エネルギー・金属鉱物資源機構（JOGMEC）の元職員による在職中取得の個人情報の持ち出し（休廃止鉱山の鉱業権者2,246名の氏名）
公表日
エネルギー・金属鉱物資源機構（JOGMEC）で、すでに退職した元職員が在職中に仕事で得た個人情報を外部に持ち出していたことが分かりました。対象は休廃止鉱山の鉱業権者2,246名の氏名です。
対象者は？
休止または廃止された鉱山の鉱業権者2,246名です。持ち出されたのは氏名だけで、住所や電話番号などは含まれていません。
JOGMECは対象の方への個別の連絡は行わず、公式サイトでの公表をもって本人への通知に代えるとしています。詳しくは公式のお知らせで確認できます。
いますぐできること
- JOGMECや鉱業権の手続きを名乗る、身に覚えのない連絡があっても、その場で応じない。公式サイトに載っている連絡先に自分から確認する
- 鉱業権をお持ちの方は、公式のお知らせで対象の範囲を確認する
何が起きたのか
2026年2月17日、JOGMECは、すでに退職した元職員が、在職中に業務で得た個人情報を外部に持ち出していたことが分かったと公表しました。持ち出されたのは、休廃止鉱山の鉱業権者2,246名の氏名です。JOGMECの調査では、この情報は使われておらず、ほかの人にも渡されていないとされています。いつ、どのような方法で持ち出されたか、どのようにして分かったかは公表されていません。
なぜ起きたのか・なぜ広がったのか
外部からの侵入ではなく、業務で正規に扱っていた情報が組織の外に持ち出された事案です。持ち出しの時期、手段、理由は公表されていません。このような持ち出しは、外部からの攻撃を防ぐ対策だけでは気づきにくいものです。
いまの状況2026-02-17 時点
JOGMECは、判明後すぐに個人情報保護委員会へ報告しました。二次被害は確認されていません。再発防止として、個人情報の教育と文書管理のルールを見直し、退職の手続きの際に情報を持ち出さないという誓約書を出してもらうことにしました。続報は出ておらず、持ち出しの時期や方法は発表されていません。
企業として考えたいこと
社員が退職するとき、仕事で使っていた個人情報やファイルを持ち出していないことを、どのように確かめているでしょうか。
技術的な要約
JOGMECは2026年2月17日、既に退職した元職員が在職中に業務上取得した個人情報を外部に持ち出していたことが判明したと公表した。対象は休廃止鉱山の鉱業権者2,246名の氏名で、住所・電話番号等は含まれない。JOGMECの調査では、持ち出された情報は利用されておらず第三者への提供もなく、二次被害は確認されていない。判明後速やかに個人情報保護委員会へ報告し、公表をもって本人通知に代えるとした。持ち出しの時期・手段・発覚の経緯は公表されておらず、再発防止策として個人情報教育と文書管理規程の見直し、退職手続き時の情報不持ち出し誓約書の徴取を挙げた。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 内部者公表で確認JOGMEC公表：『既に退職した元職員が、在職中に業務上取得した個人情報を外部に持ち出していた』。正規の業務権限で取得した情報の持ち出しであり、外部からの侵入はない。持ち出しの時期（在職中か退職時か）、媒体（紙／電子データ）、手段（私物媒体、私用メール、クラウド等）、持ち出し先、動機はいずれも非公表。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 元職員（氏名非公表） 被害組織が認めた
- ATT&CK
- —
影響
- 業務停止
- なし 業務停止の公表なし
- データ
- 確定上限 2,246確定 2,246人氏名取引先情報休廃止鉱山の鉱業権者2,246名の氏名のみ。住所・電話番号等その他の情報は含まれない（公式）。持ち出し自体は確定だが、JOGMECの調査では利用・第三者提供はなく二次被害も確認されていない。鉱業権者はJOGMECの業務上の相手方であるため取引先情報としても分類した。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
公表された事実：退職者による在職中取得情報の持ち出し 事実
JOGMECの公表は短く、確定しているのは、退職済みの元職員が在職中に業務で取得した個人情報（休廃止鉱山の鉱業権者2,246名の氏名）を外部に持ち出していたこと、調査の結果その情報は利用も第三者提供もされておらず二次被害は確認されていないこと、個人情報保護委員会へ速やかに報告したこと、の3点である。JOGMECは毎年個人情報保護の研修を実施していたが『意識の徹底に不足があった』とし、再発防止策として個人情報教育と文書管理規程の見直し、退職手続き時の情報不持ち出しの誓約書徴取を挙げた。持ち出しの時期、紙か電子データか、持ち出しの手段と持ち出し先、発覚の経緯は公表されていない。
なぜ発覚し、なぜ『利用されていない』と言えたのか（推測） 解釈
公表は持ち出しの発覚経緯に触れていないが、『利用されておらず第三者提供もない』と断定できている点から、元職員本人への聴取や持ち出し物の回収・確認ができたと考えられる。これは退職者の転職先での業務利用や、退職後の個人的保管が何らかの形で判明した典型的な内部不正のパターンと整合する。一方で、持ち出された媒体のコピーの有無や、電子データであれば私用クラウドやメールに残存していないことをどう確認したかは不明で、『利用されていない』の根拠の強さは外部からは評価できない。対策が誓約書と教育中心で、技術的な持ち出し防止策（DLP、ログ監視、媒体制御）に触れていない点は、紙資料だった可能性も示唆するが確認できない。
同機構の別事案との区別 事実
JOGMECは2026年10月2日にも、情報システムへの外部からの不正アクセスにより役職員約1,100件・外部約7,400件の計約8,500件のメールアドレスが漏えいした可能性を公表している（外部機関からの情報提供を端緒に9月9日に判明）。これは外部攻撃による別事案であり、本件（2月の元職員による内部不正）とは手口・対象データとも異なる。本記録では2月の内部不正のみを扱う。同一組織で半年あまりの間に内部と外部の双方から個人情報の管理を問われる事案が続いた点は、組織全体の情報管理体制の評価に関わるが、両事案の関連は公表されていない。
対応
- 封じ込め
- 調査により持ち出し情報の利用・第三者提供がないことを確認（方法は非公表）。再発防止策として個人情報教育の見直し、文書管理規程の見直し、退職手続き時に情報を持ち出さない旨の誓約書の提出を義務化。
- 公表の仕方
- 2026-02-17にWebサイトで公表。個人情報保護法に基づく本人通知を公表をもって代える形式（対象者が氏名のみで連絡先を持たないためとみられるが理由は明記なし）。持ち出し時期・手段・発覚経緯・元職員への処分は非公表。
- 当局対応
- 個人情報保護委員会：判明後速やかに報告（JOGMEC公表）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 退職者が在職中に取得した情報を持ち出していた | 退職予定者のアカウントについて、退職申出から最終日までのファイルダウンロード・印刷・外部送信・USB書込みのログを自動抽出してレビューする手順を退職フローに組み込む。最終日にアカウントと私物端末からの業務アプリ接続を即時無効化 |
| 誓約書と研修だけでは持ち出しを防げない | 個人情報を含むファイルにラベル付けし、DLPで私用メール・個人クラウドストレージ・USBへの書出しをブロックまたは承認制にする。紙資料は持出簿と施錠保管で管理 |
| 業務終了後も個人情報が職員の手元に残る | 業務で取得した名簿類は共有ストレージの所定フォルダでのみ保管し、ローカル保存を禁止。保持期間を定めて定期的に棚卸し・削除する |
| 持ち出しの発覚経緯や『利用されていない』根拠が不透明 | 内部不正の調査手順（本人聴取、媒体回収、私用アカウントの削除確認、確認書の取得）を規程化し、公表時には確認方法を記載できるよう記録を残す |
自組織などでの確認項目
- あなたの組織では、退職者が最終出社日までにダウンロードしたファイルを誰がいつ確認しているか。
- 紙資料・電子データのどちらであっても、業務で受け取った名簿を個人が手元に保存できる余地はどこに残っているか。
- 誓約書・教育・技術的制御のうち、内部不正の抑止に実際に効いているのはどれか。根拠となるデータはあるか。
未解明点
- 持ち出しの時期・媒体（紙／電子）・手段・持ち出し先と動機
- 発覚の経緯と時期、公表までの期間
- 『利用されておらず第三者提供もない』と判断した確認方法
- 元職員に対する法的措置の有無
出典
- 1エネルギー・金属鉱物資源機構（JOGMEC）2026-02-17公式本文確認済
- 2セキュリティ対策Lab（Rocket Boys）2026-02-19報道本文確認済
- 3ScanNetSecurity2026-03-06報道本文確認済
- 4セキュリティ対策Lab（Rocket Boys）2026-10-05報道本文確認済