保険会社を狙うサイバー攻撃が流行 日本にも被害が及ぶのか

業界ごとに攻撃を繰り返すサイバー攻撃者が保険業界を狙い始めた。Aflacの事例を紹介する。

[David Jones，Cybersecurity Dive]

　大手保険企業のアフラック（Aflac）は2025年6月20日（現地時間、以下同）に、サイバー攻撃を受けたことを明らかにした。同社は米国と日本で事業を展開している。

次々に狙われる保険企業

　Aflacを狙った攻撃は2025年6月12日に起きた。これは単発の攻撃ではなく、保険業界を狙った大規模なサイバー犯罪の一環とみられている。つまり、次にどの保険企業が狙われるのか分からないということだ。

　Aflacによると、攻撃は数時間以内に封じ込められて、その後システムが正常に稼働していることを確認できたという。

　Aflacは米国証券取引委員会（SEC）に提出した書類の中で次のように記した（注1）。

　「インシデントへの対応を進めている。顧客へのサービスは引き続き継続しており、保険の引き受けや保険金の審査、その他の業務は通常通りだ」

　Aflacに対するインシデントは保険業界を標的とした大規模なサイバー犯罪の一環だ。調査した企業によれば、「Scattered Spider」と呼ばれるグループによるものだという。2024〜2025年にScattered Spiderは米国と英国の小売業者を狙い、数週間にわたる攻撃キャンペーンを展開したばかりだ。

　保険企業のErie Insurance Groupは、2025年6月7日から始まったサイバー攻撃の標的になったことを同年6月9日の週に発表した（注2）。Erie Insurance Groupは同年6月17日に「システムの制御をすでに取り戻しており、悪意のある活動の痕跡はそれ以上見つかっていない」と述べた。

　Erie Insurance Groupは外部のフォレンジックの専門家と連携し、顧客や代理店、従業員が全ての機能に再びアクセスできるように復旧作業を進めている。

　Googleの脅威インテリジェンスチームに所属する研究者は、2025年6月16日に「小売業界を標的としていた攻撃者グループが標的を保険業界に切り替えた」と警告した（注3）。Googleは攻撃の犯人を断定していないが、「2023年にMGM ResortsやCloroxを攻撃した脅威グループ『Scattered Spider』の特徴が見られる」と述べた。

　Google Threat Intelligence Groupのジョン・ハルトクイスト氏（チーフアナリスト）は、『Cybersecurity Dive』に送った声明の中で次のように述べた。

　「Scattered Spiderは特定の業界を集中的に狙う傾向がある。保険業界は警戒を強めるべきだ。特にヘルプデスクやコールセンターを標的にしたソーシャルエンジニアリング攻撃には注意が必要だ」

　小売業界への攻撃は2025年4月に始まり、英国ではMarks and Spencerや（注4）、高級百貨店チェーンのHarrodsが主に被害を受けた。米国では、Victoria’s Secretや、Amazonの傘下の食品チェーン企業のWhole Foods Marketの最大の供給業者のUnited Natural Foodsに被害が及んだ。

　Aflacは不正アクセスされた可能性のあるファイルに関する調査を開始したものの、調査はまだ初期段階にあり、影響を受けた人数を現時点で特定することはできないという。

　ファイルには顧客や従業員、受取人、代理店、その他の個人に関する保険金請求情報や健康記録、社会保障番号などの個人情報が含まれていた。

　今後Aflacは規制当局へ通知し、影響を受けた個人に対して情報流出に関する通知書を送付し、クレジットの監視や個人情報盗難対策のサービスを提供する予定だという。

出典：Aflac discloses cyber intrusion linked to wider crime spree targeting insurance industry（Cybersecurity Dive）
注1：Aflac Incorporated（Aflac）
注2：Erie Insurance: June 2025 Cybersecurity Incident Update（Erie Insurance）
注3：Threat group linked to UK, US retail attacks now targeting insurance industry（Cybersecurity Dive）
注4：Marks & Spencer restores some online-order operations following cyberattack（Cybersecurity Dive）

原文へのリンク