は、会社本体ではなく、システムを任された委託先で起きた漏えいだ。利用者は委託先の存在を知らないことが多く、自分では防ぎにくい。発注する側も、委託先の守りまでは見えにくい。
氏名・住所・電話番号・メールアドレスの組み合わせは、詐欺に使いやすい。「Vitality の手続きで確認が必要」といった、もっともらしい連絡が作れてしまうからだ。ここは今回の発表からの見立てであり、実際にそうした連絡が出ているとは確認されていない。
技術者向けの詳細
- 対象システム: Vitality健康プログラムの申し込みに使うシステム（NTTデータが住友生命から受託）
- 時系列（発表による）: 11/2 不正アクセスを確認・住友生命へ報告 → 11/3 外部アクセスを遮断、サービス停止 → 11/9 両社が発表、窓口開設
- 侵入経路・原因・漏えい開始時期: 未公表（調査中）
- 侵入された跡（IoC）: 未公表
- 住友生命の発表では、委託先がアクセスログ等を調査して漏えいを確認したとされる
- 続報の有無は両社のサイトで確認を
