要点
- セキュリティの啓発に取り組む団体 JNSA が運営する、社員向けの無料の理解度テスト「情報セキュリティ理解度チェックサービス」が不正アクセスを受けた。
- JNSA の第一報によると、受検者の ID とハッシュ化したパスワード、それに会社の担当者の氏名・メールアドレス・会社名などが、最大1万5128件漏れた可能性がある。
- 漏れた会社名や担当者名を使って、JNSA や研修を名乗る偽メールが届くおそれがあり、JNSA も注意を呼びかけている。
何が起きたか
特定非営利活動法人 日本ネットワークセキュリティ協会（JNSA）は、2026年11月6日、このサービスが不正アクセスを受け、利用者の個人情報が漏れたおそれがあるとする第一報を自分のサイトに出した。
JNSA の発表と報道によると、流れは次のとおりだ。
- 2026年10月30日の夜ごろ: 第三者からの不正アクセスが始まった可能性がある（あとの調査で分かった）
- 11月4日: JNSA が不正アクセスに気づいた。その後、被害が広がらないようにサービスを止めた（今も止まっている）
- 11月6日: 第一報を出した。同じ日に個人情報保護委員会（個人情報を扱う国の機関）へ報告する予定とした
漏れた可能性があるのは、次の情報だ。
- サービスを使う人（受検者）の: 利用者 ID、ハッシュ化したパスワード（ハッシュ化は、元のパスワードをそのまま読めない形に変えて保存すること）
- 会社で受検を取りまとめる担当者（管理者）の: 氏名、メールアドレス、会社名
- 会社についての: 所在地、従業員数、業種、利用しているユーザーの数
第一報の時点では、まだ分からないことが多い。侵入の経路は不明で、調べには外部の専門事業者が加わっている。最大1万5128件という数も、JNSA によれば今後の調べで変わりうる。どの項目が何件かも示されていない。
日本の利用者への影響
これは日本の団体が日本の組織向けに出しているサービスで、影響は日本の会社とその社員に及ぶ。
国の「サイバーセキュリティ普及啓発」のポータルの紹介ページによると、このサービスは無料だ。会社の管理者が社員を登録して受検させ、一人ひとりの結果や、同じ業種の中での会社の順位を見られる。社員研修の一つとして使っていた会社では、管理者と受検した社員の両方が対象になりうる。
いちばん気をつけたいのは、偽メールだ。漏れた可能性がある情報には、実在する会社名と、担当者の氏名・メールアドレスが含まれる。攻撃する側はこれで宛先を選び、文面に本物の名前を入れられる。報道によると、JNSA 自身もこの危険を挙げている。怪しいメールが来たら、リンクを押さず、添付ファイルも開かないこと、というのが JNSA の呼びかけだ。また報道によると、JNSA は、メールの中のリンクから ID やパスワードの入力や変更を求めることはないとしている。
今すぐやること
- 自分や自分の会社が使っていたかを確かめる。 研修でこのテストを受けた覚えがあれば、会社の情報システムや教育の担当に聞く。対象の人には JNSA から個別に連絡が来る予定だ。
- 同じパスワードを使い回していたら変える。 このサービスと同じパスワードを、仕事のメールなど別のサービスで使っていたら、すぐ変える。パスワードはハッシュ化されていたが、弱いパスワードは見破られることがある。使えるサービスでは MFA（パスワードのほかにスマホなどでも本人確認する仕組み）を入れる。
- JNSA を名乗るメールのリンクを開かない。 JNSA も同じことを呼びかけている。お知らせは、メールのリンクからではなく、JNSA のサイトを自分で開いて確かめる。
- 管理者は社員に知らせる。 担当者だった人は、受検した社員に「研修や JNSA を名乗る偽メールが来るかもしれない」と伝えておく。
背景
JNSA は、一般の人に向けて、ネットワークセキュリティの啓発・教育・調査研究・情報提供を行う団体だ。守り方を教える側の団体のサービスでも、侵入されることがある、という例になった。
社員教育や研修のサービスは、多くの会社の担当者の名前や連絡先を一か所に集めて持つ。そのため、一つのサービスが破られると、たくさんの会社に偽メールを送る材料がそろってしまう。今回も、件数そのものより、その後の偽メールによる二次被害のほうが心配だ。
なお JNSA のサイトには、これとは別に、メールを配る外部のサービス「ブラストメール」が不正アクセスを受けた件のお知らせも出ている。こちらは、協会が持つ個人情報が漏れたことは確認されていないとしている。
技術者向けの詳細
- 対象: JNSA「情報セキュリティ理解度チェックサービス」（組織の管理者が社員を登録して受検させる、無料のWebサービス）。発覚後に停止し、現在も停止中
- 期間: 2026年10月30日の夜ごろから不正アクセスを受けた可能性（JNSA の調査による）。発覚は11月4日、第一報は11月6日
- 件数: 最大1万5128件。確定ではなく、項目ごとの内訳は出ていない
- 項目: 利用者 ID、ハッシュ化パスワード、管理者の氏名・メールアドレス、企業名、組織の所在地・従業員数・業種・利用ユーザー数
- ハッシュの方式、ソルト（同じパスワードでも違う値になるようにする仕掛け）の有無: 公表なし
- 侵入経路: 調査中。外部の専門事業者が調べている
- 組織の対応: 誰が管理者として登録され、どの社員が受検したかを把握しておくと、JNSA からの個別連絡や社内への注意の呼びかけに使える。パスワードの扱いは「今すぐやること」の2を参照
- 原文: JNSA 第一報（PDF）。続報は JNSA のサイトに出るとされる
