米自動車保険会社AssuranceAmericaで699万人の運転免許・SSN漏洩、従業員認証情報が侵害の起点に

「自分の免許証番号が漏れてたらどうすればいいの？」
「保険会社って個人情報の塊でしゅよね……。」

チップス

ボス、アメリカの自動車保険会社で700万人近くのデータが漏れたってニュースを見たでしゅ。

ボス

AssuranceAmericaという米国の非標準自動車保険会社が、2026年3月の侵害で約699万人の運転免許番号・社会保障番号・保険情報を流出させた。起点は従業員の認証情報の窃取だ。

侵害は3月16日に起きており、7月10日に通知が始まるまで約4ヶ月のタイムラグがありました。
この記事では、AssuranceAmericaの侵害の経緯と手口、そして個人として取れる対策を解説します。

運転免許番号とSSNの組み合わせは、なりすまし詐欺に直接使える情報です。被害者は早急な対応が必要です。

事件の概要：24時間以内に検知も、700万人分は既に盗まれていた

AssuranceAmericaは、米国14州の9,500以上の独立代理店を通じて非標準自動車保険・賃貸保険を提供するアトランタ拠点の会社です。
攻撃者は2026年3月16日、従業員のアカウント認証情報を標的として侵入に成功しました。

チップス

検知が翌日なのに700万人分も盗まれるんでしゅか？

ボス

侵入から盗取まで時間はかからない。保険会社のデータベースは構造化されているため、正規の権限で入れば大量のレコードを短時間で持ち出せる。翌日の検知は速い部類だが、1日あれば十分すぎるほどだ。

AssuranceAmericaが3月17日に不正アクセスを検知してから取った対応は次の通りです。

その後の調査で漏洩対象者が698万8,886人に上ることが判明し、7月10日から被害者への通知レターの発送が始まりました。
侵害から通知まで約4ヶ月。米国ではデータ侵害通知に関する州法が各州にありますが、調査終了後の通知となるため、このような期間が生じることがあります。

漏洩データの内容と影響：運転免許＋SSNは「なりすましの完全セット」

今回流出したデータの種類をまとめると次の通りです。

チップス

SSNと免許証が両方漏れてるってすごく怖いでしゅ……。

ボス

この組み合わせは「なりすましの完全セット」と呼ばれる。米国ではSSNと免許証番号があれば銀行口座を開設したり、ローンを組んだり、連邦税の還付詐欺を行ったりできる。被害者は何年も後になって知ることも珍しくない。

今回の侵害は「今年最大級の米国保険データ漏洩」と複数のセキュリティメディアが評価しています。
非標準保険の利用者は信用情報が脆弱な傾向があるとされるため、被害の深刻度は通常の侵害より高くなる可能性があります。

まとめ：被害者がすべき対応と、企業が学ぶべき教訓

AssuranceAmericaから通知レターを受け取った人（あるいは14州で同社の保険に加入している人）は、すぐに行動を起こすべきです。

チップス

被害者はどうすればいいでしゅか？

ボス

まずEquifax・Experian・TransUnionの3社に信用情報の凍結を申請することだ。これで新規クレジットの開設を防げる。次にIRS（米国税務当局）にIPピンを申請して、自分のSSNを使った確定申告詐欺を防ぐ。どちらも無料だ。

個人の対策をまとめます。

企業側の教訓としては、従業員認証情報の保護が最前線である点です。
今回も「従業員の認証情報が侵害の起点」でした。フィッシング耐性のある認証（パスキーや物理セキュリティキー）の導入と、異常なデータアクセスを即座に検知するDLPの整備が急務です。