国立国会図書館の開発中システムへの不正アクセス（再委託先経由・開発環境に限定）
公表日
国立国会図書館が外部委託して開発中のシステムの開発環境に、委託先の再委託先を経由した不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。がありました。影響は開発環境に限られ、各種サービスへの影響は確認されていません。
対象者は？
開発環境にあった一部の利用者情報と利用情報が、漏えいした可能性があるとされました。報道では、プリントアウト申込情報が最大40,373件と伝えられました（流出が確認された件数ではありません）。国立国会図書館の各種サービスや情報基盤への影響は確認されていません。
漏えいの可能性のある対象者には、国立国会図書館から個別に通知が行われたとされています。詳しくは公式のお知らせをご覧ください。
何が起きたのか
国立国会図書館は、館内サービスシステムの作り直しをIIJに委託して開発していました。IIJはその一部をソリューション・ワンに任せていました。2025年11月5日、ソリューション・ワンのネットワークに何者かが侵入し、その影響でIIJが管理する開発用の環境に不正なアクセスがありました。同館は11月11日にこの件を発表し、開発環境へのアクセスを遮断して、各種情報環境の監視を強めました。11月25日に第2報、2026年3月11日に第3報が出されました。
なぜ起きたのか・なぜ広がったのか
何者かがソリューション・ワンのネットワークに侵入したことが、きっかけとされています。具体的な侵入の方法は発表されていません。発注元、委託先、再委託先と事業者がつながる中で、再委託先から開発環境に入られたことが公表されています。
いまの状況2026-03-11 時点続報待ち
2026年3月11日の第3報では、可能性のある対象者に個別の通知が行われていたとされます。報道は、個人情報の漏えいがなかったことが判明したと伝えています。ただし第3報の本文は確認できていません。IIJは委託事業者の採用基準の厳格化などを進める方針で、ソリューション・ワンは外部専門機関と調査を進めるとしています。調査の最終結果や再発防止策の詳細は、まだ発表されていません。
企業として考えたいこと
自社のシステム開発や運用を委託している会社の、さらにその先の会社が侵入されたとき、自社の環境への接続を何時間以内に止められるでしょうか。
技術的な要約
国立国会図書館は2025年11月11日、外部委託で開発中の館内サービスシステムの開発環境に不正アクセスがあったと発表した。委託先は株式会社インターネットイニシアティブ（IIJ）で、IIJの再委託先である株式会社ソリューション・ワンのネットワークが11月5日に何者かの侵入を受けたことに起因する。第1報では、影響は開発環境に限定され、サーバ構成情報等のシステム開発に用いる情報や一部の利用者情報及び利用情報が漏えいした可能性があるとされた。11月25日の第2報の報道では、プリントアウト申込情報40,373件が漏えいした可能性があると伝えられた。2026年3月11日の第3報の報道では、個人情報の漏えいがなかったことが判明したとされている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 委託先経由公表で確認再委託先であるソリューション・ワンのネットワークが何者かの侵入を受け、同社の作業用ネットワークを経由してIIJが管理する開発環境に不正アクセスが行われた（IIJの説明として報道）。具体的な侵入手口は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 不正アクセスの影響は開発環境に限定され、国立国会図書館の各種サービスや情報基盤への影響は確認されていない。
- データ
- なし上限 40,373確定 —件利用者情報業務データその他第1報では、開発環境のサーバ構成情報等のシステム開発に用いる情報、一部の利用者情報及び利用情報が漏えいした可能性があるとされた。第2報の報道見出しでプリントアウト申込情報40,373件の漏えい可能性が示された。第3報の報道見出しでは個人情報の漏えいがなかったことが判明したと伝えられている（本文の詳細は未確認）。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 国立国会図書館→IIJ（委託先）→ソリューション・ワン（再委託先）の委託構造で、再委託先のネットワーク侵入が起点となった。ソリューション・ワン以外のIIJおよび他の再委託先のネットワーク・システムへの不正アクセスは確認されていない。
時系列
- 2025-11-05
- 2025-11-05
- 2025-11ソリューション・ワンが、発覚後ただちに当該開発環境へのネットワークアクセスを遮断し、外部専門機関とフォレンジック調査を進めると表明した（日付は出典に明記なし）。3
- 2025-11
- 2025-11-11
- 2025-11-11IIJが「国立国会図書館様の発表について」を公表し、再委託先の業務設備が侵害され作業用ネットワーク経由で開発環境が侵害されたと説明した。3
- 2025-11-17ScanNetSecurityが、再委託先への不正アクセスと一部利用者情報等の漏えいの可能性を報じた。4
- 2025-11-25国立国会図書館が第2報を発表した。5
- 2025-12-01ScanNetSecurityが、プリントアウト申込情報40,373件が漏えいした可能性を報じた。5
- 2026-03-11国立国会図書館が第3報を発表した。漏えいの可能性のある対象者には個別に通知が行われていた。6
- 2026-03-25ScanNetSecurityが、個人情報の漏えいがなかったことが判明したと報じた。6
技術解説
攻撃の構造:再委託先から開発環境へ 事実
国立国会図書館は館内サービスシステムのリプレース開発を株式会社インターネットイニシアティブ（IIJ）に委託し、IIJは一部の開発を株式会社ソリューション・ワンに委託していた。公表によると、2025年11月5日にソリューション・ワンのネットワークが何者かの侵入を受けた。これに起因して、IIJが管理する開発環境に不正アクセスが行われたことが確認された。IIJは、再委託先の業務設備が侵害され、同社の作業用ネットワークを経由して開発環境が侵害されたと説明している。ソリューション・ワン以外の、IIJや他の再委託先のネットワーク・システムへの不正アクセスは確認されていない。具体的な侵入手口は、今回の入力情報には含まれていない。
影響範囲と公表内容の推移 事実
第1報（2025年11月11日）では、影響は開発環境に限定され、国立国会図書館の各種サービスや情報基盤への影響は確認されていないとされた。漏えいの可能性があるのは、少なくとも開発環境のサーバ構成情報等のシステム開発に用いる情報と、一部の利用者情報及び利用情報である。11月25日の第2報について、報道の見出しはプリントアウト申込情報40,373件が漏えいした可能性があると伝えている。この件数は可能性の上限であり、確定した件数ではない。2026年3月11日の第3報では、可能性のある対象者に個別通知が行われていたとされる。報道の見出しは、個人情報の漏えいがなかったことが判明したと伝えている。ただし第3報の本文は入力に含まれていない。
各者の対応 事実
国立国会図書館は当該開発環境へのアクセスを遮断し、セキュリティリスクの高まりを受けて各種情報環境への監視を強化した。同館は引き続き不正アクセスの詳細を調査し、情報漏えいに適切に対応するとしている。IIJの説明では、ソリューション・ワンは同社の採用基準に適合することを確認したうえで採用した再委託先の一社である。IIJは再発防止に向けて、委託事業者の採用基準（セキュリティ水準）の厳格化や管理監督体制の強化を進める方針である。ソリューション・ワンは、発覚後ただちに開発環境へのネットワークアクセスを遮断したと表明している。あわせて、外部専門機関とのフォレンジック調査で侵入経路と被害範囲を特定し、再発防止策を策定・実行するとしている。
多層委託の管理という論点(解釈) 解釈
この事案は、発注者、委託先、再委託先と続く多層構造のうち、最も外側の事業者のネットワークが起点になった点に特徴がある。報道の解説にも、多層的な委託構造における脆弱性を示すものだという見方がある。採用基準への適合を確認していても、再委託先の運用状態が継続的に保たれているかは別の問題として残る。また、本件は被害が開発環境に限られたとされる一方、サーバ構成情報などは本番環境の設計に関わる情報でもある。こうした情報が漏えいした可能性をどう扱うかは、リプレース後の運用にも関わる論点だと考えられる。以上は事実から導いた解釈であり、各組織の対応の良否を断じるものではない。
対応
- 封じ込め
- 国立国会図書館は当該開発環境へのアクセスを遮断し、セキュリティリスクの高まりを受けて各種情報環境への監視を強化した。ソリューション・ワンは発覚後ただちに開発環境へのネットワークアクセスを遮断し、外部専門機関と連携したフォレンジック調査で侵入経路と被害範囲の特定、再発防止策の策定・実行に取り組むと表明した。IIJは委託事業者の採用基準（セキュリティ水準）の厳格化や管理監督体制の強化を進める方針とされる。
- 公表の仕方
- 2025年11月11日に第1報をプレスリリースで公表し、11月25日に第2報、2026年3月11日に第3報を発表した。漏えいの可能性のある対象者には個別に通知が行われた。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 再委託先を含む委託チェーン全体が、侵入の起点になり得る。 | 再委託先の一覧と、各社が触れるデータ・環境の範囲を台帳で管理する。再委託の承認手続きを契約に組み込み、変更時に再評価する。 |
| 開発環境にも本番に近い情報や利用者情報が置かれ得る。 | 開発環境へ持ち込むデータを棚卸しし、実データは原則マスキングや匿名化したものに置き換える。サーバ構成情報などの設計情報はアクセス権を最小化して保管する。 |
| 委託先の作業用ネットワークから開発環境に入れる経路が、被害の通り道になった。 | 委託先から開発環境への接続は、多要素認証付きの踏み台や接続元IP制限に集約する。常時接続を避け、作業単位で時間を区切って許可する。 |
| 被害が開発環境に限定されたとされたのは、環境が分離され、遮断が可能だったことと整合する。 | 開発環境と本番・館内基盤はネットワークと認証基盤を分離する。侵害時に環境単位で即時遮断できる手順と責任者を事前に決めておく。 |
| 漏えいの可能性の範囲は、報道上は数字や表現が段階的に変わった。 | ログの保管期間と取得範囲を事前に設計し、調査で対象者を絞り込めるようにする。可能性の上限と確定を分けて公表する運用を決めておく。 |
自組織などでの確認項目
- 自組織の委託先・再委託先のうち、自組織のデータや開発環境に接続できる事業者を、すべて把握できていますか。
- 開発・検証環境に、実際の利用者情報や本番のサーバ構成情報が置かれていませんか。置かれている場合、誰がアクセスできますか。
- 委託先の作業用ネットワークが侵害されたとの連絡を受けたとき、自組織の側で何時間以内に接続を遮断できますか。その手順は文書化されていますか。
未解明点
- ソリューション・ワンのネットワークへの具体的な侵入手口と、開発環境へ到達した経路の詳細は公表されていない。
- 第2報で「可能性」とされた約40,373件のプリントアウト申込情報が、第3報の調査でどのように整理されたのか、公式発表の本文は入力に含まれず確認できていない。
- フォレンジック調査の最終結果と、再発防止策が実際にどう実行されたかは、入力情報からは確認できない。
出典
- 1Innovatopia2025-11-12報道本文確認済
- 2INTERNET Watch2025-11-11報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2025-11-12報道本文確認済
- 4ScanNetSecurity2025-11-17報道本文確認済
- 5ScanNetSecurity2025-12-01報道本文確認済
- 6ScanNetSecurity2026-03-25報道本文確認済
- 7国立国会図書館2025-11-11公式本文確認済
- 8国立国会図書館2025-11-11公式本文確認済