この記事の要点
株式会社NTTデータは11月9日、住友生命保険相互会社から構築・運用を受託する「住友生命Vitality体験版・企業型」「Vitalityスマート（福利厚生タイプ含む）」の申込みに係るサービスで第三者の不正アクセスを確認し、一部利用者の個人情報が外部に漏えいしたと発表した。
事案の詳細
NTTデータの発表によると、11月2日に「住友生命Vitality体験版・企業型」「Vitalityスマート（福利厚生タイプ含む）」の申込みに係るサービスで、第三者からの不正アクセスを確認した。調査の結果、当該サービスに登録されている一部利用者の個人情報が外部に漏えいしたことが判明したという。
現時点で漏えいを確認したのは、当該サービスを利用中もしくは過去に利用したことのある約8万名の個人情報で、氏名、住所、電話番号、生年月日、メールアドレス、クレジットカード番号（一部マスキング済み）を含むとしている。
NTTデータは不正アクセスへの対応および安全性の確認のため、当該サービスを一時停止している。
影響と背景
影響は、「住友生命Vitality体験版・企業型」「Vitalityスマート（福利厚生タイプ含む）」の申込みに係るサービスに登録された利用者のうち、利用中もしくは過去に利用したことのある約8万名に及び、氏名、住所、電話番号、生年月日、メールアドレス、クレジットカード番号（一部マスキング済み）を含む個人情報が漏えいした。
NTTデータは、当該サービスを停止したうえで、不正アクセスへの対応と安全性の確認を進めている。
対策・今後の展望
NTTデータはサービスの早期再開に向けて、必要なセキュリティ対策の実施と有効性の確認を進め、安全性を十分に確認したうえでサービス再開を判断するとしている。
現在は、不正アクセスへの対応および安全性の確認のため、当該サービスを一時停止している。
CSRIからのアドバイス
不正アクセスは、利用者情報を扱う申込み・登録系のサービスで発生すると、登録済みの個人情報がまとめて影響を受けやすい。特に氏名や連絡先、生年月日などの情報が一体で登録される場合、漏えい範囲の把握と周知が重要になる。
例えるなら、申込み情報を保管する「受付台帳」を第三者にのぞき見され、写し取られたようなものだ。つまり、連絡先だけでなく生年月日やカード番号（一部マスキング済み）まで含まれると、影響の受け止め方が大きく変わる。
まず、自社で利用している外部の申込み・会員登録サービスに、氏名や住所、電話番号、生年月日、メールアドレス、決済情報が含まれるかを棚卸しする。次に、委託先からの障害・停止連絡が来た場合の社内連絡手順を担当者に共有し、利用者対応の窓口を決めておく。
参照: NTTデータが住友生命から受託した「住友生命Vitality体験版・企業型」、「Vitalityスマート（福利厚生タイプ含む）」に不正アクセス
