審調社、ランサム被害で約10.2万件の個人情報流出を確認 — 医療系要配慮情報1,200件を含む

項目	内容
発生日	2025年6月27日
対象組織・業界	株式会社審調社（保険事故調査業）
攻撃手法	ランサムウェアによる外部からのサイバー攻撃
情報源	Security NEXT（2025年12月9日）

概要

損害保険会社向けの事故調査・鑑定業務を手がける株式会社審調社は、2025年12月9日、同年6月に発生したランサムウェア攻撃に関する調査結果を公表しました。約102,700件の個人情報流出が確認され、そのうち約1,200件には医療関係の要配慮情報が含まれていました。

流出内訳は、約89,000件が管理番号・証券番号のみ、残り約13,700件が氏名・生年月日・性別・住所・電話番号・メールアドレスを含むもの。加えて約1,030件について追加の個人情報が流出した可能性が指摘されています。

経緯

• 2025年6月27日: 外部からのサイバー攻撃（ランサムウェア）を受け、社内システムに被害が発生
• 6月〜12月: 外部専門機関の協力のもと、被害範囲・流出情報の調査を実施
• 2025年12月9日: 調査結果を公表。約10.2万件の個人情報流出と、要配慮情報を含む被害内容を明らかにする

原因

侵入経路・初期アクセスの手法は公表されていません。同社は「外部よりサイバー攻撃を受けた」とのみ説明しており、ランサムウェアの種別・暗号化範囲・身代金要求の有無なども開示されていません。

考えられる原因（推測）: 保険事故調査業のように損保会社と多数のクライアント企業を結ぶ位置にある事業者では、(a) VPN・リモートアクセス機器の脆弱性悪用、(b) 委託元・委託先とのやり取りを装った標的型メールによる認証情報窃取、(c) 公開Webサーバや業務システムのパッチ未適用箇所からの侵入、が典型的な侵入経路として考えられます。約10万件超の個人情報がまとまって流出している点から、顧客管理・案件管理データベースにアクセス可能なサーバまで侵害が到達した可能性が考えられます。

対策

組織が学ぶべきこと

1. 要配慮情報の保有事業者に求められる説明責任のレベル

本件で流出した1,200件には「医療関係の要配慮情報」が含まれています。要配慮情報の漏えいは、個人情報保護法上で本人通知・個人情報保護委員会への報告義務がより厳格に運用され、事後の説明責任の水準も高まります。事故調査業のように「他社事故の医療情報を扱う」立場にある事業者は、通常の個人情報保有企業以上に、侵入されたか／何を持ち出されたか／誰の何の情報かを後日きちんと説明できる状態を平時から作っておく必要があります。

2. 発生から公表まで約5ヶ月

6月末の攻撃発生から12月の詳細公表まで約5ヶ月が経過しています。この長さ自体を批判するのは早計で、要配慮情報を含む10万件超の被害範囲を確定させる作業には相応の時間がかかります。ただし、その5ヶ月の間に「何をどこまで確認できたか」を段階的に説明できるかは、対象顧客・監督当局・委託元保険会社との信頼関係を左右します。ログが揃わないと「調査中」以上の説明ができない期間が延び、その間に憶測報道が先行するリスクがあります。

3. 委託構造の中の情報責任

損保業界では、保険会社→事故調査会社→医療機関、というデータ受け渡しが日常的に発生します。委託元保険会社にとって「委託先の1社」で起きた事故が、最終的には自社顧客への説明責任として跳ね返ってきます。委託先のセキュリティ状況を委託元がどこまで把握・要求できるかは、サプライチェーンリスク評価の観点でも重要度が増しています。

ヤグラの視点 — 説明責任のログ：要配慮情報を扱う事業者に問われる「後から説明できる状態」

要配慮情報を含む個人情報を大量に保有する事業者にとって、インシデント時に問われるのは「侵入されたかどうか」以上に、「侵入された後に、誰の何の情報が持ち出されたかを説明できるか」です。個人情報保護委員会への報告・本人通知・監督業界（金融庁・保険会社）への説明のいずれも、精緻なログと調査の跡付けを求めます。

平時から認証ログ・ファイルアクセスログ・アウトバウンド通信ログ・データベース監査ログを揃え、横断的に相関分析できる基盤を用意しておくことが、インシデント発生後の「調査中」期間を短くし、要配慮情報を扱う事業者としての説明責任を果たす条件になります。ヤグラの AI SOC は、複数のログソースを集約・横断監視し、攻撃の到達範囲と持ち出し痕跡を短時間で可視化するための基盤を提供します。

今後の対応

同社は個人情報保護委員会への報告を実施し、対象者への通知を進めているとみられます。要配慮情報を含む1,200件については、通常の漏えい以上に本人フォローの丁寧さが求められる局面です。委託元保険会社の対応方針・監督当局からの追加報告要求の有無を含め、続報を注視します。

更新履歴

日時	内容
2026-07-30	初稿公開（2025年12月9日の調査結果公表を元に、アーカイブ整備の一環として記事化）