JICA派遣システム再委託先（ジェイマックソフト）への不正アクセス（漏えいの可能性は極めて低いと公表）
公表日
JICAの派遣システムの再委託先であるジェイマックソフトのサーバが、第三者から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けました。過去に海外出張・赴任した人が提出した個人情報項目が格納されていましたが、JICAは漏えいの可能性は極めて低いと報告を受けています。件数は発表されていません。
対象者は？
JICA事業のために過去に海外出張・赴任した方のうち、短期渡航（1年未満の直営短期専門家・調査団・緊急援助隊等）、直営長期専門家（1年以上）、在外赴任職員・企画調査員・健康管理員の方が対象です。JICA海外協力隊の方と、JICAと法人／団体との契約に基づき派遣されている方は対象外です。要配慮個人情報は含まれていないとされています。
JICAは、関係する方に可能な限り連絡を行っており、問い合わせ窓口を設けています。心当たりがある方は、JICAの公式お知らせを確認し、窓口に問い合わせてください。
いますぐできること
- 対象に当てはまりそうな方は、JICAの公式お知らせを読み、案内された問い合わせ窓口に連絡する。
- JICAから連絡が来ていないか、手元の連絡を確認する。
何が起きたのか
2025年12月19日、NECネクサソリューションズが、仕事を任せているジェイマックソフトのファイルサーバの一部が外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けたと発表しました。同じ日にJICAも、派遣システムの開発・管理を任せている会社のさらに先の会社のサーバが、第三者から不正アクセスを受けたと発表しました。ジェイマックソフトは警察に相談し、社内の全システムを外部から切り離しました。NECグループのセキュリティ専門部門も加わって調べています。
なぜ起きたのか・なぜ広がったのか
侵入された経路や原因は、まだ発表されていません。仕事を任された会社がさらに別の会社に仕事を任せる仕組みの中で、一番先の会社のサーバが対象になりました。そのサーバにJICAが集めた個人情報項目が入っていました。
いまの状況2026-01-08 時点続報待ち
調べた範囲では、個人情報が外部に持ち出された記録は見つかっておらず、JICAは漏えいの可能性は極めて低いと報告を受けています。外部からのアクセスを制限する対策は実施済みです。件数、侵入された時期、侵入経路、犯人については、まだ発表されていません。
企業として考えたいこと
あなたの会社が仕事を任せている会社は、さらに別の会社に仕事を任せていますか。そこに自社や取引先の個人情報が置かれていないか、把握できていますか。
技術的な要約
2025年12月19日、NECネクサソリューションズがシステム開発・保守を委託するジェイマックソフトの運用するファイルサーバの一部が外部から不正アクセスを受けたと公表した。同日JICAも、派遣システムの開発・管理を委託するNECネクサソリューションズの再委託先であるジェイマックソフトのサーバが第三者から不正アクセスを受けたと発表した。サーバにはJICA事業で過去に海外出張・赴任した人々が提出した個人情報項目が格納されており、要配慮個人情報は含まれていないとされる。委託先の調査では外部への持ち出し操作を示す記録は確認されず、JICAは漏えいの可能性は極めて低いとの報告を受けている。検知後に外部からのアクセス制限などの対策は実施済みで、ジェイマックソフトは警察に相談し全システムを外部から切断した。件数や侵入経路は公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 委託先経由公表で確認JICAの委託先NECネクサソリューションズの再委託先ジェイマックソフトのサーバ（ファイルサーバの一部）が第三者から不正アクセスを受けた。侵入経路は公表されていない。NECネクサソリューションズ側の開発環境では不正アクセスは確認されていない。
- 脆弱性
- CVE 非公表不明悪用された脆弱性の有無・製品は公表されていない
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止に関する公表はない。ジェイマックソフトは社内の全システムを外部から切断した。
- データ
- おそれ上限 —確定 —その他対象サーバにはJICA事業で過去に海外出張・赴任した人々が提出した個人情報項目が格納されていた。対象は短期渡航（1年未満の直営短期専門家・調査団・緊急援助隊等）、直営長期専門家（1年以上）、在外赴任職員・企画調査員・健康管理員。JICA海外協力隊および法人／団体との契約に基づく派遣者は対象外。要配慮個人情報は含まれない。外部への持ち出し操作を示す記録は確認されておらず漏えいの可能性は極めて低いとされる。件数・具体的項目は非公表。
- 波及先
- —
- JICA（派遣システムの委託元）
- NECネクサソリューションズ（委託先）
- 金銭影響
- —
- サプライチェーン
- JICA→NECネクサソリューションズ（委託先）→ジェイマックソフト（再委託先）の委託構造で、再委託先のサーバが侵害され、JICAの派遣システム関連の個人情報に影響が及んだ。
時系列
- 2025-12-19
- 2025-12-19
- 2025-12-19ジェイマックソフトが警察に相談し、社内の全システムを外部から切断。NECグループのセキュリティ専門部門も加わり調査1
- 2025-12-19
- 2025-12-19
- 2025-12-19
- 2025-12-19JICAが関係者に可能な限り連絡を行い、問い合わせ窓口を設置4
- 2025-12-22セキュリティ対策Labが本件を報道1
- 2026-01-07ScanNetSecurityがNECネクサソリューションズの発表を報道。個人情報の外部送信を裏付ける技術的証拠は確認されていないと説明2
- 2026-01-08ScanNetSecurityがJICA関連の不正アクセスを報道。漏えいの可能性は極めて低いと伝える3
技術解説
委託の構造と公表された事実 事実
JICAは、技術協力専門家や調査団などの派遣情報を管理する「派遣システム」の開発・管理をNECネクサソリューションズに委託している。ジェイマックソフトはその再委託先で、同社のサーバが第三者から不正アクセスを受けたことが判明した。NECネクサソリューションズは2025年12月19日、ジェイマックソフトが運用するファイルサーバの一部に外部から不正アクセスがあったと公表した。JICAも同日、影響と対応を公表した。NECネクサソリューションズ側の開発環境では、不正アクセスは確認されていないと明記されている。
対象となる情報と範囲 事実
サーバに格納されていたのは、JICA事業のために過去に海外出張・赴任した方々がJICAに提出した個人情報項目である。対象は、短期渡航（1年未満の直営短期専門家・調査団・緊急援助隊等）、直営長期専門家（1年以上）、在外赴任職員・企画調査員・健康管理員とされる。JICA海外協力隊と、JICAと法人／団体との契約に基づき派遣されている方は対象外である。JICAは要配慮個人情報は含まれていないと明記した。件数と具体的な項目名は、参照した出典には記載がない。
封じ込めと漏えい評価の公表内容 事実
委託先の調査では、現時点で同サーバの個人情報について外部への持ち出し操作を示す記録は確認されていない。JICAは、漏洩の可能性は極めて低いとの報告を受けている。NECネクサソリューションズも、個人情報が外部に送信されたことを裏付ける技術的な証拠は確認されていないと説明した。ジェイマックソフトは警察に相談し、社内の全システムを外部から切断した。NECグループのセキュリティ専門部門も加わって調査し、外部からのアクセスを制限する対策も実施済みである。JICAは関係者に可能な限り連絡し、問い合わせ窓口を設けている。
再委託の末端で起きた事案としての整理 解釈
本件は、発注元のJICAから見て二段階先の再委託先で起きた事案として整理できる。対象とされたのはJICAの環境ではなく、ジェイマックソフトのファイルサーバである。一方で、格納されていたのはJICAが集めた個人情報項目であり、委託構造の末端にも発注元の情報が置かれていたと読み取れる。侵入経路、侵入日、検知日は公表されておらず、どの段階で何が起きたかは続報に依存する。この整理は公表内容からの解釈であり、関係組織の対応の良し悪しを評価するものではない。
「可能性は極めて低い」の読み方 解釈
「漏洩の可能性は極めて低い」という表現は、「持ち出し操作を示す記録が現時点で確認されていない」という調査結果に基づいている。記録がないことと、持ち出しがなかったことの証明は別である。ログの保存範囲や調査の深さで結論の確かさは変わりうるが、その詳細は公表されていない。このため、流出件数として確定した数値はなく、現時点では「おそれ」の段階として扱うのが適切と考えられる。ただしこれは情報の限界についての解釈であり、公表内容が不十分だと断定するものではない。
対応
- 封じ込め
- ジェイマックソフトが警察に相談し、社内の全システムを外部から切断。NECグループのセキュリティ専門部門も加わって調査。検知後、外部からのアクセスを制限するなどの対策を実施済み。
- 公表の仕方
- 2025-12-19にNECネクサソリューションズとJICAがそれぞれ公表。JICAは関係者に可能な限り連絡し、問い合わせ窓口を設置した。
- 当局対応
- 警察（ジェイマックソフトが相談）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 再委託先に置かれる発注元の個人情報も、自社の管理対象として把握する必要がある | 委託先・再委託先ごとに、保管する個人情報の種類・保管場所・保管期間を一覧化し、年1回以上更新する。契約に再委託の事前承認と再委託先一覧の提出を盛り込む。 |
| 過去の業務で集めた情報が、システム本体とは別のファイルサーバに残っていることがある | 終了した案件のデータは、保管期限を決めて削除または隔離する。ファイルサーバ上の個人情報を定期的に棚卸しし、不要データを消す手順を運用に組み込む。 |
| 「持ち出しの記録がない」という結論はログの有無に左右される | ファイルサーバのアクセスログ、認証ログ、外向き通信ログを一定期間（例：12か月以上）保存する。委託先にも同等のログ保全を求め、事案時に提出できる状態にする。 |
| 事案時には、遮断を速やかに行い、調査を専門家と進める体制が要る | インシデント対応手順に、外部接続の切断判断者、警察への相談窓口、外部専門部門との連絡先を明記する。机上演習を年1回行い、委託先を含む連絡網を確認する。 |
| 委託元・委託先・再委託先が同日に公表を調整する連携が重要である | 契約に、事案発生時の通知期限（例：検知後24時間以内）と通知先を定める。公表文面の事前共有手順と、問い合わせ窓口の立ち上げ手順も用意する。 |
自組織などでの確認項目
- 自組織の委託先・再委託先に、どの種類の個人情報や業務データが保管されているか、一覧で説明できますか。
- 再委託先のファイルサーバについて、アクセスログを保全する義務や、事案時にログを提出する義務は契約に書かれていますか。
- 委託先から不正アクセスの連絡を受けた場合、自組織で誰が、何時間以内に、何を判断して公表や本人連絡に進むか決まっていますか。
- 過去の案件で集めた個人情報が、保管期限を過ぎたままサーバに残っていないか、直近で確認したのはいつですか。
未解明点
- 侵入経路、悪用された脆弱性や認証情報の有無、侵入日、検知日は公表されていない。
- 対象となる個人情報の件数と、格納されていた具体的な項目名は公表されていない。
- 持ち出し記録の有無を判断した調査の範囲（ログの期間や種類）と、調査の最終結果は公表されていない。
- 攻撃者の特定や、攻撃者による主張の有無は公表されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-22報道本文確認済
- 2ScanNetSecurity2026-01-07報道本文確認済
- 3ScanNetSecurity2026-01-08報道本文確認済
- 4独立行政法人国際協力機構（JICA）2025-12-19公式本文確認済