要点
- 日商の簿記などのネット試験を受けた最大約98万人分（約197万件）の情報が、漏れた可能性がある。
- 氏名・生年月日・性別に加え、合否と得点まで含まれうる。メールアドレスや住所などは任意入力分が対象だ。
- 受験者の情報を使った、日本商工会議所をかたる偽のメールやSMSが届くおそれがある。
何が起きたか
日本商工会議所は2026年11月10日、ネット試験の管理システムが不正アクセスを受けたと発表した。このシステムは、試験の予約や受験結果の管理に使う外部のサーバーだ。
発表による経緯は次のとおり。
- 11月1日：サーバーに不正なプログラムが置かれた。
- 11月4日：システム管理会社からの報告で不正アクセスを確認した。不正なファイルをすぐに削除し、同日深夜に弱点をふさぐ更新（パッチ）を当てた。
- 11月9日：最大約98万人分の情報が漏れた可能性があると分かった。同日、個人情報保護委員会に報告した。
漏れた可能性がある項目は、氏名、フリガナ、性別、生年月日、合否結果、試験の得点だ。メールアドレス、電話番号、住所は、受験者が任意で入力していた場合に限る。クレジットカードなどの決済情報は含まれないという。
日本商工会議所は、発表の時点では漏えいや不正利用は確認されていないとしている。あくまで「可能性」の段階だ。
日本の利用者への影響
影響は日本の受験者そのものに及ぶ。対象は、2022年4月1日から2026年11月4日までに、次のネット試験を受けた人だ。
- 簿記
- リテールマーケティング（販売士）
- 日商PC
- 電子会計実務
- キータッチ2000
- ビジネスキーボード
- 日商プログラミング
- 日商ビジネス英語
就職や転職、社内の資格取得で受けた人も多い。得点まで含まれうる点は重い。不合格だったことや点数は、人に知られたくない情報だからだ。
発表文には、自分が対象かどうかを個別に調べる方法は書かれていない。対象期間に上の試験を受けたなら、対象かもしれないと考えて動くのが安全だ。
試験そのものは、弱点への対策が済んだとして通常どおり受けられる。
今すぐやること
- 自分が対象期間（2022年4月〜2026年11月4日）に上の試験を受けたか、受験票や記録で確かめる。
- 日本商工会議所を名乗るメール・SMS・電話・郵便物に注意する。日本商工会議所は、メールやSMS、電話でパスワードやカード情報を求めることはないと説明している。
- 身に覚えのないメールやSMSのリンク・添付ファイルは開かない。リンク先でパスワードやカード情報を入力しない。
- 試験の申込みに使ったメールアドレスのパスワードを、ほかのサービスと使い回していないか見直す。使い回しがあれば変える。
- 不明点は問い合わせ窓口へ。日本商工会議所 事業部は電話 03-6402-6154（平日9:30〜20:00）と問い合わせフォームで受け付けている。
背景
今回、不正アクセスの手口や侵入の入口は、発表では詳しく示されていない。分かっているのは、外部サーバーに不正なプログラムが置かれ、弱点をふさぐ対策を取ったという点までだ。
試験の運営は、システム管理会社のような委託先に支えられていることが多い。受験者から見ると、どこに情報が預けられているかは見えにくい。資格試験は長期間の受験記録が溜まるため、一度漏れると対象が大きくなりやすい。今回も約4年半分の受験者が対象だ。
生年月日や氏名、連絡先がそろった情報は、偽メールで本物らしく見せる材料になる。「資格の更新」や「受験結果の確認」といった名目で、偽サイトへ誘う手口が出ても不思議ではない。これは、こちらの見立てだ。
技術者向けの詳細
- 発表による侵入の痕跡：外部サーバーに「不正なプログラム（不正ファイル）」が設置された。種類・入口となった弱点・CVE 番号は、発表では示されていない。
- 設置は11月1日、確認は11月4日。削除とパッチ適用は11月4日。
- 件数：最大約98万人分、約197万件。
- 漏えいの可能性がある項目：氏名、フリガナ、性別、生年月日、合否結果、試験得点、任意項目（メール・電話・住所）。決済情報は含まれないとされる。
- 個人情報保護委員会への報告：11月9日。
- 受験者向けの偽メール対策として、受信側で差出人ドメインの確認や、公式サイトからの手動アクセスを徹底するとよい。
- 一次情報：日本商工会議所の発表
