日本ネットワークセキュリティ協会（JNSA）への不正アクセス（最大1.5万件の情報漏えいのおそれ）
公表日
日本ネットワークセキュリティ協会（JNSA）の教育テストサービスが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、管理者の氏名や受講者のID、ハッシュ化されたパスワードなど最大1万5,128件の個人情報が流出した可能性があります。
対象者は？
「情報セキュリティ理解度チェックサービス」を利用していた企業・団体の管理者および利用者（最大1万5,128件）。受講者の個人名は登録されておらずIDで管理されていた場合があり、パスワードは暗号化（ハッシュ化）されていました。
JNSAが漏えいの対象者を特定する調査を進めており、特定が完了し次第、対象となる利用者へ個別に連絡が行われる予定です。
いますぐできること
- JNSAや関係機関を名乗り、メール内のリンクからIDやパスワードの入力・変更を求める不審な連絡が届いてもURLを開かないようにしてください。
- 本サービスで登録していたIDやパスワードと同じものを他のサービスでも使い回している場合は、速やかに該当サービスのパスワードを変更してください。
何が起きたのか
2026年10月30日夜ごろから、企業向けにセキュリティ知識テストを提供するサービスへ外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が行われていた可能性があります。協会が11月4日に異常を確認し、被害の拡大を防ぐためにサービスを停止した上で、11月6日に最大1万5,128件の情報が漏れた恐れがあると発表しました。
なぜ起きたのか・なぜ広がったのか
どのような経路でシステムへ侵入されたのか、またどの弱点が悪用されたのかについては、現在外部の専門事業者とともに調査中であり公表されていません。
いまの状況2026-11-06 時点続報待ち
被害拡大防止のため対象サービスは停止されています。協会は外部専門事業者とともに原因と影響範囲の特定を進めており、個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くことが多いのは、このためです。を予定するとともに、対象者の特定が完了し次第、個別に案内する方針です。
企業として考えたいこと
自社で利用または運用しているWebサービスにおいて、パスワードの適切な保護（ハッシュ化）や、登録する個人情報を最小限にする設計が徹底されていますか？
技術的な要約
特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）は2026年11月6日、運営する「情報セキュリティ理解度チェックサービス」が第三者による不正アクセスを受け、利用者の個人情報が最大1万5,128件漏えいした可能性があると公表した。不正アクセスは2026年10月30日夜ごろから行われていた可能性があり、JNSAが2026年11月4日に異常を確認した。漏えいの恐れがある情報には、管理者の氏名やメールアドレス、組織情報のほか、利用者のIDおよびハッシュ化されたパスワードが含まれる。JNSAは被害拡大防止のため対象サービスを停止し、外部専門事業者の協力を得て原因究明と影響範囲の調査を進めるとともに、同日付で個人情報保護委員会へ報告する予定とした。
攻撃の分類
- 侵入口
- 不明公式発表において侵入経路は調査中とされており、具体的な侵入経路は明らかになっていない
- 脆弱性
- CVE 非公表不明悪用された脆弱性や具体的な侵入手法は公表されておらず調査中
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 被害拡大防止のため「情報セキュリティ理解度チェックサービス」を停止
- データ
- おそれ上限 15,128確定 —件氏名メール住所会員IDハッシュ化PWその他管理者の氏名、企業名、メールアドレス、組織所在地、従業員数、業種、利用ユーザー数、利用者のIDおよびハッシュ化されたパスワードの最大15,128件。受講者は個人名を使用せずID管理も可能な仕組みであった。
- 波及先
- —
- 流出情報を悪用したJNSAや関係機関になりすました不審メールの送信
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-10-30
- 2026-11-04
- 2026-11-04
- 2026-11-04
- 2026-11-06
- 2026-11-06
- 2026-11-06
- 2026-11-06
技術解説
不正アクセスの覚知と被害公表の経緯 事実
日本ネットワークセキュリティ協会（JNSA）が運営する「情報セキュリティ理解度チェックサービス」において、2026年10月30日夜ごろから第三者による不正アクセスが行われていた可能性があることが判明した。JNSAが異常を確認したのは11月4日であり、発覚後直ちに被害拡大防止を目的として対象サービスを停止した。その後、外部専門事業者の協力を得て原因究明および影響範囲の特定に着手し、11月6日に第一報を公表した。流出した恐れのある情報は最大1万5,128件と見込まれており、管理者の氏名、企業名、メールアドレス、組織所在地、従業員数、業種、利用ユーザー数のほか、受講者のIDおよびハッシュ化されたパスワードが含まれる。受講者は個人名を使用せずID管理も可能な仕組みであった。JNSAは対象者が特定され次第個別に連絡する方針を示し、公表日の11月6日中に個人情報保護委員会へ報告する予定とした。
データ管理設計と想定される二次被害リスク 解釈
本事案において漏えいした可能性があるデータのうち、受講者パスワードはハッシュ化されて保存されており、受講者管理も個人名ではなく受講者IDで運用可能な設計が採用されていた。これはプライバシーバイデザインの観点から一定の配慮がなされていたといえる。しかしながら、ハッシュ化に用いられた具体的なアルゴリズムやソルト付与の有無などは公表されておらず、十分な計算コストを持たない古い方式である場合にはオフラインクラッキング等により平文パスワードが解析されるリスクを完全には否定できない。さらに、受講者情報とは別に、導入組織の管理者に関する氏名、企業名、メールアドレス、組織規模や業種などの詳細な属性情報が対象に含まれている。これらの管理者情報が悪用されれば、JNSAや公的機関を装った標的型攻撃やフィッシングメールの送信用リストとして二次利用される懸念がある。
検知までのタイムラグと初動対応の評価 解釈
攻撃開始とみられる2026年10月30日夜ごろから、JNSAが不正アクセスを検知した11月4日までには約5日間のタイムラグが存在していた。侵入経路や悪用された脆弱性については公表時点で調査中とされており、公開Webアプリケーションの脆弱性悪用や認証情報の突破など多様な可能性が想定される。検知から公表までの初動としては、発覚当日にサービスを即時停止して外部専門家を交えた調査を開始し、2日後には最大件数と対象項目を整理して第一報を開示するなど迅速な対応が取られている。また、なりすましメールに関する具体的な注意喚起（メール内URLでのID・PW入力要求は行わない等）を即座に発信した点も評価できる。今後は侵入経路の特定と、類似サービスにおける監視・検知機能の強化が課題となる。
対応
- 封じ込め
- 不正アクセス発覚後、被害拡大を防ぐため対象サービスを停止し、外部専門事業者の協力を得て原因究明と影響範囲の特定を進めている。
- 公表の仕方
- 2026年11月6日に第一報を公表。漏えいの可能性が確認された利用者には特定完了後に個別連絡する方針を示した。また、JNSAや関係機関になりすましたメールへの注意を呼びかけ、メール内URLからIDやパスワードの入力・変更を求めることはないと周知した。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 保存パスワードの漏えいに備えた強固なハッシュ化アルゴリズムの実装 | MD5やSHA-256などの高速ハッシュ関数単体の利用を避け、Argon2idやbcrypt、PBKDF2等の計算コスト調整が可能なストレッチングおよびソルト付与を適用する。 |
| サービス利用者の個人特定リスクを低減するデータミニマライゼーション | 受講者や利用者の管理において実名登録を必須とせず、システム固有の仮名IDで運用できる設計を導入し、侵害時のプライバシー影響を最小化する。 |
| 公開Webアプリケーションに対する侵入検知体制の強化 | WAF（Web Application Firewall）を導入して既知・未知の攻撃シグネチャを監視・遮断するとともに、アクセスログの異常値検知を自動化して滞留期間を短縮する。 |
| 流出した連絡先情報を悪用したなりすましメール対策の実施 | 送信ドメイン認証技術（SPF、DKIM、DMARC）を適切に運用し、組織名を騙った不正なフィッシングメールの配送を拒否または隔離できるようにする。 |
自組織などでの確認項目
- 自組織で運用しているWebサービスにおいて、パスワードのハッシュ化方式（Argon2idやbcrypt等）やストレッチング回数は最新の推奨基準を満たしているか？
- 自組織のWebシステムにおいて、不正アクセスやデータ持ち出しを数日以内に検知できるアクセスログ監査や異常検知アラートの仕組みが存在しているか？
- 提供サービスや社内システムで収集している利用者情報について、業務上不要な属性（詳細な組織情報や氏名）を削減し、IDベースでの管理に切り替えられる領域はあるか？
未解明点
- 第三者による不正アクセスで悪用された具体的な侵入経路（Webアプリケーションの脆弱性、認証情報の悪用等）は何であったのか？
- 保存されていたパスワードに対してどのようなハッシュ化アルゴリズムやソルトが適用されていたのか？
- 漏えいの恐れがある最大1万5,128件のうち、実際に外部へ流出したことが確定した件数は何件か？
出典
- 1株式会社アクト2026-11-06報道本文確認済
- 2CRYPTO TIMES2026-11-06報道本文確認済
- 3久兵衛の暮らしのニュース2026-11-08報道本文確認済
- 4ビジネス＋IT2026-11-09報道本文確認済
- 5NOVAIST2026-11-06報道本文確認済
- 6おたくま経済新聞2026-11-09報道本文確認済
- 7
- 8ITmedia NEWS2026-11-06報道本文確認済