日本原子力研究開発機構のJRR-3研究支援Webサイトへの不正アクセス（登録ファイル2,419件ダウンロード、本人確認書類・健康診断結果を含む367件・175人分漏えい）
公表日
日本原子力研究開発機構（JAEA）の研究用原子炉の利用手続きサイトが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、175人分の身分証明書の画像や健康診断の結果などが漏えいしました。
対象者は？
研究用原子炉「JRR-3」を利用する外部の研究者などで、2026年5月以降に手続きサイト「JRR-3 RING」へ自分でファイルを登録した方です。漏えいしたのは367件・175人分で、顔写真付きの身分証明書（運転免許証・マイナンバーカード・パスポート・在留カード）の画像200件（うち6人分はマイナンバーを含む）、放射線業務の特殊健康診断の結果146件、放射線業務従事者証明書21件です。ID・パスワードや、登録フォームに入力した氏名などのアカウント情報は漏えいしていないとされています。
対象の方には機構から個別に連絡と謝罪が行われています。詳しくは公式のお知らせで確認できます。
いますぐできること
- 身に覚えのない契約・ローン・カード申込みの連絡がないか注意する。身分証明書の画像が悪用されるおそれがあるため
- 機構や所属機関を名乗る不審なメール・電話で個人情報を求められても応じず、公式の窓口に自分から確認する
何が起きたのか
2026年9月25日、JAEAは研究用原子炉JRR-3の研究支援サイトへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を確認しました。サイトに登録されていたファイル2,419件が外部から不正にダウンロードされていたことが分かり、同じ日に外部からのアクセスを止めました。9月29日には、そのうち367件に個人情報が含まれていることを確認し、10月1日に公表しました。報道によると、不正アクセスは9月23日と25日の2回で、何者かが利用者IDを作ってログインし、登録情報をダウンロードしたとみられています。
なぜ起きたのか・なぜ広がったのか
侵入の経路やサイトの弱点の種類は、まだ公表されていません（機構は原因を調べています）。利用者IDを作ってログインしたという手口は報道によるもので、機構は公式には説明していません。このサイトは機構の業務用ネットワークとは分かれていて、他のシステムへの影響はないと説明されています。
いまの状況2026-10-07 時点続報待ち
サイトは止まったままで、各種の申請はユーザーズオフィスへの直接連絡や代わりの手続きページで受け付けています。研究用原子炉の運転は続いています。機構は個人情報保護委員会、関係官庁、警察に報告・相談しています。再発防止策の中身とサイトの再開時期は、まだ発表されていません。
企業として考えたいこと
外部の人が自分でアカウントを作れるサイトで、ある利用者が他の利用者のファイルを見られない作りになっているか、確かめたことはあるでしょうか。
技術的な要約
日本原子力研究開発機構（JAEA）は2026年9月25日、機構が契約するクラウド基盤上で運用する研究用原子炉JRR-3の研究支援サイト（JRR-3 RING）への不正アクセスを確認し、登録ファイル2,419件が外部から不正にダウンロードされていたことを把握、同日外部からのアクセスを停止した。9月29日、うち2026年5月以降に利用者本人が登録したファイル367件（175人分）に個人情報が含まれることを確認し、10月1日に公表した。内訳は顔写真付き公的身分証明書の画像200件（運転免許証・マイナンバーカード・パスポート・在留カード、うち6名分はマイナンバーを含む）、放射線業務の特殊健康診断結果146件、放射線業務従事者証明書21件。共同通信の報道では、不正アクセスは9月23日と25日の2回で、何者かが利用者IDを作成してログインし不正な方法で登録情報をダウンロードしたとみられる。侵入経路・脆弱性・攻撃者は公表されておらず、原因究明中。
公開情報が限られている点について
攻撃の分類
- 侵入口
- Webアプリ脆弱性報道・研究者JAEA公式は『研究支援サイトへの不正アクセス』『登録ファイル2,419件が外部から不正にダウンロードされた』とのみ記載し、侵入経路・脆弱性・製品名は非公表（原因究明中）。共同通信は『何者かが利用者IDを作成してサイトにログインし、不正な方法で登録情報をダウンロードしたとみられる』と報じた。これが事実なら、外部利用者が自らアカウントを作成できるWebシステムで、ログイン後に他の利用者が登録したファイルへ到達できた（認可制御の不備＝IDOR等）可能性が高いが、これは報道からの推測であり公式には確認されていない。なおJAEAは、ID・パスワード・登録フォームに入力された氏名等のアカウント情報は漏えいしていないとしている。
- 脆弱性
- CVE 非公表不明JRR-3施設研究支援Webシステム（JRR-3 RING、クラウド基盤上で運用、製品・開発元は非公表）脆弱性の種類・製品名とも非公表。報道（利用者IDを作成してログイン後に不正な方法でダウンロード）からは、アップロードファイルへのアクセス認可の不備が疑われるが未確認。9/29以降システム不具合としてログイン不可、10/7にはRINGによる受付を停止。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 9/25に研究支援サイトへの外部アクセスを停止。JRR-3ユーザーズオフィスは9/29に『システム不具合によりJRR-3 RINGへのログインができない』としてマシンタイム申請・来所申請・令和9年度施設供用の課題申請をユーザーズオフィスへ直接連絡するよう案内し、10/7にはRINGシステムによる受付停止と代替手続きページを告知した。JRR-3の運転自体は継続（9/28〜10/23運転予定と表示）。サイトは機構の業務ネットワークから独立しており、他システムへの影響はないとJAEAは説明。期間：2026-09-25〜調査時点（2026-10-10）でRINGによる受付停止が継続
- データ
- 確定上限 367確定 367件本人確認書類マイナンバーパスポート健康情報その他（放射線業務従事者証明書、実験計画書）不正ダウンロードされた登録ファイルは2,419件。そのうち2026年5月以降に利用者本人が登録した367件（175人分）に個人情報が含まれる。内訳：顔写真付き公的身分証明書の画像200件（運転免許証・マイナンバーカード・パスポート・在留カード。うち6名分はマイナンバーを含む）、放射線業務の特殊健康診断結果146件、放射線業務従事者証明書21件（所属機関から提出）。複数該当者がいるため件数と人数の合計は一致しない（公式）。共同通信は施設での実験計画書も含まれたと報じ、JAEAは施設の安全や警備に影響する情報は含まれないとしている。ID・パスワード・フォーム入力の氏名等のアカウント情報は漏えいしていないとされる。残る2,052件（2,419−367、本記録での差引）は個人情報を含まないファイルと読めるが、その内容は公表されていない。
- 波及先
- —
- JRR-3を利用する外部研究者・所属機関（大学・研究機関・企業）。放射線業務従事者証明書は所属機関から提出されたもの
- 金銭影響
- —
- サプライチェーン
- サイトは『機構が契約するクラウド基盤上』で運用されているが、クラウド事業者・開発委託先側の侵害であるとの公表はない。被害者は外部利用者（他機関の研究者）だが、他組織のシステムへの波及は公表されていない。
時系列
技術解説
公表された事実：独立運用のクラウド上サイトから登録ファイルを一括取得 事実
JAEAの公表によれば、攻撃対象はJRR-3を利用する外部研究者向けの研究支援サイトで、機構が契約するクラウド基盤上に機構の業務ネットワークから独立して構築されていた。9月25日に不正アクセスを確認した時点で、登録ファイル2,419件が外部から不正にダウンロードされていた。漏えいしたのは利用者が入構・放射線管理手続きのためにアップロードした身分証明書画像、特殊健康診断結果、放射線業務従事者証明書で、アカウント情報（ID・パスワード・フォーム入力値）は漏えいしていないとされる。つまり侵害されたのはデータベースのレコードではなく、アップロードされたファイルの保管領域である。共同通信は不正アクセスが9月23日と25日の2回で、攻撃者は利用者IDを作成してログインしたと報じている。JAEAは侵入経路・脆弱性を公表しておらず、原因究明と再発防止策の検討中としている。
推測：自己登録アカウントからの認可不備（IDOR）の可能性 解釈
報道どおり『利用者IDを作成してログイン』した攻撃者がファイルを取得できたのであれば、認証の突破ではなく、ログイン後のファイル取得APIまたは保存先ストレージで、要求者がそのファイルの所有者かを検証していなかった（オブジェクトIDの連番・推測可能性、署名なしの直リンク、バケットの公開設定など）可能性が考えられる。アカウント情報が漏えいしていない点もDB全体のダンプではなくファイル領域だけが抜かれたことと整合する。2日間に分けて2,419件を取得しているため、IDの総当たりや列挙による一括取得が疑われる。いずれも報道と公表内容からの推測で、JAEAは手口を明らかにしていない。検知が2回目のアクセス当日であった点から、1回目は検知できなかった可能性もある。
被害の質：件数は小さいが本人確認書類・健康情報・マイナンバーが揃う 解釈
個人情報を含むのは367件・175人分と小規模だが、顔写真付き身分証明書画像200件（うち6名分はマイナンバーを含む）と、要配慮個人情報にあたる放射線業務の特殊健康診断結果146件が含まれる。顔写真付き身分証画像は、なりすましによる口座開設や携帯電話契約、本人確認の突破に直接使われうる。さらに放射線業務従事者証明書と組み合わせると、原子力関連施設に出入りする研究者の氏名・所属・顔写真が揃い、標的型攻撃やソーシャルエンジニアリングの下調べに使える名簿になる。JAEAは施設の安全・警備に影響する情報は含まれないとしているが、攻撃者が原子力研究機関の利用者サイトを狙った動機は公表されていない。国の研究開発法人が被害組織であり、本台帳の判定では⑤に該当する。
手続きサイトに本人確認書類を保管し続ける設計 解釈
公表では対象が『2026年5月以降に登録したファイル』に限られており、それ以前のファイルは削除済み、あるいは別保管だった可能性がある（理由は非公表）。入構審査や放射線管理のために身分証や健康診断結果の提出が必要だとしても、審査完了後に原本画像を外部公開サイト上に保持し続ける必要があるかは設計上の論点になる。審査に必要なのは『確認済み』という結果と確認日・確認者であり、画像そのものではないことが多い。また、マイナンバーカードの画像を提出させれば番号面が含まれるリスクがあり、実際に6名分でマイナンバーを含んでいた。提出書類の種類と保持期間を最小化していれば、同じ侵害でも被害は縮小できた。
対応
- 封じ込め
- 9/25に研究支援サイトへの外部からのアクセスを停止。9/29以降JRR-3 RINGへのログイン不可、10/7にRINGによる受付を停止し、ユーザーズオフィスへの直接連絡・代替手続きページで運用。漏えい情報の確認と原因究明、再発防止策の策定を進めるとしている（具体策は未公表）。
- 公表の仕方
- 10/1にJAEAプレスリリースで公表（発覚から6日、個人情報確認から2日）。件数・データ種別の内訳、マイナンバーを含む人数まで開示。対象者には個別通知・謝罪。侵入経路・攻撃日・手口は公式には非公表で、侵入日（9/23・9/25）と利用者ID作成の手口は報道のみ。
- 当局対応
- 個人情報保護委員会：報告（JAEA公表）
- 関係官庁：報告・相談（省庁名は非公表）
- 警察：報告・相談
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| ログイン済みユーザーが他人のアップロードファイルを取得できた疑い（報道ベース） | ファイル取得APIで毎回『要求者＝所有者または権限ある審査者』をサーバー側で検証し、オブジェクトキーはUUIDv4等の推測不能値にする。ストレージは非公開とし、取得は数分有効の署名付きURLのみ。自動テストに『別ユーザーのファイルIDでの取得が403になる』ケースを追加 |
| 誰でも作成できる利用者アカウントが攻撃の足場になった（報道ベース） | 外部利用者の自己登録は所属機関メールでの確認や担当者承認を経るまで機能を限定し、新規作成直後のアカウントによる大量ダウンロードを制限（ユーザー単位のレート制限・件数上限）。新規アカウント作成とファイル取得の急増をアラート化 |
| 2日間で2,419件の取得が行われ、1回目では止められなかった可能性 | クラウドストレージのアクセスログ（S3サーバーアクセスログ/CloudTrailデータイベント等）を有効化し、1ユーザー・1IPあたりの取得件数がベースラインを超えたら即時通知、自動でセッション停止する |
| 本人確認書類・健康診断結果の原本画像を外部公開システム上に保持していた | 審査完了後は画像を削除し『確認済みフラグ・確認日・確認者』だけを残す。保持が必要な場合は外部公開系から切り離した内部保管へ移し、保持期間を規程化して自動削除する |
| 提出書類にマイナンバーが含まれる設計 | マイナンバーカードを本人確認書類として受け付けない、または表面のみ・番号マスキングを必須とし、アップロード時にOCRで12桁番号を検出して差し戻す |
自組織などでの確認項目
- あなたのWebサービスで、ログインした一般ユーザーがURLのIDを書き換えて他人のアップロードファイルを取得できないことを、どのテストで保証しているか。
- 本人確認書類や健康情報を受け取った後、何日で削除しているか。審査結果だけを残す運用に切り替えた場合に業務上困ることは何か。
- 業務ネットワークから独立したクラウド上の外部向けサイトについて、監視やログ保全の責任者は誰で、2日間にわたる大量ダウンロードを当日中に検知できる設計になっているか。
未解明点
- 侵入経路と脆弱性の種類（自己登録アカウントからの認可不備か、別の手法か）、利用していたクラウド基盤・開発委託先
- 2,419件のうち個人情報を含まない2,052件（差引）の内容（実験計画書など）と、施設の安全・警備に影響しないと判断した根拠
- 2026年5月より前に登録されたファイルの扱い（削除済みか、別保管か）
- 攻撃者の正体・目的、取得データの公開・悪用の有無
- 再発防止策の具体的内容とRINGシステムの再開時期
出典
- 1日本原子力研究開発機構2026-10-01公式本文確認済
- 2日本原子力研究開発機構 JRR-3ユーザーズオフィス2026-10-07公式本文確認済
- 3熊本日日新聞（共同通信）2026-10-01報道本文確認済
- 4セキュリティ対策Lab（Rocket Boys）2026-10-01報道本文確認済