オリックス生命の情報漏洩｜問い合わせ約2万6千件と問い合わせた人がすること 2026

2026年10月20日

＠SOHO編集部

この記事のポイント

✓オリックス生命の情報漏洩について
✓2026年10月8日の発表と10月16日の続報をもとに
✓問い合わせ約26,500件の範囲

オリックス生命保険株式会社は2026年10月8日、公式ウェブサイトからの問い合わせの管理に使っていた委託先、株式会社スカラコミュニケーションズが不正アクセスを受け、お客さま情報約26,500件が漏えいした可能性があると発表しました。対象は氏名、生年月日、住所、電話番号、メールアドレス、証券番号、問い合わせの内容で、問い合わせの内容には、お客さまが申告した医療情報等も含まれます。マイナンバーやクレジットカード番号は含まれていません。オリックス生命の公式サイトから問い合わせたことがある人がまずすることは、オリックス生命を名乗る不審なメール・SMS・電話に個人情報を伝えないこと、そして添付ファイルやURLを開かずに、カスタマーサービスセンターに確かめることの2つです。

この記事では、2026年10月20日時点でオリックス生命と委託先が公表している内容だけをもとに、公表の経緯、漏えいした可能性のある項目と含まれない項目、原因、会社の対応、自分が対象かどうかの確かめ方、そして今日やることを順に整理します。10月16日には、お客さまとは別に、同社や委託先の役職員・退職者の情報も漏えいした可能性があるという続報も出ています。その内容もあわせて説明します。

オリックス生命の情報漏洩で何が起きたのか（2026年10月20日時点）

最初に、オリックス生命の発表で確定している事実を短く並べます。

発表日：2026年10月8日（続報は10月16日）
対象の業務：公式ウェブサイトを通じて受けたお問い合わせ内容の管理等
委託先：株式会社スカラコミュニケーションズ（以下、スカラコミュニケーションズ）
件数：約26,500件（同じお客さまによる複数回の問い合わせを含む）
漏えいした可能性のある項目：氏名、生年月日、住所、電話番号、メールアドレス、証券番号、お問い合わせ内容（お客さまから申告された医療情報等を含む）
含まれないもの：マイナンバーやクレジットカード番号等、財産的被害が生じるおそれのある情報
オリックス生命のシステムへの不正アクセス：確認されていない
二次被害：発表の時点で、本件に起因する情報の不正利用等による二次被害は確認されていない
続報（10月16日）：同社と委託先の役職員・退職者の情報約2,100件も漏えいした可能性がある。この分にお客さま情報は含まれない

発表の言葉は「漏えいした可能性がある」です。漏えいが確定したという書き方ではありません。また、約26,500件は同じ人の複数回の問い合わせを含む件数なので、対象の人数はこれより少なくなります。人数は発表に書かれていません。

オリックス生命の発表は10月8日のお知らせ（PDF）と10月16日の続報（PDF）で読めます。どちらも同社の公式サイトのトップページから開けます。2026年10月20日時点で、この2つのほかに続報は出ていません。

今回の件で特に注意したいのは、問い合わせの内容に医療情報等が含まれている点です。保険の問い合わせでは、病気やけがの状況、入院や手術の予定などを書くことがあります。こうした情報は、知られたくない人も多い情報です。お金に直接つながる情報は含まれていませんが、病気や保険の状況を知っている相手からの連絡は、本物らしく見えやすくなります。

公表の経緯：10月8日の発表と10月16日の続報

2026年10月2日から3日：委託先のサーバーへの不正アクセス

オリックス生命の発表には不正アクセスの日時が書かれていませんが、委託先のスカラコミュニケーションズの発表によると、2026年10月2日20時30分頃から10月3日8時頃にかけて、第三者が同社のFAQシステム「i-ask」の管理サイトに不正にログインしました。FAQシステムとは、企業のサイトで利用者からの質問への回答を表示したり、問い合わせを受け付けて管理したりする仕組みのことです。スカラコミュニケーションズは、10月3日の朝、データベースの監視アラートをきっかけに調査を始め、同日8時頃に不正アクセスを遮断したとしています。

2026年10月6日：委託先と親会社の発表

10月6日には、スカラコミュニケーションズと、その親会社の株式会社スカラが、それぞれ発表を出しました。スカラコミュニケーションズは利用企業の名前を公表していません。

2026年10月8日：オリックス生命の発表

オリックス生命は10月8日に発表を出し、お客さま情報約26,500件が漏えいした可能性があること、情報が漏えいした可能性のあるお客さまには今後、個別に書面またはメール等で案内することを明らかにしました。発表の時点で、スカラコミュニケーションズは原因や影響範囲の調査を進めていると説明しています。

2026年10月16日：役職員・退職者の情報についての続報

10月16日の続報では、スカラコミュニケーションズによる調査の結果、10月8日に公表したお客さま情報に加えて、オリックス生命と同社の委託先の役職員・退職者の情報も漏えいした可能性があることが分かったと発表しました。対象は約2,100件で、項目は氏名、メールアドレス、管理者IDです。管理者IDとは、問い合わせの管理のシステムに職員がログインするためのIDと読めます。続報は、今回新たに分かった漏えいの対象に、お客さま情報は含まれていないとしています。

続報の対象になった役職員・退職者にも、個別に書面またはメール等で案内するとしています。

漏えいした可能性のある項目と、含まれない項目

オリックス生命の発表に書かれた項目を、そのまま表にしました。

区分	項目
漏えいした可能性のある項目（お客さま）	氏名、生年月日、住所、電話番号、メールアドレス
漏えいした可能性のある項目（お客さま）	証券番号
漏えいした可能性のある項目（お客さま）	お問い合わせ内容（お客さまから申告された医療情報等を含む）
含まれないと明記（お客さま）	マイナンバー、クレジットカード番号等、財産的被害が生じるおそれのある情報
漏えいした可能性のある項目（役職員・退職者、続報）	氏名、メールアドレス、管理者ID

発表の原文では、含まれない情報について次のように書いています。

情報が漏えいした可能性のあるお客さまには、今後、個別に書面またはメール等でご案内申し上げます。なお、マイナンバーやクレジットカード番号等、財産的被害が生じるおそれのある情報は含まれておりません。出典: orixlife.co.jp

証券番号とは

ここでいう証券番号は、生命保険の契約ごとに付く「保険証券の番号」のことです。株式の証券口座の番号ではありません。保険証券とは、保険に入ったときに保険会社から届く、契約の内容を書いた書面のことです。証券番号は、保険会社に契約の手続きや問い合わせをするときに、どの契約の話かを特定するために使われます。

証券番号だけで保険金や給付金を受け取ることはできませんが、「お客さまの証券番号○○○の契約について」と本当の番号を書かれると、本物のオリックス生命からの連絡だと信じてしまいやすくなります。

医療情報等が含まれることの意味

問い合わせの内容には、お客さまが申告した医療情報等が含まれています。たとえば、給付金の請求について問い合わせたときの病名や入院の日付、保険に入れるかどうかを相談したときの持病の状況などが考えられます。どんな内容が含まれていたかは、問い合わせのときに何を書いたかによって人それぞれです。

個人情報保護委員会は、病歴などを「要配慮個人情報」と呼び、取り扱いに特に配慮が必要な情報としています。要配慮個人情報とは、知られると本人が差別や偏見を受けるおそれがある情報のことです。こうした情報が含まれる個人データが漏えいした（またはそのおそれがある）場合、事業者には委員会への報告が義務付けられています。今回の件で、委員会への報告をどのように行ったかは、オリックス生命の発表には書かれていません。委託先のスカラコミュニケーションズは、委員会への報告を行っていると発表しています。

自分の問い合わせにどんな医療情報が含まれていたかが気になる人は、カスタマーサービスセンターに、いつ、どんな内容で問い合わせたかを伝えて確かめる方法があります。問い合わせの回答のメールが手元に残っていれば、そこから自分が書いた内容をある程度思い出せます。病名や治療の内容を知られたかもしれないという不安は、パスワードの変更のような手続きでは解消できません。相手が病気の話を持ち出してきても動揺せず、手続きはすべて自分でかけ直して確かめる、と決めておくことが、いちばん確実な備えになります。

生年月日と住所がそろっていること

氏名、生年月日、住所、電話番号がそろって漏えいした可能性があります。生年月日は、保険の手続きで本人確認に使われることがある情報です。生年月日を、カードやキャッシュカードの暗証番号、スマートフォンのロックの番号、別のサービスのパスワードの一部に使っている人は、この機会に別の番号に変えておくと安心です。

原因：委託先の問い合わせ管理システム「i-ask」への不正アクセス

オリックス生命の発表が示している原因は、委託先であるスカラコミュニケーションズへの不正アクセスです。オリックス生命のシステムに対する不正アクセスは確認されていないとしています。

詳しい経緯は、スカラコミュニケーションズの発表に書かれています。

第三者が「i-ask」の管理サイトに不正にログインした
スカラコミュニケーションズが管理するサーバー上に、不正なプログラムを設置した
同じサーバー上で動いていた利用企業のシステムの環境のデータベースから、問い合わせ情報を取得した可能性がある
対象は、同じサーバー上で動いていた利用企業向けの環境（最大5社）

スカラコミュニケーションズの発表では、全体の件数は最大713,126件（問い合わせ単位の延べ件数）で、実際の人数は名寄せの作業中とされています。名寄せとは、同じ人の複数の問い合わせを1人にまとめて数え直す作業のことです。発表の本文はスカラコミュニケーションズのお知らせで読めます。

管理サイトにどうやって不正にログインされたのかは、2026年10月20日時点では明らかにされておらず、外部の専門機関によるフォレンジック調査が進められているとされています。フォレンジック調査とは、サーバーに残った記録を調べて、侵入の経路や盗まれた情報を突き止める調査のことです。10月16日の続報で役職員・退職者の情報が新たに分かったように、調査が進むと対象が広がる可能性もあります。

同じ委託先を使っていたほかの会社

利用企業の側は、それぞれ発表を出しています。2026年10月20日時点で公式の発表を確認できたのは、オリックス生命のほか、大和証券（10月5日、インターネット経由の問い合わせ、約11万名分）、シチズン時計（10月6日、各ブランドのサイトの問い合わせフォーム、約10万名分）、損害保険ジャパン（10月7日、ドライブレコーダーのサービスの問い合わせ、約6万件）です。これらの会社にも問い合わせたことがある人は、それぞれの会社から別々に連絡が来る可能性があります。

オリックス生命の対応：個別の案内と、委託先の管理の検証

オリックス生命の発表と続報に書かれている対応は次のとおりです。発表に無いことは書いていません。

情報が漏えいした可能性のあるお客さまに、個別に書面またはメール等で案内
続報の対象になった役職員・退職者にも、個別に書面またはメール等で案内
スカラコミュニケーションズによる原因調査と再発防止策の内容を確認
オリックス生命の委託先の管理についても検証し、必要な対応を進める
新たに知らせるべきことが分かった場合は、公式ウェブサイト等で速やかに公表

スカラコミュニケーションズの側では、不正ログインに使われたアカウントのパスワード変更、攻撃元のIPアドレスの遮断、不正なプログラムの隔離、全環境の管理者アカウントのパスワード変更、アップロードされたファイルをプログラムとして実行できないようにする設定変更を行ったとしています。今後は、管理者の認証の強化（多要素認証の導入等）、環境の分離、監視体制の強化などを進めるとしています。警察への相談も行っています。

2026年10月20日時点のオリックス生命の発表には、補償やお詫びの品についての記載はありません。発表に無い「補償の手続き」「お詫びの品の送付先の確認」などの案内が届いた場合は、まず偽物を疑ってください。

自分が対象かを確かめる方法

1. 書面とメールを確かめる

オリックス生命は、情報が漏えいした可能性のあるお客さまに、個別に書面またはメール等で案内するとしています。郵便受けと、問い合わせのときに使ったメールアドレスの受信箱を、迷惑メールのフォルダも含めて確かめてください。

案内を装った偽のメールや郵便物が届くおそれもあります。案内の中に「こちらのURLから手続きしてください」「添付のファイルを開いてください」とあっても、すぐには従わず、内容が本物かどうかをカスタマーサービスセンターに確かめるのが安全です。

2. 分からないときはカスタマーサービスセンターに問い合わせる

案内が届いていないが心当たりがある場合、または案内が本物かどうか分からない場合は、オリックス生命のカスタマーサービスセンターに問い合わせてください。番号は後の「問い合わせ窓口」の節にまとめました。

3. 問い合わせたかどうか覚えていないとき

対象は、オリックス生命の公式ウェブサイトを通じて問い合わせた人の情報です。保険に入っているかどうかとは別の話なので、保険に入る前に公式サイトのフォームから相談したことがある人も、問い合わせの内容によっては対象になりえます。受信箱を「オリックス生命」で検索し、問い合わせの受付の確認メールや回答のメールが残っていないかを見ると、思い出す手がかりになります。

4. 家族の名前で問い合わせていた場合

保険は家族の契約をまとめて管理していることがよくあります。家族の契約について、自分が代わりに問い合わせたことがある場合は、問い合わせの内容に家族の氏名や病気の状況が含まれている可能性があります。家族にも今回の件を伝え、不審な連絡に注意するよう共有しておいてください。

自分のメールアドレスが過去にほかの漏えいに含まれていないかを確かめたいときは、海外の無料サイトでメールアドレスを照合する方法もあります。手順はHave I Been Pwnedの使い方で説明しています。ただし、今回の件がそのサイトに登録されているかどうかは分かりません。今回の件は、オリックス生命の案内とカスタマーサービスセンターで確かめてください。

問い合わせた人がすること：保険を口実にした偽の連絡への備え

オリックス生命の発表は、同社や関係者を装った不審なメール、SMS、電話等に十分注意するよう呼びかけています。不審な連絡を受けた場合は、個人情報を提供せず、添付ファイルの開封やURLへのアクセスをしないこと、詐欺等の被害が疑われる場合は最寄りの警察へ相談することを求めています。

本物かどうかを判断するときの基準

電話やメールで個人情報を聞かれても答えない。一度切って、公式サイトに載っている番号にかけ直す
添付ファイルやURLを開かない
証券番号や病気の状況が正しく書かれていても、それだけで本物と判断しない
「給付金が受け取れる」「保険料が戻ってくる」と言って、ATMの操作や振り込みを求めてきたら偽物を疑う
迷ったらカスタマーサービスセンターに確かめる

病気や給付金の話に触れた連絡に注意する

問い合わせの内容に医療情報等が含まれていた可能性があるので、「先日ご相談いただいた入院の件で、給付金のお手続きが必要です」といった、実際の相談に触れた連絡が来るおそれがあります。実際の病気や入院の話に触れていると、本物の担当者からの連絡だと思い込みやすくなります。給付金や保険料の手続きの話が来たら、その場で答えず、自分でカスタマーサービスセンターにかけ直して確かめてください。

「お金が戻ってくる」と言ってATMへ行くよう求める連絡には、特に注意してください。給付金や保険料の払い戻しを理由にATMの操作を指示されたら、その場で従わず、電話を切ってカスタマーサービスセンターか最寄りの警察に相談するのが安全です。

郵便物や訪問にも注意する

住所も対象に入っているので、メールや電話だけでなく、郵便物や訪問を使った勧誘や詐欺の材料になるおそれもあります。住所が漏れたときに気をつけることは、住所が漏れたときの対処にまとめています。身に覚えのない書類が届いたり、オリックス生命を名乗る人が訪ねてきたりした場合は、その場で書類に記入したり個人情報を渡したりせず、カスタマーサービスセンターで確かめてください。

パスワードと二段階認証

今回、パスワードが漏れたとは発表されていません。それでも、氏名とメールアドレスがそろって漏えいした可能性があるので、保険会社のマイページを装った偽のログイン画面に誘導するメールが来るおそれはあります。マイページなどにログインするときは、メールのリンクからではなく、ブックマークか公式アプリから入ってください。メールやネット銀行には二段階認証を設定しておくと、パスワードを盗まれても入られにくくなります。二段階認証とは、パスワードに加えて、スマートフォンに届く確認コードなどを入力しないとログインできないようにする仕組みです。種類はMFA（多要素認証）導入のメリットと製品比較で説明しています。

偽のメールの典型的な文面や、受け取ったときの対応の練習方法は、フィッシングメール模擬訓練の効果でも紹介しています。

偽の連絡に答えてしまったときの対処

気をつけていても、病気や契約のことを正しく知っている相手からの連絡には、つい答えてしまうことがあります。オリックス生命を名乗る連絡に個人情報を答えてしまった、URLを開いてしまったと気づいたら、次の順で動いてください。

オリックス生命のカスタマーサービスセンターに、どんな連絡が来て、何を答えたかを伝える
URL先でパスワードを入力してしまった場合は、そのサービスのパスワードをすぐに変える。同じパスワードを使っている別のサービスも変える
カードの番号や銀行口座の情報を伝えてしまった場合は、カード会社や銀行にすぐ連絡する
お金をだまし取られた場合や、脅すような連絡が続く場合は、発表のとおり最寄りの警察に相談する

病気の話を知られていることに動揺して、相手の言うとおりに手続きを進めてしまう人もいます。少しでもおかしいと感じたら、手続きを止めて、自分でかけ直すことを優先してください。早く動くほど、被害を抑えやすくなります。

漏えいした可能性のある項目ごとに、起こりやすいことと備え

項目ごとに、一般に起こりやすいことと備えを整理しました。ここでの「起こりやすいこと」は今回の件で実際に起きたことではなく、同じ種類の情報が漏れたときに一般に注意が呼びかけられている内容です。オリックス生命は発表の時点で二次被害を確認していません。

項目	一般に起こりやすいこと	備え
氏名・メールアドレス	オリックス生命を名乗る偽のメール	添付ファイルやURLを開かない
電話番号	偽のSMS、勧誘や詐欺の電話	一度切って、公式の番号にかけ直す
住所	郵便物や訪問を使った勧誘、偽の書類	その場で記入や支払いをせず、窓口で確かめる
生年月日	本人確認への悪用、暗証番号の推測	生年月日を暗証番号やパスワードに使っていれば変える
証券番号	本当の契約の番号を書いて信用させる連絡	番号が合っていても、本物の証拠にしない
お問い合わせ内容（医療情報等を含む）	病気や給付金の話に触れて信用させる連絡	手続きの話は自分でかけ直して確かめる

問い合わせ窓口

オリックス生命の発表と続報に載っている問い合わせ先は次のとおりです。

窓口の名称：オリックス生命保険株式会社カスタマーサービスセンター
電話番号：0120-330-053
受付時間：月曜から金曜の9時から17時（土曜・日曜・祝日・年末年始は休み）

この番号はオリックス生命の公式発表に書かれているものです。メールやSMSに別の番号が書かれていた場合は、その番号にかけず、発表の番号と同じかどうかを確かめてください。

詐欺等の被害が疑われる場合は、発表のとおり、最寄りの警察へ相談してください。事業者の対応に疑問があるときは、個人情報保護委員会の「個人情報保護法相談ダイヤル」（03-6457-9849）にも相談できます。委員会のサイトに番号が載っています。ただし、自分が対象かどうかの確認は、まずオリックス生命のカスタマーサービスセンターにしてください。

続報の対象になった役職員・退職者がすること

10月16日の続報で対象になったのは、オリックス生命と同社の委託先の役職員・退職者で、項目は氏名、メールアドレス、管理者IDです。オリックス生命は、この人たちにも個別に書面またはメール等で案内するとしています。

管理者IDとメールアドレスが結び付いて漏えいした可能性があるので、そのメールアドレスあてに、問い合わせ管理のシステムや社内のシステムを装った偽のログイン画面に誘導するメールが来るおそれがあります。業務のシステムへのログインは、メールのリンクからではなく、いつも使っている入口から行ってください。管理者IDやパスワードの扱いは、勤め先や元の勤め先の指示に従うのが基本です。

退職した人は、退職前に使っていたメールアドレスに案内が届かないこともありえます。心当たりがある場合は、カスタマーサービスセンターか元の勤め先に確かめてください。

在宅で仕事をする人が気をつけること

生命保険は個人の契約ですが、在宅で仕事をしている人の中には、フリーランスとして病気やけがに備える保険を自分で選び、仕事用のメールアドレスで保険会社に問い合わせている人もいます。会社員のように団体の保険や福利厚生が無い分、保険会社とのやり取りが多くなりがちです。そうした立場で考えておくことを整理します。

仕事用のメールアドレスで問い合わせていた場合

仕事用のメールアドレスでオリックス生命に問い合わせていた場合、そのアドレスにもオリックス生命を名乗る偽のメールが届く可能性があります。仕事用の受信箱には、取引先からの請求書や契約書も届きます。偽のメールの添付ファイルを開いてしまうと、仕事用のパソコンや、取引先から預かっている資料にまで影響が及ぶおそれがあります。添付ファイル付きの不審なメールは、仕事用の受信箱でこそ開かないことを徹底してください。

取引先に知らせる必要はあるか

個人情報保護委員会は、事業者が個人データを漏えいさせ、次の4つのどれかに当たる場合には、委員会への報告が義務になると説明しています。

要配慮個人情報（病歴など、取り扱いに特に配慮が必要な情報）が含まれる場合
不正に使われると財産的な被害が出るおそれがある場合
不正アクセスのように、不正の目的で行われたおそれがある場合
漏えいした本人の数が1,000人を超える場合

詳しくは個人情報保護委員会の漏えい等の対応のページに例とともに載っています。今回の件で対応するのは、情報を預かっていたオリックス生命と委託先です。自分がオリックス生命に問い合わせていただけであれば、自分の側に報告の義務が生じるわけではなく、取引先に知らせる必要も、一般にはありません。

一方で、在宅で仕事をする人が、取引先から健康に関わる情報を預かることもあります。たとえば、介護や医療の事務を請け負っている人、保険の代理店の業務を手伝っている人、社員の健康診断の結果を扱う人事の仕事を受けている人などです。こうした情報が自分の手元から漏れた場合は、要配慮個人情報が含まれるものとして、取引先への連絡を含めた対応が必要になります。どこまでが報告や連絡の義務に当たるかは、扱っている情報や契約で変わるので、取引先や専門家に確認してください。

外部のサービスに健康の情報を預けるときの注意

今回の件は、問い合わせの管理を外部のサービスに任せていた会社の側から見た事案でもあります。個人情報保護委員会は「委託先管理に関する着眼点」という資料で、委託先を選ぶときに安全管理の措置を確かめること、契約に個人データの扱いを盛り込むこと、委託先での扱いの状況を定期的に把握することを求めています。資料は委託先管理に関する着眼点（PDF）で読めます。在宅で仕事をする人が、健康に関わる情報を問い合わせフォームのサービスやクラウドに保存するときも、管理画面に二段階認証を設定する、使い終わった情報を削除する、といった基本の点検が大切です。

運営者の視点：自分で備える働き方ほど、情報の守りも自分で

フリーランスや在宅ワークの仲介を長く続けてきた運営者として見てきた限りでは、会社に属さずに働く人ほど、保険、年金、税金の手続きを自分で調べ、自分で問い合わせることが多くなります。その分、保険会社や役所を名乗る連絡を受ける機会も増えます。今回のように、問い合わせの内容そのものが漏えいした可能性がある事案では、「自分が相談した内容を知っている相手だから本物だ」という思い込みが一番の弱点になります。

電話やメールで手続きを求められたら、自分でかけ直して確かめる。これだけで防げる被害は少なくありません。取引先から預かった情報を守る立場としても、同じ習慣が役に立ちます。

在宅ワークの仲介サイトである@SOHOでも、発注者と受注者が直接やり取りする以上、連絡の相手が本物かどうかを確かめる習慣は仕事の基本です。セキュリティの知識は、自分を守るだけでなく、仕事の幅を広げる材料にもなります。AI・マーケティング・セキュリティのお仕事では、セキュリティの知識を生かせる在宅の仕事を紹介しています。取引先への連絡や案内の文面を正確に書く力を身につけたい人には、ビジネス文書検定も参考になります。

よくある質問

Q. オリックス生命の情報漏洩で、保険の契約に影響はありますか？

2026年10月8日の発表は、漏えいした可能性があるのは公式ウェブサイトを通じた問い合わせの情報で、マイナンバーやクレジットカード番号等、財産的被害が生じるおそれのある情報は含まれていないとしています。契約の内容が変わるといった説明はありません。気になる場合はカスタマーサービスセンター（0120-330-053）で確かめてください。