【セキュリティニュース】2026年11月9日｜損保72万件漏えいと偽の返金メール
「大企業が狙われたニュースばかりで、自社は何から手をつければいいのか分からない」。そんな声をよく聞きます。この数日は、損害保険会社グループでの大規模な情報漏えい、漏れた情報を使う巧妙な詐欺メール、自治体でも使われるCMSの脆弱性が相次いで公表されました。中小企業の立場で確認すべき点だけを整理します。
この記事でわかること
- 損害保険4社で計約72万件の情報漏えい(11月6日発表)の内容
- 漏えいした情報を使う「本物に見える」返金詐欺メールの見分け方
- CMS「SHIRASAGI」の脆弱性と修正版(v1.21.1)
- 今週のうちに自社で確認したいチェックリスト
1. 損害保険グループ4社で計約72万件の情報漏えい
何が起きたか
2026年11月6日、MS&AD傘下の損害保険各社が、システムへの不正アクセスによる顧客情報の漏えいを公表しました。報道によると合計で約72万件です。
| 会社 | 件数(公表値) |
|---|---|
| あいおいニッセイ同和損害保険 | 約44万4,000件 |
| 三井ダイレクト損害保険 | 約23万4,000件 |
| 三井住友海上火災保険 | 約3万7,000件 |
| 三井住友海上あいおい生命 | 約5,000件 |
対象は氏名・住所・電話番号・メールアドレスなどで、一部にクレジットカード番号の下4桁や口座番号の一部も含まれます。詳細は調査中と発表されています。
中小企業にとっての意味
入口になったのは社内サーバーではなく「お客様がログインして使うページ」です。自社サイトに会員ページ・予約フォーム・見積ページがあれば、同じ構図が起こり得ます。
今日からできる対策
- 自社サイトの会員・管理画面に、何回失敗しても入れる状態になっていないか確認する
- 管理者アカウントに二段階認証を設定する(多くのサービスで無料)
- 退職者・元委託先のアカウントが残っていないか棚卸しする
- ログイン履歴やアクセスログを誰が見る役割なのか決めておく
出典: 日本経済新聞 / 出典: あいおいニッセイ同和損害保険(公式発表)
2. 漏えいした情報を使う「本物に見える」返金メール
何が起きたか
11月6日の報道では、漏えいした情報をもとに、実際の注文内容や氏名を書き込んだ偽の「返金のお知らせ」が届く手口が紹介されています。警察庁も10月に、漏えいしたメールアドレス宛の詐欺メールについて注意を呼びかけています。
中小企業にとっての意味
- 「自分の情報が正しく書かれている」ことは、もう本物の証拠になりません
- 経理担当者が取引内容を書いた偽メールを受け取る、という形で業務にも入ってきます
今日からできる対策
- メール内のリンクや電話番号は使わず、公式アプリやブックマークから確認する
- 返金・振込先変更の連絡は、必ず電話など別の手段で相手に確認する
- 社内で「急かされたら一度止めて相談する」ルールを口に出して共有する
- 社内ルールの文面に迷う場合は社内ルールのひな形を下敷きにする
3. CMS「SHIRASAGI」に複数の脆弱性(11月5日公表)
何が起きたか
| CVE番号 | 影響 | 対象バージョン |
|---|---|---|
| CVE-2026-118869 | 任意のOSコマンドが実行される可能性 | v1.19.0〜v1.21.0 |
| CVE-2026-117679 | 閲覧者のブラウザで任意のスクリプトが実行される可能性 | v1.12.0〜v1.21.0 |
修正版として v1.21.1 が公開されています。SHIRASAGIは自治体サイトなどで使われるCMS(ホームページを管理する仕組み)です。
中小企業にとっての意味
自社が使っていなくても、構図は同じです。ホームページの土台となるCMSやPHPは、作った後も更新が必要な「設備」だと考えられます。詳しくはPHPのサポート終了と重大な脆弱性もあわせてご覧ください。
今日からできる対策
- 自社サイトのCMSの種類とバージョン、更新の担当者を書き出す
- 制作会社に保守契約の範囲(更新は含まれるか)を確認する
- 更新前のバックアップ取得を手順として決めておく
今週のチェックリスト
| 確認すること | 費用 | 目安時間 |
|---|---|---|
| 管理画面・会員ページの二段階認証を有効化 | 多くは無料 | 30分 |
| 不要なアカウント(退職者・元委託先)の削除 | 無料 | 1時間 |
| CMS・PHPのバージョンと保守範囲の確認 | 無料(確認のみ) | 30分 |
| 振込先変更・返金連絡は電話で裏取りするルール化 | 無料 | 15分 |
| 同じパスワードの使い回しをやめる | 無料 | 随時 |
よくある質問
Q. 当社は小さい会社なので、狙われないのでは?
A. 今回のような事案では、規模ではなく「インターネットから入れるログイン画面があるか」が入口になります。自動的に探される前提で備えるのが現実的だと考えられます。
Q. 漏えいした可能性があると案内が来たら、何をすべきですか?
A. まず公式サイトで発表内容を確認し、該当サービスのパスワードを変更します。同じパスワードを他のサービスで使っている場合は、そちらも変更してください。
Q. CMSの更新は制作会社がやってくれていますか?
A. 契約内容によります。「作って納品」までの契約で、更新は含まれていないケースが少なくありません。保守範囲を書面で確認することをおすすめします。
まとめ
- 11月6日、損害保険4社で計約72万件の情報漏えいが公表された(詳細は調査中)
- 狙われたのは顧客向けのログインページ。二段階認証とアカウント棚卸しが効く
- 漏えい情報を使った詐欺メールは、氏名や注文内容が正確でも偽物の場合がある
- CMS「SHIRASAGI」に脆弱性。修正版は v1.21.1
- 自社サイトのCMS・PHPのバージョンと保守範囲の確認から始める
オフィスフジタは岐阜県美濃加茂市を拠点に、岐阜・愛知の中小企業のIT環境とセキュリティ対策を支援しています。自社で何から手をつけるべきか分からない段階からご相談ください。
