対象：住友生命の「Vitality体験版・企業型」または「Vitalityスマート（福利厚生タイプ含む）」を利用中、または過去に利用した人。保険の契約者全体ではありません。本記事は住友生命の公式発表とシステムを受託する事業者の発表にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
住友生命の「Vitality体験版・企業型」または「Vitalityスマート（福利厚生タイプ含む）」を利用中、または過去に利用した人。保険の契約者全体ではありません。
- 影響が確認された範囲表で見る ↓
- 発覚の日
- アクセスの遮断
- 対象人数
さらに2件
- 氏名・住所・電話番号・生年月日・メールアドレス
- クレジットカード番号
- 未確認事項
- 原因（不正アクセスの経緯）
- 対象のお客さまへの対応の内容と時期
- 新規申込み・各手続きの再開時期
さらに1件
- 不正利用の有無（現時点では確認されていないとされている）
- 今やること手順を見る ↓
- カードを登録していた人は、利用明細を確認する
- 住友生命を名乗るメール・SMSのリンクを開かない
- 電話での連絡は、いったん切ってかけ直す
さらに2件
- 心配なときは、公式の窓口に問い合わせる
- 情報を入力した・お金を払ったときは、すぐ相談する
- 最終確認日時
- 2026年11月11日時点
発表の続報予定と確認の記録
住友生命は、対象のお客さまの特定を進めており、確認結果を踏まえて適切に対応するとしています（案内の方法は書かれていません）。取扱いの停止は「システムの安全が確認できるまで」で、再開は同社のホームページで知らせるとしています。システムを受託する事業者も、新たに判明した事項は速やかに公表するとしています。2026年11月11日に両者の発表ページを確認した範囲では、11月9日の発表からの更新は見当たりませんでした。
対象サービスの利用者が今日やること
カードを登録していた人は、利用明細を確認する
カード番号が漏えいしたのは約1,000名で、一部マスキング済みと発表されています。対象サービスでカードを登録していた（または申込み時に入力した）人は、カード会社の会員ページやアプリで、最近の利用明細に身に覚えのない請求がないか確認してください。
不審な請求があれば、すぐカード会社に連絡します。再発行が必要かどうかも、カード会社に相談してください。現時点で不正利用は確認されていない、と発表されています。カード情報が漏れたときの流れは カード情報流出の記事 も参考になります。
住友生命を名乗るメール・SMSのリンクを開かない
氏名、メールアドレス、電話番号がそろうと、本物らしい連絡を作りやすくなります。住友生命は、同社を装ったメール、SMS、電話に注意するよう呼びかけています。
同社は、メールや電話でパスワードや暗証番号をお聞きすることはないとしています。不審な連絡のリンクは開かず、本文に書かれた番号にもかけないでください。見分け方は フィッシングとは にまとめています。
電話での連絡は、いったん切ってかけ直す
氏名や生年月日を言い当てられても、本物の証拠にはなりません。カード番号、暗証番号、認証コードを電話やSMSで聞かれても答えず、公式サイトに載っている窓口に自分でかけ直してください。
心配なときは、公式の窓口に問い合わせる
発表に載っている問い合わせ先は、0120-550-997（11月9日から、平日9:00〜17:00）です。対象かどうかは同社が確認中で、確認結果を踏まえて適切に対応するとされています（案内の方法は書かれていません）。メールやSMSに書かれた番号ではなく、公式サイトで案内されている番号を使ってください。
情報を入力した・お金を払ったときは、すぐ相談する
不審な連絡のリンク先でカード情報を入力した場合は、すぐカード会社に連絡してください。パスワードを入力した場合は変更し、同じパスワードを使い回している他のサービスも変えます（パスワードマネージャーの選び方）。警察相談専用電話（#9110）や消費者ホットライン（188）にも相談できます。
何が起きたのか（住友生命の発表より）
住友生命保険相互会社は2026年11月9日に、公式サイトでお知らせを掲載しました。システムを受託する事業者も、同じ日に発表しています。以下はすべて両者の発表内容です。
11月2日
システム関連業務の受託事業者のシステムへの第三者による不正アクセスを確認し、同日、住友生命に報告された（住友生命の発表）。11月3日
外部からのアクセスを遮断し、サービスを一時停止した（受託事業者の発表）。住友生命は、同日から対象サービスの新規申込みなどの取扱いを停止している。11月9日
住友生命が公表。同日、システムを受託する事業者も発表。問い合わせ窓口の受付を開始。
- 対象サービス
- 住友生命Vitality体験版・企業型、Vitalityスマート（福利厚生タイプ含む）
- 対象のお客さま
- 上記サービスを利用中、または過去に利用した約8万名
- 漏えいした情報
- 氏名、住所、電話番号、生年月日、メールアドレス、クレジットカード番号（一部マスキング済み）のいずれか（カード番号は約1,000名）
- 含まれないもの
- 保険契約や、保険契約に付随するVitality、Vitality健康プログラムの利用による歩数等のデータ
- 原因
- システム関連業務を委託している事業者のシステムへの第三者による不正アクセス（詳細は調査中）
- 停止中の取扱い
- 対象サービスの新規申込み、Vitalityスマートのお客さま自身による解約・カード情報の変更、福利厚生タイプの団体ポータルの利用（システムの安全確認まで）
- 影響がないもの
- Vitalityアプリの利用、Vitality保険の新規申込み・諸手続き
- 問い合わせ
- 0120-550-997（平日9:00〜17:00）
分かっていること・分かっていないこと
2026年11月11日時点の、住友生命とシステムを受託する事業者の発表（11月9日）をもとに整理しました。続報が出たら、状態の欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 発覚の日 | 11月2日に確認し、同日、住友生命に報告 | 確認済み（同社） |
| アクセスの遮断 | 11月3日に外部からのアクセスを遮断（受託事業者の発表） | 確認済み（受託事業者） |
| 対象人数 | 約8万名（利用中または過去に利用した人） | 確認済み（同社） |
| 氏名・住所・電話番号・生年月日・メールアドレス | いずれかが漏えい（対象者ごとに項目は異なる） | 漏えいを確認（同社） |
| クレジットカード番号 | 一部マスキング済み。約1,000名 | 漏えいを確認（同社） |
| マスキングされていない桁 | 書かれていない | 記載なし |
| 保険契約情報 | 漏えいしていない | 含まれない（同社） |
| Vitalityの歩数等のデータ | 漏えいしていない | 含まれない（同社） |
| パスワード | 漏えい項目の一覧に書かれていない | 記載なし |
| 不正利用・ネット上での公開 | 現時点では確認されていない | 確認されていない（同社） |
| 原因・侵入の経緯 | 調査中 | 調査中 |
| 対象のお客さまへの対応 | 対象者を特定中。確認結果を踏まえて適切に対応するとしている（方法の記載なし） | 調査中 |
| 新規申込みなどの再開 | システムの安全確認まで停止 | 調査中 |
氏名・連絡先・カード番号で何が起きうるか
氏名、住所、電話番号、メールアドレスがそろうと、本物らしく見せた連絡が作りやすくなります。ここに挙げたのは一般的に起こり得ることで、この件で実際に起きたという意味ではありません。
メールアドレス＋氏名
↓→
宛名入りの、本物らしい「お詫び」や「手続きのお願い」のメール
→ リンクを開かず、公式サイトで確かめる
氏名＋電話番号
↓→
会社名を名乗る電話・SMS
→ 切って、公式サイトの窓口にかけ直す
カード番号（一部マスキング）＋氏名
↓→
「カードの確認」を名目に、残りの桁や暗証番号を聞き出す連絡
→ カード番号や暗証番号は、連絡してきた相手に答えない
漏えいした情報で起こり得ること
- 宛名入りで、本物らしく見えるメールやSMS
- 名前を呼んで話しかけてくる、会社名を名乗る電話
- 偽のページに誘導して、カード情報やパスワードを入力させる連絡
発表の範囲で、含まれないとされているもの
- 保険契約情報（住友生命の発表）
- 保険契約や、保険契約に付随するVitality、Vitality健康プログラムの利用による歩数等のデータ（同）
- Vitalityアプリの利用と、Vitality保険の新規申込み・諸手続きへの影響（影響なしとされている）
運営者が見直すこと：申込システムに、何を・いつまで持たせるか
原因は公表されていないため、ここでは公表された事実から言えることだけを書きます。
- 過去の利用者も対象に含まれた：対象は「利用中または過去に利用した」人です。サービスを終えた人の連絡先やカード情報を、申込システムにいつまで置くかを決めておくと、事故が起きたときの範囲が小さくなります。
- カード番号を持つ必要があるか：カード番号は「一部マスキング済み」でした。一般に、決済は決済代行会社に任せ、自社の申込システムにはカード番号を持たない構成にすると、漏えいしたときに影響が小さくなります。持つ場合は、マスキングする範囲と保持期間を決めます。
- 委託先の事故から公表までの日付：今回は、確認（11月2日）、アクセスの遮断（11月3日）、公表（11月9日）の日付が発表に書かれています。委託先で事故が起きたときに、誰が申込みを止めるか、お客さまへの告知文、問い合わせ窓口を事前に決めておくと、公表までの時間を短くできます。
出典（公開記録）
本記事の事実関係は、以下の公開情報にもとづきます。公表されていない原因の詳細は推測していません。
- 住友生命保険相互会社「業務委託先システムへの不正アクセスによるお客さま情報漏えいに関するお知らせ」（2026年11月9日） — sumitomolife.co.jp
- システムを受託する事業者による同件の発表（2026年11月9日） — システムを受託する事業者の発表
更新履歴
2026-11-11：初版。住友生命とシステムを受託する事業者の11月9日の発表にもとづく。11月11日に両者の発表ページを確認し、続報は見当たらなかった。
次に読む
- 別の事案（生命保険会社）：ソニー生命への不正アクセスによる契約情報の漏えい
- 偽の連絡の見分け方：フィッシングとは ／ スマホを安全に使う基本
- パスワード：パスワードマネージャーの選び方
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）