カーステーション新潟、保険申込情報が流出した可能性 — 業務端末の操作中に「外部からの不正な誘導」を受けたか

項目	内容
発生日	2026年3月25日（流出の可能性が判明）
対象組織・業界	カーステーション新潟（自動車販売・整備）
攻撃手法	調査中（業務端末の操作過程で外部から不正な誘導または不適切な操作が加わった可能性）
情報源	Security NEXT（2026年4月14日）

概要

自動車の販売や整備などを手がけるカーステーション新潟は、2026年4月14日までに、同社が管理する保険の申込情報が外部に流出したおそれがあることを明らかにしました。

同社によると、同社が管理する「ココセレクトほけん」の申込者に関する氏名、住所、電話番号、生年月日などが外部に流出した可能性があることが2026年3月25日に判明したとしています。件数は公表されていません。

不正利用による二次被害などは確認されていないものの、同社関係者による業務端末の操作過程において、外部から不正な誘導または不適切な操作が加わった可能性があり、端末内部に保存されていた情報が第三者に参照されたおそれがあるとしています。

経緯

• 2026年3月25日: 「ココセレクトほけん」申込者の情報が外部に流出した可能性が判明
• 個人情報保護委員会へ報告。対象となるシステムや原因など詳細を調査中
• 2026年4月14日: 報道により判明。不正利用による二次被害は確認されていない

原因

原因は調査中で、確定した侵入経路は公表されていません。同社の説明は「同社関係者による業務端末の操作過程において、外部から不正な誘導または不適切な操作が加わった可能性」という表現にとどまっています。

考えられる原因（推測）: この表現から読み取れるのは、サーバやネットワーク機器への侵入ではなく、人が操作している端末が起点になったという見立てです。具体的には、(a) 偽の警告画面やサポートを装った誘導で遠隔操作ツールをインストールさせる「サポート詐欺」型、(b) 検索結果やバナーから偽のダウンロードサイトへ誘導し、正規ソフトを装ったマルウェアを実行させる型、(c) フィッシングサイトで業務システムの認証情報を入力させる型、が典型として考えられます。「端末内部に保存されていた情報が第三者に参照されたおそれ」という書き方は、サーバ上のデータベースではなく、担当者の端末に置かれていた申込関連ファイルが対象であることを示唆しています。件数が公表されていないのも、端末内のファイルという性質上、対象範囲の確定に時間がかかっているためと推測されます。

対策

組織が学ぶべきこと

1. 「サーバは無事」でも被害は成立する

本件で参照されたおそれがあるのは、端末内部に保存されていた情報です。基幹システムやサーバへの侵入がなくても、担当者が業務のために手元に置いていたファイルが、そのまま流出の対象になります。申込書のPDF、集計用の表計算ファイル、メールの添付。これらが端末のローカルに何年分たまっているかを、組織が把握していることは稀です。端末に置かれる業務データを減らす（共有ストレージへの集約、ダウンロードフォルダの定期整理）だけで、同じ侵害でも流出量は大きく変わります。

2. 保険の申込情報という組み合わせの重さ

氏名・住所・電話番号・生年月日は、単体では「よくある個人情報」ですが、保険の申込という文脈と結びつくことで、詐欺の材料としての価値が跳ね上がります。「ご契約の保険についてご連絡しました」と名乗る電話は、この四点が揃っていれば本人にとって疑いにくいものになります。対象者への注意喚起では、漏えいの事実だけでなく「どういう装いの連絡に注意すべきか」まで具体的に伝える必要があります。

3. 「不正な誘導」を受けた本人が、すぐ言えたか

端末操作の途中で外部からの誘導を受けたタイプの事案では、本人が「何かおかしい」と感じてから申告するまでの時間が被害規模を決めます。画面に警告が出て、指示どおりに操作してしまった——この経験は本人にとって言い出しにくく、しかも「何が起きたか自分でも分からない」状態です。この状況で即座に手を挙げられる職場かどうかが、事後対応の初速を左右します。

ヤグラの視点 — 訓練のマルチチャネル化：攻撃はもう、メールの受信箱の中だけでは起きない

「怪しいメールを開かない」——多くの組織の訓練は、いまだにこの一点に集中しています。しかし本件で起点になったとみられるのは、業務端末を操作している最中の誘導でした。メールを開いた記憶すらないかもしれません。

攻撃の入口は、この数年で明確に広がっています。ブラウザに突然出る偽の警告画面と表示された電話番号。検索結果の上位に置かれた偽のダウンロードサイト。SMSで届く配送業者を装った通知。「画面に出た指示どおりにコマンドを実行させる」手口。共通しているのは、メールフィルタの外側で完結するという点です。

そして、これらに遭遇するのは情報システム部門ではなく、通常業務の途中にいる現場の担当者です。年に一度の標的型メール訓練でクリック率を測っても、こうしたチャネルに対する備えは測れません。前提に置くべきなのは、人は騙されるし、間違えるという事実であり、そのうえで「どのチャネルからでも騙されうる」という広がりを訓練の設計に反映する必要があります。

人的要因への対策としては、最新のAI攻撃手口（SMS・電話・偽警告画面など）を反映したマルチチャネル型の訓練が有効です。→ ヤグラ アウェアネス

そのうえで、遭遇した本人が即座に報告できる導線を用意することが、被害の確定を防ぎます。報告の間口を1クリックまで下げ、報告内容をAIが数分で分析して影響範囲まで自動調査する体制が、「言い出しにくい」を「とりあえず押しておく」に変えます。→ PhishAI

今後の対応

同社は対象となるシステムや原因の詳細について調査を継続しています。流出した可能性のある情報の件数、侵入経路の特定結果、および対象者への通知状況に関する続報を注視します。

更新履歴

日時	内容
2026-08-07	初稿公開（2026年4月14日報道時点）