JR九州グループ会社ネットワークへの不正アクセス（従業員等14,638名の情報が漏えいした可能性）
公表日
JR九州グループ会社のネットワークが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、JR九州を除くグループ会社の従業員、派遣スタッフ、退職者の最大14,638名の氏名・会社メールアドレス・PCログインIDが漏えいした可能性があります（実際に漏えいした事実は現時点で確認されていません）。
対象者は？
JR九州を除くJR九州グループ会社に、別紙で示された期間に在籍した従業員、派遣スタッフ、退職者（最大14,638名）。漏えいの可能性がある項目は氏名、会社付与のメールアドレス、PCログインIDの3点で、これら以外の情報は含まれるとされていません。
JR九州は個別通知を進めてきましたが、連絡がつかない人がいるため、公表をもって通知に代えるとしています。公表に付された別紙で会社名と在籍期間が示されているため、自分が該当するか確認できます。
いますぐできること
- 該当する可能性がある人は、公表で示された会社名と在籍期間に自分が当てはまるか確認する。
- 同じIDやパスワードを他のサービスで使い回している場合は、パスワードを変更する。
- 会社のメールアドレス宛ての不審なメールやリンクに注意し、身に覚えのないものは開かない。
何が起きたのか
2025年10月17日、第三者がJR九州グループ会社のネットワークに不正にアクセスしました。このアクセスは、セキュリティツールによって見つけられ、防がれました。その後の調査で、PCのログイン情報などが漏れた可能性があると判断されました。JR九州は2026年1月19日にこの件を公表しました。個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。は完了しています。現時点で、情報が実際に漏れた事実は確認されていないと説明されています。
なぜ起きたのか・なぜ広がったのか
侵入の経路や攻撃者については、まだ発表されていません。対象が広がった理由についても、報道された内容からは分かっていません。対象は多数のグループ会社に及び、在籍した従業員、派遣スタッフ、退職者が含まれています。
いまの状況2026-02-04 時点続報待ち
JR九州は、対象者への個別通知を進めてきましたが、退職などで連絡がつかない人がいるため、公表をもって通知に代えるとしています。今後は情報セキュリティの強化を図り、再発防止に努めるとしています。侵入経路や具体的な再発防止策の詳細は、まだ発表されていません。
企業として考えたいこと
自社のグループ会社全体で、従業員・派遣スタッフ・退職者の氏名、メール、ログインIDを、会社別・在籍期間別にすぐ一覧にでき、連絡がつかない人への周知方法も決まっているでしょうか。
技術的な要約
JR九州は2026年1月19日、JR九州グループ会社のネットワーク環境が第三者による不正アクセスを受け、グループ会社（JR九州を除く）の従業員情報が漏えいした可能性があると公表した。不正アクセスの発生日は2025年10月17日で、セキュリティツールにより検知・防御されたが、その後の調査でPCログイン情報などが漏えいした可能性があると判断した。漏えいの可能性がある項目は従業員の氏名、会社付与のメールアドレス、PCログインIDの3点で、対象者は在籍した従業員、派遣スタッフ、退職者の合計14,638名である。現時点で情報が実際に漏えいした事実は確認されていないと説明している。個人情報保護委員会への報告は完了しており、対象者への個別通知は連絡がつかない人がいるため、公表をもって通知に代えるとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明第三者からJR九州グループ会社ネットワークに不正アクセスがあったとされるが、侵入経路は不明。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止に関する記載は確認できない。
- データ
- おそれ上限 14,638確定 —人氏名メールその他対象はJR九州グループ会社（JR九州を除く）に在籍した従業員、派遣スタッフ、退職者の合計14,638名。項目は氏名、会社付与のメールアドレス、PCログインIDの3点（PCログインIDは「その他」に分類）。実際に漏えいした事実は現時点で確認されていないと説明している。
- 波及先
- —
- JR九州エンジニアリング株式会社 1,970名（期間2018/07～2025/10）
- JR九州サービスサポート株式会社 1,202名
- JR九州メンテナンス株式会社 1,057名
- 株式会社ケイ・エス・ケイ 980名
- 九州電気システム株式会社 585名
- 金銭影響
- —
- サプライチェーン
- JR九州グループ会社のネットワーク環境が対象で、対象企業は多数のグループ会社に及ぶ。JR九州自体の従業員は除かれる。委託先経由等の記載はない。
時系列
- 2025-10-17
- 2025-10
- 2025-10JR九州エンジニアリング株式会社の対象者の在籍期間の終期（2018/07～2025/10）。1
- 2026-01対象の従業員・元従業員への個別通知を進めたが、退職などで連絡がつかない人がいた（時期の詳細は公表されていない）。1
- 2026-01個人情報保護委員会への報告を完了した（報告日は公表されていない）。1
- 2026-01-19
- 2026-01-19連絡がつかない人がいるため、公表をもって通知に代えるとした。1
- 2026-01-20セキュリティ対策Labが本件を報じた。1
- 2026-02-04ScanNetSecurityが、検知防御したが従業員情報が漏えいした可能性があるとJR九州が判断した旨を報じた。2
技術解説
公表された経過 事実
報道によると、JR九州は2026年1月19日、JR九州グループ会社のネットワーク環境が第三者による不正アクセスを受け、グループ会社（JR九州を除く）の従業員情報が漏えいした可能性があると公表した。不正アクセスの発生日は2025年10月17日で、セキュリティツールにより検知・防御されたが、その後の調査でPCログイン情報などが漏えいした可能性があると判断したという。一方で、現時点で情報が実際に漏えいした事実は確認されていないと説明している。個人情報保護委員会への報告は完了している。本節はセキュリティ対策LabとScanNetSecurityの報道2件に基づく。
対象範囲と件数 事実
漏えいの可能性がある情報項目は、従業員の氏名、会社付与のメールアドレス、PCログインIDの3点である。対象は別紙で示された期間にJR九州のグループ会社に在籍した従業員、派遣スタッフ、退職者で、合計14,638名とされる。この数字は漏えいの可能性がある人数であり、流出が確認された人数ではない。会社別の例として、JR九州エンジニアリング株式会社が1,970名（期間2018/07～2025/10）、JR九州サービスサポート株式会社が1,202名、JR九州メンテナンス株式会社が1,057名、株式会社ケイ・エス・ケイが980名、九州電気システム株式会社が585名である。対象企業は多数のグループ会社に及ぶ。
通知方法と今後の対応 事実
JR九州は、対象となる従業員・元従業員へ個別通知を進めてきたものの、退職などで連絡がつかない人がいるため、今回の公表をもって通知に代えるとしている。通知の対象には在籍中の従業員だけでなく、派遣スタッフや退職者も含まれる。本件は個人情報保護委員会への報告を完了しており、今後は情報セキュリティの強化を図り、再発防止に努めるとしている。なお、本節も報道2件が伝える公表内容に基づいている。
情報の性質から見た影響の見立て 解釈
氏名、会社メールアドレス、PCログインIDの組み合わせは、金銭に直結する情報ではない。しかし、標的型メールの宛先選定や、アカウントへの不正ログイン試行の材料として使われ得ると考えられる。特にPCログインIDは認証の一要素であるため、パスワードが含まれるかどうかが重要になる。ただし公表された範囲では、パスワード自体が対象かどうかは分からない。現時点で実際の漏えいは確認されていないとされるため、影響は「おそれ」の段階として扱うのが適切である。退職者や派遣スタッフも含まれる点にも配慮が必要である。
公表の評価と学べる範囲 解釈
検知・防御に成功した一方で、その後の調査で漏えいの可能性を判断し、発生から約3か月後に公表した流れである。対象者の特定や調査に時間を要した可能性があるが、判断時期は公表されておらず、理由は推測にとどまる。個別通知が届かない人がいる場合に公表で通知に代える方法は、元従業員への周知という課題を伴うものの、一つの現実的な選択といえる。侵入経路や具体的な対策が公表されていないため、他組織が技術面で学べる情報は限られる。この点は今後の続報に期待したい。
対応
- 封じ込め
- 不正アクセスはセキュリティツールにより検知・防御された。今後は情報セキュリティの強化を図り、再発防止に努めるとしている。
- 公表の仕方
- 2026年1月19日に公表。対象者への個別通知を進めてきたが、連絡がつかない人がいるため、公表をもって通知に代えるとした。
- 当局対応
- 個人情報保護委員会（報告完了）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 防御に成功した事案でも、認証情報の漏えい可能性は別に調べる必要がある | EDRやセキュリティツールの検知後は、対象端末・アカウントのログ（認証ログ、Active Directoryのイベント、メールゲートウェイ）を保全し、資格情報の読み出し有無を確認する手順をIR手順書に入れる。 |
| グループ会社をまたぐ従業員情報の把握が公表の速さに影響し得る | グループ全体の従業員・派遣・退職者のID台帳を一元管理し、会社別の在籍期間と保有項目を即座に抽出できるようにする。ID管理基盤（IdP）で定期的に棚卸しする。 |
| PCログインIDや会社メールは標的型攻撃の材料になるため、漏えい可能性の段階で対策を始める | 対象アカウントのパスワードを強制リセットし、MFAを必須化する。対象宛のメールに対して送信元ドメイン検証（SPF/DKIM/DMARC）と不審メールの隔離ルールを一時的に強化する。 |
| 退職者など連絡がつかない対象者への周知方法を平時から決めておく | 通知方法（郵送・メール・公式サイト掲載）の優先順位と、退職者の連絡先保持期間の方針を事前に定め、公表文面の雛形に「問い合わせ窓口」と「確認方法」を含めておく。 |
| 侵入経路が不明な状態でも、再発防止の方向性を示す情報が信頼につながる | 調査完了前でも、ネットワーク分離、特権アカウントの見直し、ログ保存期間の延長など、実施済みまたは実施予定の対策を段階的に公開できるよう広報とCSIRTで連携する。 |
自組織などでの確認項目
- 自社のセキュリティツールが不正アクセスを検知・防御したとき、「情報が漏えいした可能性」を判断するために、どのログを何日分まで遡って確認できるか。
- グループ会社を含めた従業員・派遣スタッフ・退職者について、保有している氏名、メール、ログインIDの範囲と在籍期間を、何日以内に一覧化できるか。
- 退職者や連絡先が不明な元従業員に個別通知ができない場合、自社はどの手段で周知し、その判断を誰が決めるか。
未解明点
- 不正アクセスの侵入経路や、攻撃者が最初にアクセスしたシステムは何だったのか。
- PCログイン情報には、IDだけでなくパスワードやそのハッシュも含まれていたのか。
- 漏えいの可能性があると判断した時期と、その根拠となった調査内容は何か。
- JR九州が公表した公式発表の原文や別紙の全文には、会社別の対象者数がどこまで記載されているのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-01-20報道本文確認済
- 2ScanNetSecurity2026-02-04報道本文確認済