i-ask経由の影響は5社で出そろった——損保ジャパンは延べ約6万件、オリックス生命は約26,500件で公表項目に医療情報

2026年10月14日

この記事のポイント

いつ：10月5日から8日にかけて、委託先スカラコミュニケーションズ（以下スカラ）のFAQシステム「i-ask」に関わる5社が順に公表しました。
何が：「最大5社」とされた影響先が、各社の自主公表で実名がそろいました。公表の深さは社ごとに違い、東武鉄道は委託先からの報告にとどまり、オリックス生命は公表された項目に医療情報が挙がっています。
誰に：5社の問い合わせ窓口やFAQを使った経験がある人です。
数字の読み方：件・人・延べ・公表なしが混在し、足し算はできません。損保ジャパンの約6万件とオリックス生命の約26,500件は件数です。
読者は何を：まず「どの社の窓口を使ったか」を思い出してください。連絡が来ないことは無関係の証明になりません。

10月5日から8日に5社が公表——社数を確定させたのはスカラではなく各社

i-ask経由の漏えいは、10月2日夜から3日朝にかけての不正アクセスが発端です。大和証券とシチズン時計の件数や、i-askが入口になった構図は、別の記事で整理しています。なお、各社の公式お知らせの原文は未照合で、本記事は複数の報道の一致に基づいて整理しています。

公表の順番は、5日に大和証券、6日にスカラのIRとシチズン時計、7日に損保ジャパンと東武鉄道、8日にオリックス生命です（日経 xTECH）。10日には@ITが、この5社を「同じ委託先」の影響先として実名で並べました。

注意したいのは、スカラ自身の表現が今も「最大5社」のままという点です。5社という数は、スカラが確定させたものではありません。各社が自分で公表した結果として、そろって見えている状態です。

公表の「単位」が5社でそろっていない——件・人・延べ・公表なしが混在し、数字は足せない

全体の枠は、スカラの発表で延べ最大713,126件（問い合わせ単位・重複を含む）です。一方、各社が公表した単位は次のようにそろっていません。

社	公表日	公表された件数と単位	本人につながる項目
大和証券	10月5日	約22万件・約11万人（件と人を併記）	氏名・メールアドレス・口座番号など
シチズン時計	10月6日	約10万人（報道。一部は件表記で、公式の単位は未照合）	氏名・住所・電話番号・メールアドレスなど
損保ジャパン	10月7日	延べ約6万件	氏名・連絡先・ドライバーID・運転アラート情報など
東武鉄道	10月7日	件数の公表は確認できず	項目の公表なし
オリックス生命	10月8日	延べ約26,500件	氏名・生年月日・住所・証券番号・問い合わせ内容など

「件」は問い合わせの数で、同じ人が複数回問い合わせれば複数件になります。「人」は件とは別の数え方です。スカラの名寄せ（同一人物の重複をまとめる作業）の結果は未公表で、件と人を混ぜた合計は作りません。

損保ジャパンは事業者向けドラレコ「SMILING ROAD」の問い合わせ記録——ドライバーIDと運転アラートまで入る

損保ジャパンの対象は、事業者向けドライブレコーダーサービス「SMILING ROAD」の問い合わせ対応です。法人向けのテレマティクス（車両の走行データや運転アラートを通信で集める仕組み）で、問い合わせ窓口を使うのは導入企業の従業員などと報じられています（ITmedia NEWS）。

報じられた項目は、氏名・連絡先・勤務先情報に加え、ドライバーID、運転アラートの種別と発生日時、機器のシリアル番号です。口座、クレジットカード、マイナンバーカードの情報は含まないと説明され、自社システムへの不正アクセスは確認されていないとしています。

報道は「従業員など」にとどまり、個人契約者が含まれるかは確認できません。2025年の損保ジャパンの別件不正アクセスとは別の話です。

オリックス生命の約26,500件は、問い合わせ内容に医療情報が含まれる場合がある——個別連絡の方針も公表

オリックス生命の約26,500件も、件数です。同じお客さまの複数回の問い合わせを含むため、人数ではありません。項目は氏名・生年月日・住所・電話番号・メールアドレス・証券番号・問い合わせ内容で、問い合わせ内容には、お客さまが申告した医療情報などが含まれる場合があるとされています（セキュリティ対策Lab、JAPANSecuritySummit Update）。

「含まれる場合がある」は全員の話ではありませんが、証券番号と問い合わせ内容がひも付くため、機微な情報に踏み込みうる点は注意が必要です。公表された項目に医療情報が挙がったのは、確認できた範囲ではオリックス生命だけです。マイナンバーとカード番号は含まないと説明されています。

同社は対象のお客さまへ今後書面やメール等で個別に案内するとしており、確認できた範囲では、個別連絡の方法に触れたのは同社だけです。二次被害は現時点で確認されていないとしています。

東武鉄道は現時点で形跡は確認されていないとの委託先報告を受けた段階——自身の検証でも、安全の確定でもない

東武鉄道の対象は、お客さまセンターの問い合わせフォームで使っているサービスです。発表の要点は、提供元のスカラから、閲覧や取得の形跡は現時点で確認されていないと報告を受けた、というものです（ASCII.jp）。

これを安全の確定と読むことはできません。理由は3つあります。報告の出どころは東武ではなくスカラであること。「現時点で」という留保がついていること。東武が、新たな事実が判明すれば速やかに公表するとしていることです。

対象になりうる利用者層や件数は、確認できた範囲では未公表です。フォームを使った覚えがある人は、形跡が確認されていないとの報告があっても、警戒を解かないほうが無難です。

使った窓口から確かめる——連絡を待つ間にできること

ここからは編集部の一般的な目安です。当事者かどうかを判断する材料は、5社それぞれの窓口を使った経験です。連絡が来ないことは、無関係の証明になりません。

5社ごとの確認先

大和証券・シチズン時計：窓口を使った人。氏名や連絡先に加え、大和証券は口座番号まで項目に挙がっているため、事情を知っている相手からの連絡は本物らしく見えます。口座番号が合っていても本物の連絡とは限らない点は、別の記事で触れています。
損保ジャパン：SMILING ROADの問い合わせ窓口を使った人。氏名・勤務先・ドライバーIDが揃うと、勤務先や運転アラート情報を知る相手を名乗る電話やメールが本物らしく見えます。社名を装う連絡にも注意が必要です。
東武鉄道：お客さまセンターのフォームを使った人。形跡が確認されていないとの報告があっても、警戒は弱めず、続報を待ってください。
オリックス生命：問い合わせ窓口を使った人。証券番号や問い合わせ内容を知る相手からの連絡は本物らしく見えるため、書面やメールの案内が届いても、まず公式の情報と照らしてください。

漏えいの可能性が公表された社と、形跡が確認されていないと報告された東武鉄道とで、読者の行動は変わりません。東武の報告は現時点のものであり、どの社でも同じ確認手順を取るのが無難です。

連絡を待つ間にできる3つのこと

届いたメールやSMSに書かれたリンクや電話番号は使わず、各社とスカラの公式お知らせページで内容を確かめてください。
電話やメールで個人情報を求められたら、その場で答えず、公式サイトに載っている窓口にかけ直してください。
どの社の窓口をいつ頃使ったかを書き留めておき、個別連絡が届いたときに照合できるようにしておいてください。

まだ公表が確認できていない4点（10月14日時点）

次の4点は、公表が確認できていません。存在しないことの確認ではなく、確認できた範囲の話です。

実人数（スカラの名寄せ結果）
情報が外部へ持ち出されたかの確定
侵入経路と原因
スカラの第2報と、フォレンジック調査（被害範囲を技術的に調べる作業）の結果

まとめ

5社の名前はそろいましたが、被害の大きさが同じという意味ではありません。損保ジャパンとオリックス生命は項目まで、東武鉄道は委託先の報告までと、公表の深さが違います。

数字は単位を見て読み、窓口を使った記憶から確かめてください。続報で実人数や個別連絡の時期が出れば、この整理も変わります。

編集後記

私自身、どの会社の問い合わせ窓口を使ったか、すぐには思い出せません。オリックス生命のように公表項目まで示した社もあれば、東武鉄道のように委託先からの報告を受けた段階の社もあり、どの社でも同じ確認が要ると感じます。連絡を待つだけでなく、まずは自分の記憶から確かめておきたいです。業種の違う5社が同じ委託先でつながっていたことには、あらためて驚かされます。

— CODE. 編集部