米Aflacで2265万人の個人情報流出を確認、Scattered SpiderのIT職員なりすまし手口が判明

「2265万人って、もう国家規模の漏洩でしゅよね？」
「Scattered SpiderがIT職員になりすますって、ヘルプデスクは何を見分ければいいんでしゅか？」

チップス

うちの会社もコールセンターやヘルプデスクが大きいでしゅ……同じことが起きないか不安でしゅ。

ボス

ふふふ、攻撃の入口は技術ではなく「人」だな。Aflacが数時間で気付けた理由と、それでも止まらなかった理由の両方を見ていくぞ。

本記事では米Aflacの2265万人規模の情報漏洩事件と、Scattered Spiderが多用するヘルプデスク悪用手口、日本企業が取るべき備えを整理します。

読み終える頃には、ヘルプデスクとID管理の弱点を埋める判断材料が手に入ります。

Aflac事件で確定した被害規模

まずはAflacが正式に公表した内容と、攻撃の時系列を整理します。

健康情報・社会保障番号を含む最大級の個人情報流出

米保険大手のAflacは、2025年6月に検知したサイバー攻撃の調査を完了し、約2265万人分の個人情報が侵害された可能性があると公表しました。
対象は顧客・受益者・従業員・代理店に及び、氏名や連絡先に加えて、保険請求情報・健康情報・社会保障番号（SSN）といった機微な情報が含まれます。
Aflacは「異常検知から数時間以内に侵入を遮断した」と説明していますが、その短時間でファイルは持ち出され、ランサム化はされなかったものの大量のデータが外部に流出しています。
被害者には2年間のID保護サービスが提供され、登録期限は2026年4月18日とされています。

事件の主な数字をまとめると以下のとおりです。

チップス

数時間で止めても、ファイルは抜かれた後だったってことでしゅか……。

ボス

ああ、検知の早さと「データ持ち出しの早さ」は別物だ。今のScattered Spider系は数十分でデータを引き抜く前提で備える必要があるな。

Scattered Spider手口と日本企業の対策

本件で特に注目すべきは、攻撃の入り口がシステムの脆弱性ではなく「人」だった点です。

IT職員なりすましとヘルプデスク悪用への備え

Scattered Spiderは社員や委託先のIT担当者を装ってヘルプデスクへ電話・チャットし、パスワードリセットや多要素認証（MFA）の再登録をさせる手口で知られています。
正規ユーザのIDをそのまま乗っ取れるため、EDRやSIEMから見ると「本人のログイン」に見え、検知が後手に回りやすいのが厄介な点です。
日本企業でも、コールセンターや業務委託先を多く抱える保険・金融・通信事業者は同じ攻撃面を持ちます。
身元確認手順の再設計と、MFA再登録時の追加承認フローが、技術対策とセットで欠かせません。

今日からでも進められる対策は以下のとおりです。

チップス

うちのヘルプデスクは「すぐ対応」を売りにしてるから、承認プロセスを増やすのは反発が出そうでしゅ……。

ボス

そこは経営層巻き込みの説得が肝心だ。2265万人規模の漏洩コストを並べれば、数分の追加手順は十分割に合う投資だと理解されるはずだぞ。

まとめ：人を狙う攻撃に技術と運用で備える

Aflac事件は、最新のセキュリティ製品を導入していても「人を介した侵入」が成立しうることを改めて示しました。
2265万人規模の漏洩と健康情報・SSNまで含む内容は、保険・金融・医療といったセンシティブ情報を扱う業界全体への警告です。
ヘルプデスクの本人確認・MFA再登録手順・委託先統制を3点セットで見直し、技術と運用の両輪で「なりすまし」を弾く体制が問われています。
こうした人と仕組みの両面に踏み込む実務に挑みたい方は、ぜひセキュリティフリーランス案件で現場改善に関わってみてください。

参考: Security Affairs「Aflac confirms June data breach affecting over 22 million customers」 / The Record「More than 22 million Aflac customers impacted by June data breach」