保険会社アフラックが「高度なサイバー犯罪グループ」にシステム侵入を許し顧客データを盗まれた可能性があると公表、犯人は特定業界をターゲットにするScattered Spiderか

現地時間の2025年6月20日、アヒルのCMでおなじみの生命保険会社・アフラックが、「高度なサイバー犯罪グループ」によるサイバー攻撃を検知したと発表しました。アフラックはサイバー攻撃の被害範囲を調査中ですが、顧客の個人情報なども盗まれた可能性があります。

Aflac Incorporated Discloses Cybersecurity Incident
https://www.prnewswire.com/news-releases/aflac-incorporated-discloses-cybersecurity-incident-302487036.html

Inline Viewer: Aflac Incorporated 8-K 2025-06-20
https://www.sec.gov/ix?doc=/Archives/edgar/data/0000004977/000000497725000128/afl-20250620.htm

Aflac says it stopped attack launched by ‘sophisticated cybercrime group’ | The Record from Recorded Future News
https://therecord.media/aflac-cyberattack-potential-data-breach

Aflac latest victim of 'sophisticated cybercrime group' • The Register
https://www.theregister.com/2025/06/20/aflac_scattered_spider/

Aflac discloses breach amidst Scattered Spider insurance attacks
https://www.bleepingcomputer.com/news/security/aflac-discloses-breach-amidst-scattered-spider-insurance-attacks/

2025年6月12日、アフラックはアメリカにおける自社ネットワーク上で不審な活動を検知。サイバーインシデント対応プロトコルを開始し、数時間以内にシステムへの侵入を止めることに成功したそうです。アフラックのシステム自体はランサムウェアの影響を受けていないため、事業は継続しており、このインシデントへの対応と並行して顧客へのサービス提供は継続している模様。

アフラックは今回のサイバー攻撃について、「今回の攻撃は、現在多くの保険会社が経験しているのと同様に、高度なサイバー犯罪グループによって引き起こされたものです。これは保険業界に対するサイバー犯罪活動の一環です」と説明しています。

アフラックはセキュリティインシデントへの対応を支援するため、一流の第三者サイバーセキュリティ専門家と連携しています。今回のサイバー攻撃に関する調査はまだ初期段階にありますが、透明性と顧客への配慮を最優先に考え、「予備調査の結果、不正な第三者がソーシャルエンジニアリング手法を用いてアフラックのネットワークにアクセスしたことが判明した」と報告しました。

アフラックは影響を受けた可能性のあるファイルの確認を行っていますが、確認作業はまだ初期段階にあり、確認が完了するまでは影響を受けた個人の総数を特定することはできないと報告しています。なお、影響を受ける可能性のあるファイルには、顧客、受益者、従業員、代理店、およびアメリカ事業に関わるその他の個人に関する請求情報、健康情報、社会保障番号、その他の個人情報が含まれているとのことです。

なお、アフラックの専門チームが影響を受ける可能性のあるデータの確認に取り組んでいる間、専用コールセンターに連絡した顧客は、無料の信用情報モニタリング、個人情報盗難防止施策、24カ月のメディカルシールドサービスなどを受けられます。

テクノロジーメディアのThe Recordは、「この事件でアフラックと協力関係にある情報筋は、攻撃の特徴が『IT労働者を装って大企業に侵入することで知られる、英語圏のサイバー犯罪グループであるScattered Spiderの特徴を備えている』と説明しました」と報じました。

Googleは2025年6月の第3週頭に「Scattered Spiderが最近、攻撃対象を大手小売業者から保険業界に切り替えた」と警告していました。実際、アメリカの保険会社であるエリー保険とフィラデルフィア保険が、6月の第3週にサイバー攻撃に関する通知を発表しています。

スウェーデンの大手保険会社であるScania Financial Servicesも、6月の第3週にサイバー攻撃を受け、ウェブサイトがダウンしたことが報告されました。

セキュリティ企業・Mandiantの最高技術責任者であるチャールズ・カーマカル氏は、The Recordに対して「サイバー攻撃を受けたアメリカを拠点とする保険会社は複数あり、保険業界への攻撃は約1週間半前から始まりました」と語っています。

Googleの主任アナリストであるジョン・ハルトキスト氏は、「この攻撃者がこれまで特定の業界に焦点を絞ってきたことを考えると、保険業界は、ヘルプデスクやコールセンターを狙ったソーシャルエンジニアリングの手口に特に警戒を強めるべきです」と語りました。

なお、アフラックは2023年に日本のがん保険に加入している130万人の顧客データに関連するデータ侵害を受けました。アフラックはアメリカと日本で最大規模の保険会社のひとつであり、 2024年の総売上高は189億ドル(約2兆7700億円)と報告されています。