JAXAへのデータ窃取主張（ALP-001が6.9TBを主張、公開データの偽装との指摘あり）
公表日
ハッカーグループ「ALP-001」が、JAXAから6.9TBのデータを盗んだと主張した。報道は、証拠とされた画像が一般公開の気象衛星データだったと指摘している。
何が起きたのか
2026年3月27日、ALP-001というグループが、JAXAのネットワークに侵入して6.9テラバイトのデータを盗んだと、ダークウェブ通常のブラウザや検索エンジンではたどり着けない、特殊なソフトを使ってアクセスするネット上の領域です。匿名性が高いため、盗まれた個人情報やID・パスワードの売買、リークサイトの運営に使われることがあります。上のサイトで主張しました。3月30日、セキュリティ対策Labは、証拠として出された画像が気象衛星「ひまわり9号」の一般公開データだったと報じました。ファイル名の付け方も公開資料と一致するとのことです。4月1日にも同グループのサイトに同様の投稿があり、4月27日には別のフォーラムで、JAXAの7テラバイトのデータが500米ドルで売りに出されていました。
なぜ起きたのか・なぜ広がったのか
原因はまだ発表されていません。報道は、公開データを大量にダウンロードして、盗んだ成果のように見せた可能性が極めて高いとしています。2025年10月に観測エリアが広がり、公開データだけで6.9TBに届き得るとも指摘しています。侵入の経路や、悪用された弱点も公表されていません。
いまの状況2026-10-14 時点続報待ち
2026年10月時点で、JAXAからの公式発表は確認できた資料の範囲ではまだ発表されていません。3月30日の記事の時点でも未発表でした。軌道の情報、設計図、個人情報などの機密データは確認されていないと報じられています。6.9TBや7TBは攻撃者側の主張で、確認された被害の量ではありません。
企業として考えたいこと
自社の名前で「データを盗んだ」という主張が出たとき、それが本物かどうかを、誰がどんな手順で確かめて発表を決めるでしょうか。
技術的な要約
2026年3月27日、ランサムウェア・データ恐喝グループ「ALP-001」が、JAXAのネットワークに侵入し6.9TBのデータを窃取したとする犯行声明をリークサイトに公開した。セキュリティ対策Labは3月30日付の記事で、証拠画像は気象衛星「ひまわり9号」の一般公開データであり、公開データを偽装した「スクレイプ・アンド・クレーム」の可能性が極めて高いとした。軌道パラメータ・設計図・個人情報など機密性のあるデータは確認されていないとされる。S2Wによれば、4月1日にALP-001のリークサイトに6.9TBの窃取を主張する投稿があり（同サイトは現在アクセス不能）、4月27日には別のフォーラムで7TBのJAXAデータベースが500米ドルで販売されていた。同記事の執筆時点でJAXAの公式リリースはなく、侵入の事実は確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明侵入経路は公表されていない。報道は、記事執筆時点でJAXAの公式リリースはなく、証拠画像は公開データの偽装の可能性が極めて高いとしている。同記事が言及する過去のVPN機器の脆弱性を突かれたMicrosoft 365環境への不正アクセスは過去の別事案で、今回の経路との関連は示されていない。
- 脆弱性
- CVE 非公表不明悪用された脆弱性・製品は公表されていない。
- 攻撃者
- ALP-001 被害組織の言及なしJAXAのネットワークに侵入し6.9TBのデータを窃取したとする犯行声明をリークサイトに公開。別途、フォーラムユーザー「APT001」が7TBのJAXAデータベースを500米ドルで販売する投稿を行い、データを直接入手したと主張した。
- ATT&CK
影響
- 業務停止
- なし 業務停止に関する公表はない。
- データ
- 調査中上限 —確定 —攻撃者は6.9TB（フォーラム投稿では7TB）の窃取を主張。報道によれば証拠はひまわり9号の公開データで、軌道パラメータ・設計図・個人情報など機密性のあるデータは確認されていない。なお、Breachsenseはjaxa.jp関連の認証情報（外部侵害由来の@jaxa.jpアカウント928件、jaxa.jp自体の認証情報1,702件など）を索引化しているが、顧客または職員のものである可能性があり、今回の攻撃とは必ずしも関連しないと注記している。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- サプライチェーン経由・波及の情報は公表されていない。
時系列
- 2025-10観測エリアが拡張された。報道は、これにより公開データの一括ダウンロードだけで6.9TBに到達できるとしている。1
- 2026-01-13Breachsenseが索引化した第三者侵害由来の@jaxa.jpアドレスの直近の侵害日。今回の攻撃との関連は不明。3
- 2026-03-27ALP-001が、JAXAのネットワークに侵入し6.9TBを窃取したとする犯行声明をダークウェブ上のリークサイトに公開したと報じられた。1
- 2026-03-27BreachsenseがJAXAのデータ侵害を発見した日として記載。ALP-001が主張しているとされる。3
- 2026-03-30セキュリティ対策Labが、証拠画像はひまわり9号の公開データで、スクレイプ・アンド・クレームの可能性が極めて高いとする記事を公開。JAXAの公式リリースは未発表とされた。1
- 2026-04-01S2Wによれば、ALP-001のリークサイトにJAXAから6.9TBを窃取したと主張する投稿が掲載された。同サイトは現在アクセス不能。2
- 2026-04-27ハッキングフォーラム「PwnForums」で、JAXAの7TBのデータベースを販売する投稿（500米ドル）が確認された。ユーザー「APT001」がファイルツリーのスクリーンショットを証拠として投稿した。2
- 2026-05-06S2Wが「Weekly Darkweb: April 2026, Week 5」を公開し、上記の投稿を報告した。2
- 2026-10-06Breachsenseが、コンボリスト由来の@jaxa.jpアドレス297アカウントの直近日を記録。今回の攻撃との関連は不明。3
- 2026-10-10Breachsenseが、コンボリスト（1,066件）とインフォスティーラーログ（701件、感染端末599台）のjaxa.jpログインの直近日を記録。今回の攻撃とは必ずしも関連しない。3
- 2026-10-11Breachsenseの索引（外部侵害由来@jaxa.jpアカウント928件、jaxa.jp自体の認証情報1,702件）が最終確認された。3
技術解説
攻撃者側の主張の経過 事実
2026年3月27日、ALP-001がJAXAのネットワークに侵入し6.9TBを窃取したとする犯行声明を、ダークウェブ上のリークサイトに公開したと報じられた。S2Wによれば、4月1日にもALP-001のリークサイトにJAXAから6.9TBを窃取したと主張する投稿が掲載された（同サイトは現在アクセス不能）。4月27日にはハッキングフォーラム「PwnForums」で、JAXAの7TBのデータベースを500米ドルで販売する投稿が確認され、ユーザー「APT001」がデータを直接入手したと主張し、ファイルツリーのスクリーンショットを投稿した。Breachsenseも、3月27日を発見日、ALP-001を主張者、リーク規模を6.9TBと記載している。いずれも攻撃者側の主張である。
証拠画像についての報道の指摘 事実
セキュリティ対策Labは3月30日付の記事で、証拠として公開された画像は一般公開されている気象衛星「ひまわり9号」の観測データ（True Color画像など）であったとした。サンプルのファイル名（NC_H09、HS_H09など）の命名規則は、JAXAの公式ドキュメント（P-Treeシステム ユーザーズガイド）に明記されているという。同記事は、公開データを大量にダウンロードして偽装した可能性が極めて高く、研究者が「スクレイプ・アンド・クレーム」と呼ぶ手法に当たるとする。また、過去の声明（1.127TB・251GB）より6.9TBは不自然に大きく、2025年10月の観測エリア拡張で一括ダウンロードだけで到達できるとする。軌道パラメータ・設計図・個人情報などの機密データは確認されていない。記事執筆時点でJAXAの公式リリースはなく、同記事は独自見解と明記している。
Breachsenseが索引化した認証情報 事実
Breachsenseは、外部侵害由来の@jaxa.jpアカウント928件と、jaxa.jp自体の認証情報1,702件を索引化したとしている（最終確認は2026年10月11日）。内訳として、第三者侵害由来は817アカウント・134件の侵害にまたがり、742件に平文パスワードが含まれ、直近は2026年1月13日とされる。コンボリスト由来は297アカウントで直近は10月6日、パスワードとしてはコンボリストに1,066件、インフォスティーラーログに701件（感染端末599台）のログインがあり、直近はいずれも10月10日である。Breachsenseは、これらは顧客または職員のものである可能性があり、ランサムウェア攻撃と必ずしも関連しないと注記している。
現時点で言えることと言えないこと 解釈
報道が示す根拠を踏まえると、公開されている材料からは、ALP-001の主張する6.9TBが非公開データの窃取であると裏づける情報は見当たらない。一方、侵入がなかったと断定できる材料もなく、JAXA側の調査結果が出ていない以上、状況は未確定と見るのが妥当である。6.9TBや7TBは主張上の数字で、被害の確定値ではない。ALP-001のリークサイトの投稿とPwnForumsの販売者「APT001」の関係も、提示された情報だけでは判断できない。Breachsenseの認証情報の件数は、今回の主張とは別の経路で蓄積された可能性があり、攻撃の根拠として読むべきではない。公式発表を待ちつつ、主張と確認済み事実を分けて扱う姿勢が求められる。
対応
- 封じ込め
- —
- 公表の仕方
- 記事執筆時点（2026年3月30日）でJAXAの公式リリースは発表されていない。公式発表を確認できる出典は渡された一覧にない。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 犯行声明は検証前に事実として扱わず、証拠サンプルの出どころを確認する | 声明を受けたら、サンプルのファイル名・メタデータ・ハッシュを自組織の内部データ台帳と公開カタログに突合する手順をRunbook化する。一次判定の担当と所要時間の目安も決めておく。 |
| 公開してよいデータと非公開データの境界を、台帳で明示しておく | データ分類台帳に公開データセットとその配布システム、命名規則を記録する。窃取主張が来た際に公開物との一致を即時に判定できるようにする。 |
| 大量の公開データ取得は、正規の利用と区別して観測できるようにする | 配布サーバのアクセスログから、IP・UA別のダウンロード量を集計し、閾値超過をアラートにする。非公開領域とのログ分離も確認する。 |
| 主張が出た時点の初動広報を、事実確認の進度に応じて用意しておく | 「主張を把握し調査中」「公開情報との一致を確認中」などの段階別テンプレートを用意し、法務・広報・SOCの承認フローを定める。 |
| 自組織ドメインの認証情報露出を継続監視し、攻撃主張とは別に対処する | コンボリストやインフォスティーラーログの監視サービスで自ドメインを定期検索し、該当アカウントはパスワード強制変更と多要素認証を適用する。感染端末は隔離して調査する。 |
自組織などでの確認項目
- 自組織が公開しているデータと、非公開のデータの境界を、証拠サンプルを見た担当者がすぐ説明できる状態か。
- 自組織名での犯行声明やデータ販売投稿を見つけたとき、誰が何時間以内に真偽の一次判定をし、誰が公表を決めるか決まっているか。
- 自組織ドメインの認証情報がコンボリストやインフォスティーラーログに出ていないか、定期的に確認する仕組みがあるか。
未解明点
- JAXAが調査結果や見解を公式に発表するか。侵入の有無はどう判断されたのか。
- ALP-001のリークサイトの投稿と、PwnForumsの販売者「APT001」は同一の主体なのか。
- 6.9TBの主張と7TBの販売投稿で、データ量に差がある理由は何か。販売されたデータの中身は何か。
- Breachsenseが索引化したjaxa.jp関連の認証情報は、今回の主張と関係があるのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-03-30報道本文確認済
- 2S2W Inc.2026-05-06研究者本文確認済
- 3Breachsense2026-03-27研究者本文確認済