東京海上日動の代理店システムの参照設定不備についてまとめてみた

2023年10月30日、東京海上日動火災保険は、保険代理店向けに提供しているシステムの設定に不備があり、本来アクセスできない契約者の個人情報を参照していた可能性があると公表しました。ここでは関連する情報をまとめます。

問題が起きたのは東京海上日動火災保険（以下東京海上日動と記載）が運用する保険代理店向けに提供しているシステム。保険代理店はこのシステムを通じて保険の募集や管理を行っている。
東京海上日動は勤務型代理店制度を導入しており、同社が契約を結ぶ代理店として統括代理店、勤務型代理店の2種類が存在する。この2者は共同で顧客対応を行っているため、先のシステム上で顧客情報の共有を行っていた。

統括代理店	勤務型代理店の教育、指導、管理を行う。
勤務型代理店	所属保険会社、統括代理店の三者間で保険代理店委託契約書を締結している個人代理店。統括代理店への勤務報告などを行う。

勤務型代理店は代理店契約関係にある保険会社の顧客情報のみ参照が可能となるところ、アクセス制限が適切に設定されておらず統括代理店の取り扱う顧客情報にアクセスが可能となっていたことが判明した。
参照範囲にかかるアクセス制限が適切にされていなかった原因は、東京海上日動の事務的なミスによるもの。代理店から他社の情報が参照できるとして同社へこの問題についての照会がかかり発覚した。同社社員によるものと報じられているが、事務的なミスが生じた具体的経緯についてはプレス上での説明は行われていない。*1
同社が確認した参照範囲制限の設定不備は是正対応完了。システムのアクセス履歴より勤務型代理店へのヒアリングを順次行うとしている。営業活動に利用するなど情報の不正使用は2023年10月28日時点で確認されていないが、継続して調査を進め不適切なアクセスが確認された顧客に対しては個別に連絡を行う。同社は2023年12月末までに詳細な調査を完了する予定。*2

１．他保険会社の顧客情報勤務型代理店が取り扱いしていない契約も含め、統括代理店取り扱いの他保険会社の顧客情報にアクセスできる状態となっていたもの	保険会社43社統括代理店 213店
２．東京海上日動の顧客情報東京海上日動と代理店契約のない勤務型代理店が代理店システム上で同社より送信される統括代理店宛て通知、契約事務のペンディング状況等に関する配信を通じ、統括代理店扱いの同社顧客情報にアクセスできる状態となっていたもの	統括代理店 11店
３．あんしん生命の顧客情報あんしん生命の委託のない勤務型代理店において、２．同様にあんしん生命の顧客情報にアクセスできる状態となっていたもの	統括代理店165店

他保険会社の顧客情報は、と呼ばれるデータ通信サービスを通じてデータ提供が行われたもの。提供されたサービスは代理店にて一元管理が可能だが、東京海上日動が他保険会社の顧客情報を参照できるものではない。
東京海上日動と代理店契約のない勤務型代理店であっても、東京海上日動あんしん生命保険の委託があれば同社の代理店システムを利用することが可能となっていた。

名前、住所、電話・FAX 番号・メールアドレス、生年月日、性別、契約内容、証券番号、保険種類、保険金受取者名、保険始期・満期、保険料、契約変更の有無、保険事故の有無

具体的な影響を受けた顧客件数は記載されていないが、過去5年にわたって2,000～3,000件の個人情報流出および一時最大で10万件以上の顧客情報が参照可能となっていた可能性があると報じられている。*3

日時	出来事
2018年頃	参照制限の設定を誤り、勤務型代理店で本来許可のない参照が可能な状態となったか。
2023年7月頃	一部の保険代理店より東京海上日動へ問題を指摘する照会。
2023年7月下旬	東京海上日動が当該事案について金融庁に報告。
2023年9月14日	代理店システムの設定不備の是正対応完了。
2023年9月	東京海上日動が影響のあった保険各社に事案に関する連絡。
2023年10月	東京海上日動が保険各社への説明会開催か。*4
2023年10月30日	東京海上日動が設定不備による情報流出の可能性について公表。

*1:,NHK,2023年10月30日

*2:,読売新聞,2023年10月30日

*3:,日本経済新聞,2023年10月30日

*4:,ダイヤモンドオンライン,2023年11月6日

ピンボールマシンカオスホース