新日本検定協会にランサム攻撃、東京海上日動など損保契約者1,500件に漏洩リスク

「うちが委託している先がランサム攻撃に遭ったら、契約者情報はどうなるんでしゅか？」
「保険業界の委託先攻撃って、いま何が問題になっているんでしゅか？」

チップス

ボス、新日本検定協会へのランサム攻撃で、東京海上日動の契約者情報まで漏れそうって聞いたんでしゅが、これってどういう仕組みなんでしゅか？

ボス

そうだな。今回のケースは「委託先経由」での情報漏洩で、損保大手4社が同じ協会に業務を委託していたため、被害が連鎖的に広がる構図になっている。

2026年5月、新日本検定協会へのランサムウェア攻撃で東京海上日動など複数の損害保険会社の契約者情報に漏洩リスクが及ぶ事案が公表されました。
本記事では、事件の経緯と委託先攻撃のリスク・対策をわかりやすく整理していきます。

業務委託先への攻撃は近年急増しており、契約者・顧客への波及がもっとも警戒される領域です。
事件の経緯、被害規模、そして利用企業が押さえるべき対策の順に整理していきます。

事件の概要：5月11日に東京海上日動が委託先被害を公表

東京海上日動は業務委託先である新日本検定協会のランサムウェア被害を2026年5月11日に公表しました。

検知から公表までの時系列

同協会は2025年11月にサーバへのアクセス不能を検知し、外部専門機関による調査の結果、複数サーバでデータが暗号化されていたことが判明しました。
判明した主な事実は以下の通りです。

詳細はITmedia NEWSの報道と東京海上日動のお詫び文で確認できます。

チップス

11月の検知から公表まで半年もかかってるんでしゅか？遅すぎる気がしましゅが…

ボス

調査機関による被害範囲の特定には数か月かかるのが通例だな。だが委託元への一次連絡はもっと早期に行われるべきで、今後の業界ガイドラインで論点になるはずだ。

攻撃手口と委託先攻撃の構造

今回の手口は暗号化と情報窃取を組み合わせる二重恐喝型で、損保業界の委託構造に深く絡む典型事例です。

ファイル転送ツールが示す情報窃取の痕跡

近年のランサム攻撃は暗号化単独ではなく、外部送信ツールでデータを抜き取ってから暗号化する手法が主流です。
漏洩のおそれがある情報の内訳は以下の通りです。

損保4社で連鎖被害、サプライチェーン攻撃の典型

新日本検定協会は損保大手4社から損害査定業務を受託しており、1社の被害が複数の損保契約者に波及する構図でした。
委託先攻撃で特に警戒すべき観点は以下の通りです。

チップス

1社の事件で4社の契約者が巻き込まれるんでしゅか…これは怖いでしゅね。

ボス

共通委託先はコストメリットがある反面、単一障害点になりやすい。委託先のセキュリティ評価は契約締結時だけでなく、定期的な再評価が欠かせないのだ。

まとめ：委託元・委託先ともに体制強化が急務

今回の事件は、共通委託先がランサム被害に遭うと損保業界全体に被害が波及することを示しました。
委託元は契約時のセキュリティ要件設定だけでなく、定期監査・即時通報体制の整備が必須です。
委託先側もEDR導入や多要素認証の徹底など、基礎的な防御を強化していく必要があります。

チップス

委託先のセキュリティも自社の問題として考えないとダメでしゅね。今日から見直しましゅ！

ボス

ふふふ、それでこそだ。サプライチェーン全体で守るという視点を持って、契約と運用の両面で備えていこう。