概要
保険大手Farmers Insuranceは、サードパーティベンダーが管理するデータベースへの不正アクセスにより、Farmers Insurance Exchangeおよび関連会社の顧客約107万〜111万人の個人情報が流出したとして、対象顧客への通知を開始した。侵害自体はベンダー側で5月29日に発生し、翌30日に不正な活動が検知されてFarmersに報告されたことが判明している。同社はその後調査を進め、複数州の司法当局に対して正式な侵害通知を提出した。流出した情報には氏名、住所、生年月日、運転免許証番号が含まれ、一部の顧客については社会保障番号の下4桁も含まれていたという。
背景にあるSalesforce関連の攻撃キャンペーン
Farmersは侵害を受けたベンダー名を公表していないが、複数の報道によれば、今回の事案は2025年に発生した大規模なSalesforce関連データ窃取攻撃キャンペーンの一環とみられている。この一連の攻撃では、ShinyHuntersと関連するとされる攻撃者集団が、ボイスフィッシング(vishing)によって従業員を騙し、Salesforce環境に不正な接続アプリケーションを承認させる手口でデータを窃取しており、GoogleやCiscoといった大手企業に加え、Allianz Life、Aflac、Erie Insurance、Philadelphia Insurance Companiesなど保険業界の複数社も被害を受けている。保険セクターを標的とした一連の攻撃は、Scattered Spiderと関連付けられているとの見方も専門家から出ている。
対応と今後の影響
Farmersは影響を受けた顧客に対し、mytrueidentity.comを通じて24カ月間の無償ID監視サービスを提供するとしており、専用のフリーダイヤル窓口(1-833-426-6809、平日午前8時〜午後8時 東部時間)も設けている。同社はこれまでのところ、今回の侵害に起因する具体的な不正利用の報告は確認していないとしている。Farmers自体も、個人情報保護の不備や通知遅延を問う集団訴訟(原告Harout Garabedian、Kabateck LLPが提起)の直接の被告となっており、侵害の発端となったとされるSalesforceに対しても、セキュリティ対策の不備を問う集団訴訟が別途進行中だ。相次ぐ保険業界での情報漏えいは、サードパーティベンダーやSaaSプラットフォームを経由したサプライチェーン型攻撃のリスクが依然として高いことを改めて示している。