プレステージ・インターナショナルに不正アクセス、最大約550万件

何が起きたのか

プレステージ・インターナショナルは2026年11月2日、グループの業務システムが不正アクセスを受けたと公表しました。グループ会社のプレステージ・コアソリューション（PCS）が取引先から受託している業務で扱う、お客様の個人情報が外部に持ち出されました。

検知は10月29日です。同社は不正に使われた認証情報を無効にしましたが、その後も不正アクセスが続いたため、10月30日にシステムを止めています。原因と影響の範囲は、外部の専門機関と調べています。

委託元の損害保険ジャパンは11月5日に発表を出しました。対象のシステムはPCSの業務システム「PremierNet2（PN2）」です。損保ジャパンは11月4日にPCSから影響範囲の報告を受けたとしています。また、PCSが運用するWebアプリケーションに、システムへのアクセス制御と認証情報の管理について設定上の不備があったと報告を受けたとしています。

漏れた情報

対象はロードサービスなどの受付と手配に使う業務システムです。件数は重複を含めて最大約550万件で、重複を除いた人数は精査中です。

項目は氏名、住所、電話番号、メールアドレス、登録番号や車台番号などの車両情報、事故や故障の受付情報、一部の金融機関口座の情報です。クレジットカード情報の漏えいは現時点で確認されていません。プレステージ・インターナショナルの協力会社に関する情報の一部も含まれる可能性があり、精査を進めています。

損害保険ジャパンの分は一部の自動車保険の契約者からの問い合わせと受付の業務で管理していた情報で、契約内容、問い合わせ履歴、ロードサービスの手配履歴など約6.5万件が対象の可能性があります。クレジットカード情報は含まれず、二次被害は確認されていません。

会社の対応

プレステージ・インターナショナルは外部の専門機関と調査を進め、個人情報保護委員会への報告と警察への相談も進めています。対象のお客様への案内は取引先と協議して進めるとしています。ロードサービスの業務は代わりの運用で続けており、二次被害は現時点で確認されていません。同社は、システムの改修と監視体制の強化で再発の防止に努めるとしています。連結業績への影響は精査中です。

お客様には同社やグループ会社、保険会社などを名乗る不審な電話、メール、SMSに注意し、身に覚えのない連絡や不審なURLにはアクセスしないよう求めています。同社やグループ会社が、この件でパスワードや口座の暗証番号を電話やメールで尋ねることはないとしています。

損保ジャパンはPCSの利用を止め、PCSに詳しい事実関係、情報の範囲、原因、再発防止策の報告を求めています。外部に漏れた可能性のあるお客さまには、事実関係が分かり次第、順に個別に連絡します。専用の窓口を設けています。ロードサービスは代わりのシステムで提供を続けています。

中小企業が学べること

受付や手配を外部に任せると、多くの取引先の情報が1つのシステムに集まります。今回は委託元の保険会社が、委託先の設定の不備を報告で知る形になりました。委託先を選ぶときは、認証情報の管理やアクセス制限の状況を確かめておきましょう。

• 委託先に、システムへ入れる人の範囲と、パスワードなどの認証情報の管理方法を聞いておきます
• 認証情報を無効にしても攻撃が続いたときに、誰の判断でシステムを止めるかを決めておきます。今回は無効化の翌日にシステムを止めています
• 受付のシステムが止まったときに、電話や紙で業務を続ける手順を用意します。今回は代わりの運用でロードサービスの提供を続けました
• 委託先の事故は、自社の顧客へ知らせる場面にもなります。JP労組の委託先に不正アクセス、組合員2万7,139人の情報が漏えいも、委託先の管理を考える材料になります